【導讀】桌面端安全管理解決方案。微軟(中國)有限公司。軟硬件資產管理..

　　

【正文】 裝文件特性時，它所 22 消耗的外部網絡帶寬要比正常的更新文件多。只是當內部網絡的客戶端計算機下載更新文件時，所下載的更新文件要比正常的更新文件小，如下圖所示。 這只適合內部網絡帶寬更為緊張的網絡環(huán)境，默認情況下， WSUS 不使用快速安裝文件特性。 決定容量需求 WSUS 服務器的硬件和數據庫軟件要求是根據你企業(yè)網絡中所需要進行更新的客戶端計算機數量來決定的。下圖是根據 WSUS服務器可以服務的客戶端計算機數量所提供的指導，單個使用推薦的硬件和數據庫軟件的 WSUS服務器可以支持最大數目為 15,000的客戶端計算機。 對于具有 500個或者更低數目的客戶端計算機的 WSUS服務器的硬件需求 需求 最低 推薦 CPU 750 MHz 1 GHz 或更高 內存 512 MB 1 GB 數據庫軟件 WMSDE/MSDE WMSDE/MSDE 對于具有 500 個～ 15000 個客戶端計算機的 WSUS 服務器的硬件需求 需求 最低 推薦 CPU 1 GHz 或更高 3 GHz 或更高的雙處理器（超過 10000 個客戶時使用雙處理器） 內存 1 GB 1 GB 數據庫軟件 WMSDE/具有 SP3a 的 SQL Server2020 WMSDE/具有 SP3a 的 SQL Server2020 決定計算機組分配選項 23 決定如何將計算機分配到計算機組具有三個步驟：首先，你必須選擇計算機組分配的選項，你可以選擇服務器端定位或客戶端定位；其次，在 WSUS服務器中創(chuàng)建對應的計算機組；最后，根據你選擇的分配選項，使用不同的方式來將計算機進行分組。 當使用服務器端定位時，你必須在 WSUS 管理控制臺中手動將客戶端計算機對象移動到不同的計算機組中；而使用客戶端定位時，你必須通過組策略來告知客戶端計算機所加入的計算機組。無論 采用哪種方式，你都必須先在 WSUS服務器中創(chuàng)建相應的計算機組。 在你可以在 WSUS 服務器上管理某個客戶端計算機之前，你必須先讓此客戶端計算機和WSUS服務器進行通訊。在客戶端計算機沒有和 WSUS服務器進行通訊之前， WSUS服務器無法識別此客戶端計算機，也不會在計算機列表中列出此對象。安裝在域環(huán)境下的 WSUS 服務器也可能不能正常識別非域成員的客戶端計算機，就算這些客戶端計算機可以正常通過此WSUS服務器進行更新。 一個客戶端計算機只能設置為同時訪問一個 WSUS 服務器。如果你修改了客戶端計算機更新的 WSUS服務器，那么此客戶端計算機將終止和原有 WSUS服務器的通訊，但是此客戶端計算機對象還會存在于原 WSUS 服務器的計算機列表中，只是同時會列出此計算機最后一次和 WSUS服務器進行通訊的時間，你可以手動刪除此客戶端計算機對象。 批準更新 當 WSUS服務器同步后，將根據配置情況獲得相應的更新列表。你需要對更新進行批準，以便進行安裝或檢測；你可以選擇一個或多個更新進行批準，如果選擇多個更新，那么客戶端計算機會一次性進行安裝。批準更新的方式有以下五種： 僅檢測 當你批準更新只是進行檢測時，更新并不 會在客戶端計算機上進行安裝。但是， WSUS會在批準更新對話框上所應用到的計算機組上進行檢測，以確定此更新是否適合客戶端計算機或者客戶端計算機是否需要。此檢測動作計劃在當客戶端計算機下次和 WSUS 服務器進行通訊時發(fā)生，你可以通過更新報告狀態(tài)或者在更新頁面點擊更新程序的狀態(tài)標簽來查看結果。如果顯示為需要，則表明客戶端計算機需要此更新。默認情況下，關鍵更新和安全更新將自動批準進行檢測。 安裝 批準更新在批準更新對話框所指定的計算機組中進行安裝。在批準更新時，你可以選擇客戶端計算機安裝更新的不同方式： 使用客戶端計算機的設置來決定如何安裝更新。當你使用此方式時，批準更新所應用到的計算機組中的客戶端計算機將根據自己的設置來決定如何安裝更新程序，可能會提示當前的用戶進行安裝，也可以根據組策略的設置自動進行安裝。 24 定義自動安裝的最后期限。當你使用此方式，你可以指定更新程序在客戶端計算機上安裝的日期和時間，此設置會覆蓋客戶端計算機上的任何設置。你可以指定一個過去的時間，這樣會導致客戶端計算機在下次訪問 WSUS服務器時立刻進行安裝操作。注意，你不能為需要用戶輸入的更新程序進行最后期限定義的自動安裝，否則安裝會失敗。你可以在更新程序的詳細信息中查看可能要求用戶輸入字段來確定更新程序是否需要用戶輸入，并且在批準更新時在批準更新對話框上也會有相應的提示。 