【導(dǎo)讀】桌面端安全管理解決方案。微軟(中國)有限公司。軟硬件資產(chǎn)管理..

　　

【正文】 裝文件特性時，它所 22 消耗的外部網(wǎng)絡(luò)帶寬要比正常的更新文件多。只是當(dāng)內(nèi)部網(wǎng)絡(luò)的客戶端計算機(jī)下載更新文件時，所下載的更新文件要比正常的更新文件小，如下圖所示。 這只適合內(nèi)部網(wǎng)絡(luò)帶寬更為緊張的網(wǎng)絡(luò)環(huán)境，默認(rèn)情況下， WSUS 不使用快速安裝文件特性。 決定容量需求 WSUS 服務(wù)器的硬件和數(shù)據(jù)庫軟件要求是根據(jù)你企業(yè)網(wǎng)絡(luò)中所需要進(jìn)行更新的客戶端計算機(jī)數(shù)量來決定的。下圖是根據(jù) WSUS服務(wù)器可以服務(wù)的客戶端計算機(jī)數(shù)量所提供的指導(dǎo)，單個使用推薦的硬件和數(shù)據(jù)庫軟件的 WSUS服務(wù)器可以支持最大數(shù)目為 15,000的客戶端計算機(jī)。 對于具有 500個或者更低數(shù)目的客戶端計算機(jī)的 WSUS服務(wù)器的硬件需求 需求 最低 推薦 CPU 750 MHz 1 GHz 或更高 內(nèi)存 512 MB 1 GB 數(shù)據(jù)庫軟件 WMSDE/MSDE WMSDE/MSDE 對于具有 500 個～ 15000 個客戶端計算機(jī)的 WSUS 服務(wù)器的硬件需求 需求 最低 推薦 CPU 1 GHz 或更高 3 GHz 或更高的雙處理器（超過 10000 個客戶時使用雙處理器） 內(nèi)存 1 GB 1 GB 數(shù)據(jù)庫軟件 WMSDE/具有 SP3a 的 SQL Server2020 WMSDE/具有 SP3a 的 SQL Server2020 決定計算機(jī)組分配選項 23 決定如何將計算機(jī)分配到計算機(jī)組具有三個步驟：首先，你必須選擇計算機(jī)組分配的選項，你可以選擇服務(wù)器端定位或客戶端定位；其次，在 WSUS服務(wù)器中創(chuàng)建對應(yīng)的計算機(jī)組；最后，根據(jù)你選擇的分配選項，使用不同的方式來將計算機(jī)進(jìn)行分組。 當(dāng)使用服務(wù)器端定位時，你必須在 WSUS 管理控制臺中手動將客戶端計算機(jī)對象移動到不同的計算機(jī)組中；而使用客戶端定位時，你必須通過組策略來告知客戶端計算機(jī)所加入的計算機(jī)組。無論 采用哪種方式，你都必須先在 WSUS服務(wù)器中創(chuàng)建相應(yīng)的計算機(jī)組。 在你可以在 WSUS 服務(wù)器上管理某個客戶端計算機(jī)之前，你必須先讓此客戶端計算機(jī)和WSUS服務(wù)器進(jìn)行通訊。在客戶端計算機(jī)沒有和 WSUS服務(wù)器進(jìn)行通訊之前， WSUS服務(wù)器無法識別此客戶端計算機(jī)，也不會在計算機(jī)列表中列出此對象。安裝在域環(huán)境下的 WSUS 服務(wù)器也可能不能正常識別非域成員的客戶端計算機(jī)，就算這些客戶端計算機(jī)可以正常通過此WSUS服務(wù)器進(jìn)行更新。 一個客戶端計算機(jī)只能設(shè)置為同時訪問一個 WSUS 服務(wù)器。