SERVEUR WSUS

Pourquoi mettre en place un serveur de mise à jour dans un domaine ?

Mettre en place un serveur de mise à jour dans un domaine permet de simplifier la gestion des mises à jour, d’optimiser les ressources réseau, de renforcer la sécurité et de garantir une meilleure stabilité pour l’ensemble des systèmes du domaine.

– Quel est le serveur de mise à jour MICROSOFT et quels sont les prérequis ?

Prérequis matériels :
Processeur : Un processeur 1,4 GHz ou supérieur est recommandé.
Mémoire : Au moins 2 Go de RAM, bien que 4 Go ou plus soient recommandés pour de meilleures performances.
Espace disque :30 Go ou plus d’espace libre pour stocker les mises à jour téléchargées. L’espace requis peut varier en fonction du nombre de mises à jour téléchargées et du nombre d’ordinateurs clients.
Connexion réseau : Une connexion réseau stable pour télécharger les mises à jour depuis Microsoft et les distribuer dans le réseau interne.

Prérequis logiciels :

Système d’exploitation :
WSUS est disponible pour les versions de Windows Server suivantes :
Windows Server 2012, 2012 R2
Windows Server 2016
Windows Server 2019
Windows Server 2022

– Gestion des mises à jour via WSUS

La gestion des mises à jour via WSUS permet de centraliser le processus de mise à jour des systèmes d’exploitation et des applications Microsoft sur un réseau d’entreprise. Grâce à l’approbation sélective des mises à jour, la possibilité de créer des groupes d’ordinateurs, et un suivi détaillé des déploiements, WSUS assure un contrôle rigoureux sur les mises à jour tout en réduisant les risques d’impact sur les utilisateurs finaux.

-Gestion de WSUS dans une architecture multisite
La gestion de

WSUS dans une architecture multisite permet de distribuer efficacement les mises à jour sur plusieurs sites géographiquement séparés tout en optimisant la bande passante et en assurant un contrôle centralisé des mises à jour. En installant des serveurs WSUS relais sur chaque site distant, vous assurez une gestion plus rapide, plus fiable et moins coûteuse des mises à jour dans un environnement multisite.

Utilitaires WSUSutil, Wuauclt et USOclient

WsuSutil :
WSUSutil est un utilitaire en ligne de commande qui permet de gérer divers aspects de Windows Server Update Services (WSUS), comme la gestion des mises à jour, la maintenance du serveur WSUS, et la résolution de certains problèmes.
Fonctionnalités principales de WSUSutil :
Synchronisation des mises à jour : Forcer une synchronisation avec Microsoft Update pour récupérer les dernières mises à jour disponibles.
Nettoyage de la base de données : Aider à nettoyer la base de données WSUS pour supprimer les mises à jour obsolètes ou inutiles, ce qui peut réduire l’espace disque utilisé.
Réinitialisation de l’état de la base de données : Permet de réinitialiser l’état de la base de données en cas de corruption.
Exportation et importation de la configuration : Permet d’exporter la configuration de WSUS pour l’utiliser sur un autre serveur, ou d’importer une configuration précédente.

Wuauclt :
wuauclt est un utilitaire en ligne de commande utilisé sur les clients Windows pour interagir avec le service de mises à jour automatiques de Windows. Cet utilitaire permet de déclencher des actions telles que la recherche de nouvelles mises à jour, l’installation de mises à jour ou la mise à jour de la configuration.
Fonctionnalités principales de wuauclt :
Forcer une recherche de mises à jour : L’outil permet à un client de rechercher immédiatement de nouvelles mises à jour sur le serveur WSUS ou sur Microsoft Update si le serveur WSUS n’est pas configuré.
Forcer l’installation des mises à jour : Vous pouvez forcer l’installation des mises à jour sur le client.
Forcer un rapport d’état de mise à jour : Permet d’envoyer un rapport d’état au serveur WSUS pour indiquer que le client a bien reçu et appliqué les mises à jour.