拒絕更新 此選項只是存在于更新頁面的更新任務列表中。如果你選擇此 選項，此更新將從可用更新列表中刪除，而不再進行任何其他操作。只有在查看視圖中選擇查看已拒絕或者所有更新時才可見。 刪除 你可以批準某個更新進行刪除，即從相應的客戶端計算機上進行卸載。此選項只有更新支持刪除時才會出現。針對刪除更新操作，你也同樣可以定義最后期限，當你想讓客戶端計算機立即執(zhí)行時，你可以指定一個過去時間為最后期限。 未許可 這是默認的批準選項。 WSUS服務器同步更新程序后，更新程序的默認狀態(tài)即為未許可。在此狀態(tài)下， WSUS 服務器不會對更新程序進行任何操作，客戶端計算機也不能對此更 新進行檢測或安裝，你必須手動批準更新進行安裝或檢測。 自動批準更新 在自動批準選項中，你可以配置 WSUS服務器在同步時下載更新程序后自動批準進行檢測或者安裝。你可以通過更新程序的分類和計算機組來決定自動批準檢測或自動批準安裝，當兩者規(guī)則出現沖突時，以自動批準安裝的規(guī)則為準。默認情況下，自動批準安全更新和關鍵更新在所有計算機組上進行檢測。 另外，你可以選擇自動批準更新的最新修訂，這也是默認選項。修訂是在原有更新基礎上的修改，例如，原有更新可能已經過期或者 EULA已經不適用。如果你取消此選 項，你必須手動對新的更新程序進行批準。另外一個和修訂類似的概念是取代。某個更新可能會取代另外一個更新，也可能被另外一個更新所取代。你可以從更新程序的詳細信息中看到這些信息。對于取代以前某個更新的更新程序， WSUS 并不是自動批準。這是因為以前這個更新可能適合舊的版本或者使用的對象不一樣。對于這種情況，你應該批準此取代更新進行檢測，然后觀察此取代更新檢測后的狀態(tài)，看客戶端計算機是否需要此取代更新，然后再根據情況進行批準安裝操作。 另外還有一個默認啟用的選項是自動批準 WSUS更新，它是針對 WSUS服務所使用的更 新 25 程序進行自動批準安裝操作，你應該總是使用此選項。 配置客戶端計算機進行自動更新 前面所涉及的都是 WSUS服務器的配置，你還需要配置客戶端計算機通過 WSUS服務器來進行自動更新。如何配置客戶端計算機通過 WSUS服務器進行自動更新取決于您的網絡環(huán)境：在域環(huán)境中，可以使用基于域的組策略對象 (GPO)；在非域環(huán)境中，可以使用本地組策略對象或者直接修改注冊表。當你部署組策略用于自動更新后，客戶端計算機上控制面板中的自動更新就會失效。 在域中通過組策略進行部署時，微軟建議添加一個針對 WSUS 更新的 組策略對象，而不是修改默認域策略或默認域控制器策略。自動更新是通過配置組策略中 Windows Update 管理模板來實現的，具體的位置在計算機配置 管理模板 Windows組件 Windows Update，如果你沒有找到此模板，可以右擊管理模板選擇添加 /刪 除 模 板 再 選 擇 添加 %systemroot% 模板。 為了讓客戶端計算機從 WSUS服務器獲取更新，你必須在組策略中部署以下選項： 配置自動更新。必須設置為已啟用，然后選擇以下方式之一： ? 通知下載并通知安裝。該選項會在下載和安裝 更新之前對已登錄的管理用戶進行提醒。 ? 自動下載并通知安裝。該選項會自動開始下載更新，然后在安裝更新之前對已登錄的管理用戶進行提醒。 ? 自動下載并計劃安裝。如果將自動更新配置為執(zhí)行計劃安裝，那么還必須設置后面的執(zhí)行計劃安裝的日期和時間。 ? 允許本地管理員選擇設置。如果選擇該選項，則允許本地管理員使用“控制面板”中的“自動更新”來自行選擇配置選項。例如，他們可以選擇自己的計劃安裝時間 ，但是不允許本地管理員禁用自動更新。此選項只有當客戶端計算機的自動更新組件已自我更新到與 WSUS 兼容的版本之后，才會顯示。 指定 Intra Microsoft 更新服務位置。必須設置為已啟用，然后配置為企業(yè)內部網絡中的 WSUS服務器地址。 除此之外，你還可以配置其他選項，例如自動更新檢測頻率、允許自動更新立即安裝等等。另外有一個較為重要的配置選項是允許客戶端目標設置。通過此選項，當你在 WSUS 服務器上配置計算機分組使用客戶端定位時，你可以配置應用此組策略的客戶端計算機自動加入到此選項所配置的計算機組中。 26 軟硬件資產管理 軟硬件資產收集 SCCM 可以收集基于 Windows 的桌面系統(tǒng)所有軟件和硬件信息，如操作 系統(tǒng)版本、安裝的 Office、 SAP 軟件、內存、 CPU、網卡信息等。