打“补丁”也自动――部署Ｍｉｃｒｓｏｆｔ　ＳＵＳ经验谈.docVIP

打“补丁”也自动――部署Ｍｉｃｒｓｏｆｔ　ＳＵＳ经验谈 　　Windows操作系统的安全问题越来越受到大家的关注，每隔一段时间，微软就会发布修复系统漏洞的补丁。但是，由于很多用户不能及时使用这些补丁加固系统，因此往往造成重大损失，所以及时打补丁非常重要。然而，现在局域网的规模越来越大，对网络管理员来说，手工为每台客户机安装补丁的工作量实在太大，很难及时完成。 　　打补丁不用愁 　　其实，只要在企业的局域网中架设微软提供的软件升级服务器（Software Update Services，SUS），就可以使客户机定期自动执行升级操作了。 　　SUS由网络管理员在局域网内部独自构建，通过SUS，可将微软的最新补丁发送给用户。它分为服务器端和客户端两部分，可为1.5万个用户提供升级服务。微软在服务器端（SUS Server）只推出了英文版和日文版，而在客户端则有支持24种语言的版本，包括中文版。SUS Server能为 Windows 2000 +SP2及以上版本、Windows XP、Windows 2003系统提供升级服务，但不支持Windows 98和Windows NT系统。 　　SUS作为一个解决方案，解决了安装补丁的管理和发布问题。鉴于目前微软推出补丁的频率大大加快，使用类似SUS之类的工具就非常必要，可以使网络管理人员轻松面对在每台客户端机器上安装补丁程序工作量过大的困境。 　　笔者在根据某些资料对单位PC机进行SUS部署时，曾经遇到过一些与预期不太一致的情况，颇觉困惑。经过一段时间的使用及测试，有些问题有了答案。具体的安装步骤可以按手册进行，下面就谈谈自己在安装过程中的一些体会。 　　强制安装更新 　　在部署SUS客户端时，经常遇到的一个问题是：首次用组策略定义了“自动下载更新，并按我指定的计划安装”，但并不按照指定的时间更新。在调试中发现这种情况实际上和DetectionStartTime字串值有关。如果原来已经启动了WindowsUpdate服务，即已在控制面板中设置过WindowsUpdate（注册表中已存在相关值），那么，在用组策略定义了更新方式后，HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft 　　Windows\CurrentVersion\ WindowsUpdate\Auto Update不会出现字符串值DetectionStartTime。而只要DetectionStartTime值一出现，WindowsUpdate服务会立即查看是否有新的更新存在，然后马上下载，并在指定的时间进行安装。因此，现在的问题是，DetectionStartTime字符串值在何时，或者说在什么情况下可以出现。 　　我们发现，最简单的方法是：如果在客户端安装了Windows 2000，那么在“控制面板”中启动“自动更新”工具。如果客户端基于Windows XP，用右键单击“我的电脑”，单击“属性”*“自动更新”选项卡。如果已经勾取“自动更新”的复选框，那么将其清空，按“确定”，见图1。 　　此时，注册表中的值AUState =“7”，AUOptions = “1”，为“自动更新”的初始状态，见图2。 　　再次选取“自动更新”，并按您希望的方式设置选项。按“确定”（如果不在此处设置更新选项，而是在组策略中设置也是一样的），见图3。 　　此时，注册表中的值AUState =“2”，AUOptions =选定的值。此时，注册表中会出现一个新值：“ DetectionStartTime”，并且该值显示的应是当前时间，见图4。 　　然后状态栏很快会出现“自动更新”的小图标，提示您安装（如果您定义AUOptions=3或者您定义了AUOptions=4但更新时间还未到）。几分钟后该值会消失并出现新值“LastWaitTimeout”。 　　安装策略 　　1．安装参数的设置 　　如果希望更新方式、时间按照所定义的立即生效，那么在组策略（gpedit.msc）中启用“指定intranet Microsoft更新服务位置”，并配置为SUS服务器所在位置，最好直接输入IP地址。启用“重新计划自动更新计划的安装”设置为1。启用或不启用“不为计划的自动更新安装重新启动”（取决于您的应用和登录权限等）。 　　注意：如果这些策略设置是在域级别应用的，则“本地组策略”不能覆盖这些设置。 　　2．控制面板中执行以下操作 　　（1）按您希望的方式设置选项。单击以清除“启用自动更新”复选框，然后单击“应用”。 　　（2）等待几秒钟，单击以选中“启用自动更新”复选框，然后单击“确定”。这将强制执行一个检测周期。 　　除了首次使用“自动更新”，以后下载、安装更新都会按照您所设置的方法正常运作。注：