USOClient :
USOClient est l’outil utilisé sur Windows 10 (et versions ultérieures) pour gérer les mises à jour de Windows. Il remplace en partie wuauclt dans les versions modernes de Windows. Il fait partie du processus de gestion des mises à jour automatiques de Windows 10, ce qui permet de contrôler plus précisément les mises à jour, y compris l’orchestration des sessions de mise à jour.
Fonctionnalités principales de USOClient :
Lancer des recherches de mises à jour.
Forcer l’installation de mises à jour.
Vérifier l’état des mises à jour.
Planification de la mise à jour.
Réinitialiser le processus de mise à jour.

– Gestion WSUS avec le Powershell

La gestion de WSUS via PowerShell permet une gestion automatisée et une administration plus fine de l’environnement de mise à jour. Grâce à ces cmdlets, vous pouvez facilement gérer la synchronisation des mises à jour, approuver les mises à jour pour des groupes d’ordinateurs spécifiques, récupérer des rapports d’état des mises à jour et effectuer des tâches de nettoyage pour optimiser l’utilisation du serveur WSUS.

-Quelques commandes cmdlets Powershell pour Wsus :

Get-WsusServer : Connexion au serveur WSUS.
Get-WsusUpdate : Liste les mises à jour disponibles sur le serveur WSUS.
Approve-WsusUpdate : Approuve ou désapprouve une mise à jour.
Get-WsusComputerTargetGroup : Récupère les groupes d’ordinateurs dans WSUS.
New-WsusComputerTargetGroup : Crée un nouveau groupe d’ordinateurs.
Get-WsusComputer : Liste les ordinateurs enregistrés dans WSUS.
Invoke-WsusServerSynchronization : Force la synchronisation avec Microsoft Update.
Invoke-WsusServerCleanup : Nettoie le serveur WSUS en supprimant les mises à jour et les fichiers obsolètes.

-Les autres alternatives de chez MICROSOFT ou non MICROSOFT

Alternatives de Microsoft

-Microsoft Endpoint Configuration Manager (MECM) (anciennement System Center Configuration Manager – SCCM)

Microsoft Endpoint Configuration Manager (MECM) est une solution plus complète que WSUS pour gérer les mises à jour, les applications, les paramètres de configuration, et la sécurité dans un environnement d’entreprise.

Avantages :
Gestion centralisée des mises à jour : MECM permet une gestion centralisée et plus fine des mises à jour Windows, des applications et des correctifs de sécurité.
Distribution de logiciels : Au-delà des mises à jour de sécurité, MECM permet de distribuer des applications et de gérer des configurations sur tous les ordinateurs clients.
Rapports détaillés : MECM fournit des rapports détaillés sur l’état des mises à jour et des installations, et peut être intégré avec d’autres outils pour une visibilité accrue.
Gestion de l’inventaire des logiciels et des systèmes : Suivi des configurations matérielles et logicielles des ordinateurs dans l’entreprise.

Windows Update for Business (WUB) :
Windows Update for Business est une fonctionnalité intégrée dans Windows 10 et les versions ultérieures qui permet aux administrateurs IT de contrôler le processus de mise à jour sur plusieurs appareils Windows dans un environnement professionnel.

Avantages :
Contrôle sur les fenêtres de mise à jour : Vous pouvez spécifier des plages horaires de mise à jour, ce qui permet de minimiser les interruptions pendant les heures de travail.
Groupes de déploiement : Vous pouvez définir des groupes pour tester des mises à jour avant de les déployer sur l’ensemble de l’organisation.
Gestion via Intune : Windows Update for Business peut être géré via Microsoft Intune, permettant une gestion centralisée des appareils.
Options flexibles de retard des mises à jour : Vous pouvez retarder les mises à jour pendant un certain temps pour éviter les problèmes potentiels.

Microsoft Intune
Microsoft Intune est une solution de gestion des appareils mobiles et des ordinateurs (MDM – Mobile Device Management, et MAM – Mobile Application Management). Elle fait partie de la suite Microsoft Endpoint Manager et peut être utilisée pour gérer les mises à jour des appareils Windows, ainsi que des appareils Android et iOS.