各種各樣的報告將基于結果數據生成，以幫助組織機構制定軟件升級計劃，跟蹤計算機與軟件資產，或檢查軟件許可證的有效性。 舉例來說，在部署某個新軟件包之前，管理人員可能需要編制一份報告，以便顯示具備足以為相關應用提供支持的內存與磁盤空間的目標 PC設備數量。這就允許那些不符合要求的系統(tǒng)在部署開始前得到升級，從而，確保實現較高的項目整體成功率。 從 Windows 98開始就已被內建于 Windows操作系統(tǒng)的 Windows管理規(guī)范（ WMI）提供了組成擴 展使用情況的信息。 SCCM借助 WMI提供內容盡可能豐富的系統(tǒng)數據集（包含 BIOS、主板和封裝數據）。 軟硬件資產報表 SCCM 提供了包含 120多種預建報告模板在內的 Web 報告服務，以及在管理人員控制下利用自定義報告對上述預建報告進行擴展的選擇。已經提供的標準報告涉及多種目錄、軟件使用活動和 SCCM操作選項。 SCCM Web報告服務還提供了深層挖掘特性，用戶只需在自己感興趣的報告中點擊某一行，即可進一步調閱底層報告。每個底層報告均可為管理人員提供更多詳細信息，直到關于單個計算機或用戶的完整目錄信息 被全部顯示出來。 SCCM 提供靈活的查詢報告方式，可以檢查所有客戶端的補丁安裝情況，也可以就某一安全補丁查詢所有客戶端安裝情況，同時還可以根據自定義的分類來靈活查詢。 27 應用軟件分發(fā) SCCM 特性集的一項關鍵優(yōu)勢一直是該產品針對基于 Windows 操作系統(tǒng)之桌面計算機、筆記本電腦和服務器的強大而靈活的軟件部署支持。管理人員可基于中央控制臺在將軟件包部署至遍布網絡系統(tǒng)的目標計算機時對它們執(zhí)行封裝、復制、定位、推薦和跟蹤。軟件包還可在允許最終用戶干預或無需最終用戶干預的情況下實現部署，而任何 IT 支持人員均不必親 身前往目標系統(tǒng)。無論軟件產品是像 Windows XP Professional 這樣的操作系統(tǒng)、像Microsoft Office 這樣的完整應用套件，還是由第三方廠商提供或自行編寫的日常商務應用，亦或較為重要的 Windows 系統(tǒng)更新， SCCM 均可借助簡單易用的界面、向導以及與操作系統(tǒng)服務之間的高度集成大幅降低確保軟件處于即時更新狀態(tài)所需付出的工作量。 舉例來說，管理人員可借助 SCCM將一個新的服務軟件包部署至公司范圍內基于 Windows NT 操作系統(tǒng)的所有服務器。安裝服務軟件包所必需的源文件被首先復制到遍布全 球的 SCCM站點，這有可能借助非高峰時段內的網絡 WAN鏈接得以實現。而軟件包的實際安裝則可被安排在非高峰時段分別針對全球范圍內的每個辦公機構執(zhí)行。每臺計算機均可利用網絡系統(tǒng)上距離最近的拷貝執(zhí)行服務軟件包安裝操作，并將由此產生的網絡流量控制在最低水平。 在各級網絡以本地方式部署 SCCM并配備多種帶寬管理特性的分布式體系結構允許在不會導致網絡超負荷運轉、關鍵業(yè)務通訊中斷或為用戶帶來不便的前提下輕而易舉地將軟件部署至規(guī)模極大的應用環(huán)境。狀態(tài)報告允許管理人員在任何安裝問題發(fā)生的第一時間對它們做出突出標識，并在此基礎 上迅速采取補救措施避免出現類似故障，從而，為大規(guī)模部署方式提供更高水平的援助支持。 遠程訪問 管理員日常工作中有大量工作是對桌面系統(tǒng)的使用問題或故障提供技術支持， SCCM 提供了一系列的信息技術支持工具讓管理員進行遠程訪問， 提高支持效率，降低工作負擔。 這些工具包括 ： 遠程啟動 —— 當管理員為一個遠程客戶端提供支持的時候，他們可能需要重新啟動客戶端來測試啟動過程中作出的改變，或者調入一個新的配置，或者在一個客戶端計算機由于硬件或軟件的誤操作而被鎖住以后而重新啟動。通過使用遠程啟動工具，管理員可以重新啟動客 戶端計算機。 遠程對話 —— 通過遠程對話工具，管理員可以和任意客戶端計算機的用戶進行對話。當一個管理員啟動一個會話進程時，在 Systems Management Server Administrator 計算機和被選中的客戶端計算機上都將出現遠程對話窗口。當管理員或者客戶端上的用戶在自己的窗口中鍵入文字時，在對方的窗口中將出現相同的內容。 28 文件傳輸 —— 使用文件傳輸工具，管理員可以在基于 Systems Management Se