如果你修改了客戶端計算機(jī)更新的 WSUS服務(wù)器，那么此客戶端計算機(jī)將終止和原有 WSUS服務(wù)器的通訊，但是此客戶端計算機(jī)對象還會存在于原 WSUS 服務(wù)器的計算機(jī)列表中，只是同時會列出此計算機(jī)最后一次和 WSUS服務(wù)器進(jìn)行通訊的時間，你可以手動刪除此客戶端計算機(jī)對象。 批準(zhǔn)更新 當(dāng) WSUS服務(wù)器同步后，將根據(jù)配置情況獲得相應(yīng)的更新列表。你需要對更新進(jìn)行批準(zhǔn)，以便進(jìn)行安裝或檢測；你可以選擇一個或多個更新進(jìn)行批準(zhǔn)，如果選擇多個更新，那么客戶端計算機(jī)會一次性進(jìn)行安裝。批準(zhǔn)更新的方式有以下五種： 僅檢測 當(dāng)你批準(zhǔn)更新只是進(jìn)行檢測時，更新并不 會在客戶端計算機(jī)上進(jìn)行安裝。但是， WSUS會在批準(zhǔn)更新對話框上所應(yīng)用到的計算機(jī)組上進(jìn)行檢測，以確定此更新是否適合客戶端計算機(jī)或者客戶端計算機(jī)是否需要。此檢測動作計劃在當(dāng)客戶端計算機(jī)下次和 WSUS 服務(wù)器進(jìn)行通訊時發(fā)生，你可以通過更新報告狀態(tài)或者在更新頁面點擊更新程序的狀態(tài)標(biāo)簽來查看結(jié)果。如果顯示為需要，則表明客戶端計算機(jī)需要此更新。默認(rèn)情況下，關(guān)鍵更新和安全更新將自動批準(zhǔn)進(jìn)行檢測。 安裝 批準(zhǔn)更新在批準(zhǔn)更新對話框所指定的計算機(jī)組中進(jìn)行安裝。在批準(zhǔn)更新時，你可以選擇客戶端計算機(jī)安裝更新的不同方式： 使用客戶端計算機(jī)的設(shè)置來決定如何安裝更新。當(dāng)你使用此方式時，批準(zhǔn)更新所應(yīng)用到的計算機(jī)組中的客戶端計算機(jī)將根據(jù)自己的設(shè)置來決定如何安裝更新程序，可能會提示當(dāng)前的用戶進(jìn)行安裝，也可以根據(jù)組策略的設(shè)置自動進(jìn)行安裝。 24 定義自動安裝的最后期限。當(dāng)你使用此方式，你可以指定更新程序在客戶端計算機(jī)上安裝的日期和時間，此設(shè)置會覆蓋客戶端計算機(jī)上的任何設(shè)置。你可以指定一個過去的時間，這樣會導(dǎo)致客戶端計算機(jī)在下次訪問 WSUS服務(wù)器時立刻進(jìn)行安裝操作。注意，你不能為需要用戶輸入的更新程序進(jìn)行最后期限定義的自動安裝，否則安裝會失敗。你可以在更新程序的詳細(xì)信息中查看可能要求用戶輸入字段來確定更新程序是否需要用戶輸入，并且在批準(zhǔn)更新時在批準(zhǔn)更新對話框上也會有相應(yīng)的提示。 拒絕更新 此選項只是存在于更新頁面的更新任務(wù)列表中。如果你選擇此 選項，此更新將從可用更新列表中刪除，而不再進(jìn)行任何其他操作。只有在查看視圖中選擇查看已拒絕或者所有更新時才可見。 刪除 你可以批準(zhǔn)某個更新進(jìn)行刪除，即從相應(yīng)的客戶端計算機(jī)上進(jìn)行卸載。此選項只有更新支持刪除時才會出現(xiàn)。針對刪除更新操作，你也同樣可以定義最后期限，當(dāng)你想讓客戶端計算機(jī)立即執(zhí)行時，你可以指定一個過去時間為最后期限。 未許可 這是默認(rèn)的批準(zhǔn)選項。 WSUS服務(wù)器同步更新程序后，更新程序的默認(rèn)狀態(tài)即為未許可。