Avantages :
Gestion basée sur le cloud : Intune offre une gestion centralisée des appareils, y compris la gestion des mises à jour, à partir du cloud.
Gestion des mises à jour de sécurité : Vous pouvez appliquer des stratégies de mise à jour, de sécurité et de configuration sur les appareils Windows, y compris les retards de mise à jour et la gestion des versions.
Suivi et rapports : Intune fournit des rapports sur l’état des mises à jour, les installations et les mises à jour disponibles.
Gestion unifiée des appareils : Intune permet de gérer les appareils mobiles et les ordinateurs sous un seul outil.

Alternatives Non Microsoft

ManageEngine Patch Manager Plus
ManageEngine Patch Manager Plus est une solution tierce de gestion de mises à jour qui permet de gérer les mises à jour pour une large gamme de logiciels, y compris les systèmes d’exploitation Windows, macOS, Linux, ainsi que les applications tierces.

Avantages :
Prise en charge multi-plateformes : Patch Manager Plus prend en charge les mises à jour pour Windows, macOS, Linux, et les applications tierces comme Adobe, Java, etc.
Gestion simplifiée des mises à jour : Il fournit une interface facile à utiliser pour approuver, déployer et surveiller les mises à jour.
Rapports avancés : Permet de générer des rapports détaillés sur les mises à jour installées, les échecs d’installation et l’état général de la sécurité.

SolarWinds Patch Manager
SolarWinds Patch Manager est une solution puissante de gestion des mises à jour pour les systèmes d’exploitation Windows et les applications tierces. Elle permet de centraliser la gestion des mises à jour dans un environnement réseau.

Avantages :
Mises à jour automatiques : Vous pouvez configurer des déploiements automatiques de mises à jour et gérer les approbations de manière centralisée.
Gestion des mises à jour tierces : En plus des mises à jour de Windows, SolarWinds gère également les applications tierces comme Adobe, Java, etc.
Rapports et alertes : Fournit des rapports détaillés sur les mises à jour manquées, les défaillances d’installation et les machines non mises à jour.

PDQ Deploy
PDQ Deploy est une solution de gestion des mises à jour et du déploiement de logiciels pour les entreprises. Il offre une grande flexibilité pour déployer des applications et des mises à jour sur des systèmes Windows.

Avantages :
Facilité d’utilisation : PDQ Deploy est réputé pour sa facilité d’utilisation, avec une interface simple pour déployer des mises à jour et des applications.
Déploiement de logiciels tiers : En plus des mises à jour de Windows, il permet de déployer des logiciels tiers de manière automatisée.
Rapports détaillés : Fournit des rapports détaillés sur les installations, les erreurs et les succès des mises à jour.

Chef / Puppet (pour les environnements Linux et multi-plateformes)
Chef et Puppet sont des outils d’automatisation de l’infrastructure utilisés pour la gestion des configurations et des mises à jour, principalement dans les environnements Linux et multi-plateformes. Bien qu’ils soient plus largement utilisés pour la gestion des configurations, ils peuvent également être utilisés pour appliquer des mises à jour aux systèmes et logiciels.

Avantages :
Multi-plateformes : Ces outils peuvent être utilisés pour gérer des mises à jour sur des serveurs Linux, macOS, Windows, et même des conteneurs.
Automatisation : Chef et Puppet permettent une gestion automatisée de l’infrastructure, y compris la gestion des mises à jour.
Gestion centralisée : Ils offrent une gestion centralisée et une visibilité complète sur l’infrastructure.

Environnement :

Serveur contrôleur de domaine
Serveur WSUS
Poste client sur Hyper-v

Installation et configuration serveur WSUS dans le domaine

Faite Outils > Ajouter des rôles et fonctionnalisées

Vous êtes sur la page « Sélectionner le type d’installation » laisser cocher « Installation basée sur un rôle ou une fonctionnalité » puis faite Suivant

Laisser le premier choix cocher, on veut le mettre sur un serveur du pool, on sélectionne notre serveur « SERV_WSUS » puis Suivant

Cocher le rôle « Services WSUS (Windows Server Update Services) » puis Suivant

Faites Ajouter les fonctionnalités

– Sur votre gauche dans le menu, si vous avez suivi le guide, vous devriez avoir le menu « WSUS »
– Ne toucher rien, juste faire Suivant

Ne rien toucher, juste faire Suivant jusqu’à la page WSUS « Service de rôle »
Cocher « WID Connectivity et WSUS Services »
Suivant

Choisissez un chemin d’accès pour Stocker vos MAJ, dans mon cas j’ai choisi C:\WSUS
Puis faire Suivant

On laisse ce qu’il y a de cocher, on va juste faire Suivant.

-Nous voilà à l’installation, on va faire Installer.

Vous aurez cette page si l’installation c’est bien passer.

De retour sur le tableau de bord a gauche dans le menu on peut voir « WSUS » et un panneau avertissement jaune « ! »
On va cliquer sur le petit drapeau et faire lancer les tâches de post-installation. (Cela peut prendre plusieurs minutes, pas de panique).

Maintenant on va démarrer le Service WSUS
Clique gauche sur le petit windows en bas a gauche de votre écran et va rechercher le menu « Outils d’administration Windows » et on lance le Service WSUS

Configuration serveur WSUS

Nous voilà sur le WSUS Configuration Wizard, nous voici sur la première page, faite Next.

On décoche la petite case, on ne veut pas suivre le programme Update Windows, faite Next

Sur cette page vous avez le choix, Synchroniser avec Windows Update ou sur un autre Serveur, on va rester sur le premier choix, faites Next.

La on ne touchera, juste faire Next, on a pas de proxy actuellement.

Faite Start Connecting, pour que notre server WSUS se connecte avec MICROSOFT.
Puis attendez le chargement. (Cela m’a pris +20min)

-Sélectionner le langage que vous souhaitez, j’ai mis uniquement FR

Sélectionner ce que vous voulez pour que votre Serveur s’occupe des MAJ, on va laisser uniquement « Windows 10, version 1903 and later. » pour le moment.

Nous voilà dans la classification, maintenant nous allons choisir quel type de MAJ on recherche, pour ma part je vais mettre uniquement les 4.

Maintenant on est à la page des synchronisations ce qui va nous permettre la recherche de MAJ, on ne va pas restez en manuelle
Nous allons passer en Synchronisation Auto, on peut choisir la cadence de recherche des MAJ par jour on le laisse a 1 par jour c’est suffisant.

Cocher la case et faite next.

Voila c’est fini pour la configuration maintenant place à la console WSUS.
Prise en Main de la console WSUS

Nous voilà sur la console WSUS, déroulez le menu sur la gauche en cliquant sur votre SERV_WSUS, attendez que votre serveur se synchronise (compter environ +1h)
Profiter en pour continuer la procédure

All Updates : Toutes les mises à jour
Critical Updates : Les MAJ Critique
Sécurity Update : Les MAJ de sécurités
WSUS Update : Les MAJ de WSUS

Ouvrez la console WSUS
Cliquez sur « Options » à gauche
Cliquez sur « Computers » / « Ordinateurs » à droite
Cochez l’option « Use Group Policy or registry settings on computers » / « Utiliser les paramètres de stratégie de groupe ou de Registre sur les ordinateurs »
Validez

Créer des groupes d’ordinateurs dans WSUS

Sur votre console WSUS, dans Computers > Tous les ordinateurs faits un clic droit et Add Computer Group, et rajouter un groupe PC (pour vos Clients) et une autre groupe Serveurs (Pour vos Serveurs).

Voilà vos groupes dans le serveur WSUS sont prêt.