在此狀態(tài)下， WSUS 服務(wù)器不會對更新程序進(jìn)行任何操作，客戶端計算機(jī)也不能對此更 新進(jìn)行檢測或安裝，你必須手動批準(zhǔn)更新進(jìn)行安裝或檢測。 自動批準(zhǔn)更新 在自動批準(zhǔn)選項中，你可以配置 WSUS服務(wù)器在同步時下載更新程序后自動批準(zhǔn)進(jìn)行檢測或者安裝。你可以通過更新程序的分類和計算機(jī)組來決定自動批準(zhǔn)檢測或自動批準(zhǔn)安裝，當(dāng)兩者規(guī)則出現(xiàn)沖突時，以自動批準(zhǔn)安裝的規(guī)則為準(zhǔn)。默認(rèn)情況下，自動批準(zhǔn)安全更新和關(guān)鍵更新在所有計算機(jī)組上進(jìn)行檢測。 另外，你可以選擇自動批準(zhǔn)更新的最新修訂，這也是默認(rèn)選項。修訂是在原有更新基礎(chǔ)上的修改，例如，原有更新可能已經(jīng)過期或者 EULA已經(jīng)不適用。如果你取消此選 項，你必須手動對新的更新程序進(jìn)行批準(zhǔn)。另外一個和修訂類似的概念是取代。某個更新可能會取代另外一個更新，也可能被另外一個更新所取代。你可以從更新程序的詳細(xì)信息中看到這些信息。對于取代以前某個更新的更新程序， WSUS 并不是自動批準(zhǔn)。這是因為以前這個更新可能適合舊的版本或者使用的對象不一樣。對于這種情況，你應(yīng)該批準(zhǔn)此取代更新進(jìn)行檢測，然后觀察此取代更新檢測后的狀態(tài)，看客戶端計算機(jī)是否需要此取代更新，然后再根據(jù)情況進(jìn)行批準(zhǔn)安裝操作。 另外還有一個默認(rèn)啟用的選項是自動批準(zhǔn) WSUS更新，它是針對 WSUS服務(wù)所使用的更 新 25 程序進(jìn)行自動批準(zhǔn)安裝操作，你應(yīng)該總是使用此選項。 配置客戶端計算機(jī)進(jìn)行自動更新 前面所涉及的都是 WSUS服務(wù)器的配置，你還需要配置客戶端計算機(jī)通過 WSUS服務(wù)器來進(jìn)行自動更新。如何配置客戶端計算機(jī)通過 WSUS服務(wù)器進(jìn)行自動更新取決于您的網(wǎng)絡(luò)環(huán)境：在域環(huán)境中，可以使用基于域的組策略對象 (GPO)；在非域環(huán)境中，可以使用本地組策略對象或者直接修改注冊表。當(dāng)你部署組策略用于自動更新后，客戶端計算機(jī)上控制面板中的自動更新就會失效。 在域中通過組策略進(jìn)行部署時，微軟建議添加一個針對 WSUS 更新的 組策略對象，而不是修改默認(rèn)域策略或默認(rèn)域控制器策略。自動更新是通過配置組策略中 Windows Update 管理模板來實現(xiàn)的，具體的位置在計算機(jī)配置 管理模板 Windows組件 Windows Update，如果你沒有找到此模板，可以右擊管理模板選擇添加 /刪 除 模 板 再 選 擇 添加 %systemroot% 模板。 為了讓客戶端計算機(jī)從 WSUS服務(wù)器獲取更新，你必須在組策略中部署以下選項： 配置自動更新。必須設(shè)置為已啟用，然后選擇以下方式之一： ? 通知下載并通知安裝。該選項會在下載和安裝 更新之前對已登錄的管理用戶進(jìn)行提醒。 ? 自動下載并通知安裝。該選項會自動開始下載更新，然后在安裝更新之前對已登錄的管理用戶進(jìn)行提醒。 ? 自動下載并計劃安裝。如果將自動更新配置為執(zhí)行計劃安裝，那么還必須設(shè)置后面的執(zhí)行計劃安裝的日期和時間。 ? 允許本地管理員選擇設(shè)置。如果選擇該選項，則允許本地管理員使用“控制面板”中的“自動更新”來自行選擇配置選項。例如，他們可以選擇自己的計劃安裝時間 ，但是不允許本地管理員禁用自動更新。此選項只有當(dāng)客戶端計算機(jī)的自動更新組件已自我更新到與 WSUS 兼容的版本之后，才會顯示。 指定 Intra Microsoft 更新服務(wù)位置。必須設(shè)置為已啟用，然后配置為企業(yè)內(nèi)部網(wǎng)絡(luò)中的 WSUS服務(wù)器地址。 除此之外，你還可以配置其他選項，例如自動更新檢測頻率、允許自動更新立即安裝等等。另外有一個較為重要的配置選項是允許客戶端目標(biāo)設(shè)置。通過此選項，當(dāng)你在 WSUS 服務(wù)器上配置計算機(jī)分組使用客戶端定位時，你可以配置應(yīng)用此組策略的客戶端計算機(jī)自動加入到此選項所配置的計算機(jī)組中。 26 軟硬件資產(chǎn)管理 軟硬件資產(chǎn)收集 SCCM 可以收集基于 Windows 的桌面系統(tǒng)所有軟件和硬件信息，如操作 系統(tǒng)版本、安裝的 Office、 SAP 軟件、內(nèi)存、 CPU、網(wǎng)卡信息等。各種各樣的報告將基于結(jié)果數(shù)據(jù)生成，以幫助組織機(jī)構(gòu)制定軟件升級計劃，跟蹤計算機(jī)與軟件資產(chǎn)，或檢查軟件許可證的有效性。 舉例來說，在部署某個新軟件包之前，管理人員可能需要編制一份報告，以便顯示具備足以為相關(guān)應(yīng)用提供支持的內(nèi)存與磁盤空間的目標(biāo) PC設(shè)備數(shù)量。這就允許那些不符合要求的系統(tǒng)在部署開始前得到升級，從而，確保實現(xiàn)較高的項目整體成功率。 從 Windows 98開始就已被內(nèi)建于 Windows操作系統(tǒng)的 Windows管理規(guī)范（ WMI）提供了組成擴(kuò) 展使用情況的信息。 SCCM借助 WMI提供內(nèi)容盡可能豐富的系統(tǒng)數(shù)據(jù)集（包含 BIOS、主板和封裝數(shù)據(jù)）。 軟硬件資產(chǎn)報表 SCCM 提供了包含 120多種預(yù)建報告模板在內(nèi)的 Web 報告服務(wù)，以及在管理人員控制下利用自定義報告對上述預(yù)建報告進(jìn)行擴(kuò)展的選擇。已經(jīng)提供的標(biāo)準(zhǔn)報告涉及多種目錄、軟件使用活動和 SCCM操作選項。 SCCM Web報告服務(wù)還提供了深層挖掘特性，用戶只需在自己感興趣的報告中點擊某一行，即可進(jìn)一步調(diào)閱底層報告。每個底層報告均可為管理人員提供更多詳細(xì)信息，直到關(guān)于單個計算機(jī)或用戶的完整目錄信息 被全部顯示出來。 SCCM 提供靈活的查詢報告方式，可以檢查所有客戶端的補(bǔ)丁安裝情況，也可以就某一安全補(bǔ)丁查詢所有客戶端安裝情況，同時還可以根據(jù)自定義的分類來靈活查詢。 27 應(yīng)用軟件分發(fā) SCCM 特性集的一項關(guān)鍵優(yōu)勢一直是該產(chǎn)品針對基于 Windows 操作系統(tǒng)之桌面計算機(jī)、筆記本電腦和服務(wù)器的強(qiáng)大而靈活的軟件部署支持。管理人員可基于中央控制臺在將軟件包部署至遍布網(wǎng)絡(luò)系統(tǒng)的目標(biāo)計算機(jī)時對它們執(zhí)行封裝、復(fù)制、定位、推薦和跟蹤。