Lier les PC et les serveurs à WSUS par GPO

On retourne sur notre Serveur AD, Outils, Gestion de stratégie de groupe

Créez une nouvelle GPO dans votre Domaine > Objet de stratégie de groupe, a droite faite un clic droit « Nouveau »
Pour ma part, je nomme la GPO « WSUS – Paramètres communs ».
Pour gagner du temps faite 2 nouvelle GPO au même endroit une « WSUS – Serveur et une autre WSUS – PC » et vous devriez avoir les même GPO que moi. « Ne pas faire attention à mes autres GPO ».

Maintenant faite une clic droit sur WSUS – Paramètres communs > Modifier
Aller dans Configuration ordinateur > Stratégies > Modèles d’administration > Composants Windows > Windows Update
Vous devriez avoir un écran du même genre que le screen en dessous.

Maintenant on va devoir modifier 3 Fichiers ici
On va modifier ce fichier Spécifier l’emplacement intranet du service de mise à jour Microsoft.
Cocher Activé
Dans les Options « Configurer le service de Mise à jour pour la détection des mises à jour :
Il faut mettre l’adresse de notre serveur :
http://le_nom _de_votre_serveur_Wsus.Votre_domaine :8530 voila pour ma part ce que cela donne pour moi http://SERV_WSUS.TP.local:8530
On met la même adresse dans la case en dessous
Et pour le Sélect the proxy « la dernière option » on va prendre « Utiliser uniquement le proxy système »

Maintenant on passe au deuxième fichier à modifier « Configuration du service Mises à jour automatique »
On coche Activé
Dans les options « Configuration de la mise à jour automatique : « 4 – téléchargement automatique.. »

Voici le dernier fichier à modifier « Ne pas se connecter à des emplacements Internet Windows Update »
On aura que la case Activé à cocher.

GPO WSUS-PC
Notre GPO est prête, maintenant on va modifier les GPO WSUS-PC
On retourne dans notre Gestion de Stratégie de groupe > Objet de stratégie de groupe
On va retrouver nos 3 GPO qu’on a créé, on va modifier le GPO WSUS – PC

On retourne dans Configuration ordinateur > Stratégies > Modèles d’administration > Composants Windows > Windows Update
On va modifier Autoriser le ciblage côté client
On coche la case Activé
Dans les Options : « Nom du groupe cible » on va mettre PC vu que ça sera pour nos clients.

Maintenant on va modifier le fichier « Désactiver le redémarrage automatique pour les mises à jour pendant les heures d’activité »
On coche la case Activé
Dans les Options, définir une plage horaire de 07h00 à 19h00 sur les postes de travail :

WSUS – SERVEUR

On va modifier le GPO WSUS – SERVEUR
On retourne dans notre Gestion de Stratégie de groupe > Objet de stratégie de groupe
On va retrouver nos 3 GPO qu’on a créé, on va modifier le GPO WSUS – SERVEUR

M0a0intenant on va modifier le fichier « Désactiver le redémarrage automatique pour les mises à jour pendant les heures d’activité »
On coche la case Activé
Dans les Options, définir une plage horaire de 07h00 à 19h00 sur les postes de travail :

Voilà vos 3 GPO créer.

Création d’unité d’organisation

-Toujours sur le serveur AD, Outils> Gestion de Stratégie.
– On Sélectionne notre domaine pour mon cela sera TP.local , clic droit.
– Et on va faire deux d’unités d’organisation « PC » et « SERVEURS »

Organisation des GPO

GPO Serveurs
On continue sur notre Serveur AD, Outils > Gestion de stratégie de groupe
Un clic droit sur SERVEURS « Lier un objet de stratégie de groupe existant »

Vous allez devoir sélectionner vos GPO à mettre dans votre unité d’organisation
Pour les serveurs on va sélectionner deux GPO « WSUS – Serveurs » et « WSUS – Paramètres communs »
Petit Rappel : vous pouvez sélectionner deux GPO en même temps en restant appuyé sur CTRL

GPO PC

Un clic droit sur PC « Lier un objet de stratégie de groupe existant »

Vous allez devoir sélectionner vos GPO à mettre dans votre unité d’organisation
Pour les serveurs on va sélectionner deux GPO « WSUS – PC » et « WSUS – Paramètres communs »
Petit Rappel : vous pouvez sélectionner deux GPO en même temps en restant appuyé sur CTRL

Voila nos GPO sont prête et dans le bon dossier.