軟件包還可在允許最終用戶干預(yù)或無需最終用戶干預(yù)的情況下實現(xiàn)部署，而任何 IT 支持人員均不必親 身前往目標(biāo)系統(tǒng)。無論軟件產(chǎn)品是像 Windows XP Professional 這樣的操作系統(tǒng)、像Microsoft Office 這樣的完整應(yīng)用套件，還是由第三方廠商提供或自行編寫的日常商務(wù)應(yīng)用，亦或較為重要的 Windows 系統(tǒng)更新， SCCM 均可借助簡單易用的界面、向?qū)б约芭c操作系統(tǒng)服務(wù)之間的高度集成大幅降低確保軟件處于即時更新狀態(tài)所需付出的工作量。 舉例來說，管理人員可借助 SCCM將一個新的服務(wù)軟件包部署至公司范圍內(nèi)基于 Windows NT 操作系統(tǒng)的所有服務(wù)器。安裝服務(wù)軟件包所必需的源文件被首先復(fù)制到遍布全 球的 SCCM站點，這有可能借助非高峰時段內(nèi)的網(wǎng)絡(luò) WAN鏈接得以實現(xiàn)。而軟件包的實際安裝則可被安排在非高峰時段分別針對全球范圍內(nèi)的每個辦公機(jī)構(gòu)執(zhí)行。每臺計算機(jī)均可利用網(wǎng)絡(luò)系統(tǒng)上距離最近的拷貝執(zhí)行服務(wù)軟件包安裝操作，并將由此產(chǎn)生的網(wǎng)絡(luò)流量控制在最低水平。 在各級網(wǎng)絡(luò)以本地方式部署 SCCM并配備多種帶寬管理特性的分布式體系結(jié)構(gòu)允許在不會導(dǎo)致網(wǎng)絡(luò)超負(fù)荷運轉(zhuǎn)、關(guān)鍵業(yè)務(wù)通訊中斷或為用戶帶來不便的前提下輕而易舉地將軟件部署至規(guī)模極大的應(yīng)用環(huán)境。狀態(tài)報告允許管理人員在任何安裝問題發(fā)生的第一時間對它們做出突出標(biāo)識，并在此基礎(chǔ) 上迅速采取補(bǔ)救措施避免出現(xiàn)類似故障，從而，為大規(guī)模部署方式提供更高水平的援助支持。 遠(yuǎn)程訪問 管理員日常工作中有大量工作是對桌面系統(tǒng)的使用問題或故障提供技術(shù)支持， SCCM 提供了一系列的信息技術(shù)支持工具讓管理員進(jìn)行遠(yuǎn)程訪問， 提高支持效率，降低工作負(fù)擔(dān)。 這些工具包括 ： 遠(yuǎn)程啟動 —— 當(dāng)管理員為一個遠(yuǎn)程客戶端提供支持的時候，他們可能需要重新啟動客戶端來測試啟動過程中作出的改變，或者調(diào)入一個新的配置，或者在一個客戶端計算機(jī)由于硬件或軟件的誤操作而被鎖住以后而重新啟動。通過使用遠(yuǎn)程啟動工具，管理員可以重新啟動客 戶端計算機(jī)。 遠(yuǎn)程對話 —— 通過遠(yuǎn)程對話工具，管理員可以和任意客戶端計算機(jī)的用戶進(jìn)行對話。當(dāng)一個管理員啟動一個會話進(jìn)程時，在 Systems Management Server Administrator 計算機(jī)和被選中的客戶端計算機(jī)上都將出現(xiàn)遠(yuǎn)程對話窗口。當(dāng)管理員或者客戶端上的用戶在自己的窗口中鍵入文字時，在對方的窗口中將出現(xiàn)相同的內(nèi)容。 28 文件傳輸 —— 使用文件傳輸工具，管理員可以在基于 Systems Management Se