Organisation des Clients et Serveurs

On retourne sur notre Tableau de bord de notre Serveur AD.
Outils > Utilisateurs et ordinateurs Active Directory
Dossier Computers ou Domain Controllers, à droite vous devriez voir Clients et Serveurs
De mon coté on peut voir mon Client « DESKTOP-3SOAMI5 » Oui oui j’ai oublié de changé de nom d’ordinateur
On Sélectionne notre client et on va faire clic droit Déplacer et on va le mettre dans notre organisation PC

Si vous avez votre Serveur vous faite la même chose que pour votre Client, mais en le déplaçant dans SERVEURS »
Voila vos Clients et Serveurs sont prête.

Configuration Client

On passe sur notre Client
Faite un Windows + R et exécuter la commande « ncpa.cpl »

Sélectionner votre Réseau « Ethernet » pour moi
Propriétés > Protocol Internet version 4 (TCP/IPv4) double clic dessus
On laisse l’IP en automatique, mais pour ce qui est du DNS on va mettre l’IP de notre Serveur AD, puis on valide tout ça.

Maintenant on va mettre à jour notre GPO sur notre client
Windows + R, on exécute la commande « cmd »

Puis on saisit la commande « gpupdate /force »

Maintenant nous reste une dernière chose a faire pour que notre Client sois dans la console de notre serveur WSUS
Dans votre barre de recherche en bas saisissez Update vous devriez voir apparaitre « Recherche de mises à jour »
Ouvrer le

Vous voilà dans le menu Windows Update !
Faites « Rechercher des mises à jour »
On peut voir écrit en rouge « Votre organisation gère certains paramètres.

Coté Client c’est fini, maintenant on retourne sur notre serveur WSUS.

Serveur WSUS configuration MAJ etc…

De retour sur votre serveur WSUS, on ouvre la console WSUS
Une fois dans votre console WSUS dans computers aller dans votre onglet PC
Vous devriez voir votre client

On peut voir ici qu’il y a mon client « desktop-3soami5.tp.local » mais on peut apercevoir aussi un petit triangle d’avertissement a gauche de mon client pour dire qu’il y a une MAJ a faire
Voila ce que j’ai quand je passe ma souris dessus

Mon client n’est donc pas à jour, donc mettons le à jour.
Pour cela aller dans l’onglet All Updates
Et vous aller voir qu’il y a une mise à jour à faire

Clic droit sur la MAJ > Approuve
On sélectionne notre Client « Approved for install »

La vous aurez le résultats qui confirme que vous approuvez

Maintenant il va falloir attendre qu’il télécharge les MAJ sur votre serveur WSUS
Faite un clic droit sur votre barre d’entête « Title » et rajouter cette option « File Status »
Cela vous permettra de savoir ou en est votre MAJ

Normalement vous avez un petit fichier qui apparait a gauche de votre MAJ, quand je passe ma souris dessus, il m’indique que mon installation est prête.

– Maintenant on va faire en sorte que les MAJ soit approuver automatiquement.
– Dans votre console WSUS, cliquez sur « Options » puis dans la partie centrale cliquez sur « Approbations automatiques« .
– Et cocher la petite case qui confirme que WSUS approuve la règle de validé les MAJ automatiquement.

Voila votre client se mettra à jour tout seul à l’heure à laquel on a mis sur notre GPO CLient via WSUS.

Nettoyer notre WSUS des mises a jour expiré/obselète

Toujours dans la console WSUS
Aller dans Options > Server Cleanup Wizard
Et cocher les cases pour nettoyer les MAJ inutiles