【正文】 當(dāng)管理員或者客戶端上的用戶在自己的窗口中鍵入文字時，在對方的窗口中將出現(xiàn)相同的內(nèi)容。 遠(yuǎn)程對話 —— 通過遠(yuǎn)程對話工具，管理員可以和任意客戶端計算機(jī)的用戶進(jìn)行對話。 這些工具包括 ： 遠(yuǎn)程啟動 —— 當(dāng)管理員為一個遠(yuǎn)程客戶端提供支持的時候，他們可能需要重新啟動客戶端來測試啟動過程中作出的改變，或者調(diào)入一個新的配置，或者在一個客戶端計算機(jī)由于硬件或軟件的誤操作而被鎖住以后而重新啟動。狀態(tài)報告允許管理人員在任何安裝問題發(fā)生的第一時間對它們做出突出標(biāo)識，并在此基礎(chǔ) 上迅速采取補(bǔ)救措施避免出現(xiàn)類似故障，從而，為大規(guī)模部署方式提供更高水平的援助支持。每臺計算機(jī)均可利用網(wǎng)絡(luò)系統(tǒng)上距離最近的拷貝執(zhí)行服務(wù)軟件包安裝操作，并將由此產(chǎn)生的網(wǎng)絡(luò)流量控制在最低水平。安裝服務(wù)軟件包所必需的源文件被首先復(fù)制到遍布全 球的 SCCM站點(diǎn)，這有可能借助非高峰時段內(nèi)的網(wǎng)絡(luò) WAN鏈接得以實(shí)現(xiàn)。無論軟件產(chǎn)品是像 Windows XP Professional 這樣的操作系統(tǒng)、像Microsoft Office 這樣的完整應(yīng)用套件，還是由第三方廠商提供或自行編寫的日常商務(wù)應(yīng)用，亦或較為重要的 Windows 系統(tǒng)更新， SCCM 均可借助簡單易用的界面、向?qū)б约芭c操作系統(tǒng)服務(wù)之間的高度集成大幅降低確保軟件處于即時更新狀態(tài)所需付出的工作量。管理人員可基于中央控制臺在將軟件包部署至遍布網(wǎng)絡(luò)系統(tǒng)的目標(biāo)計算機(jī)時對它們執(zhí)行封裝、復(fù)制、定位、推薦和跟蹤。 SCCM 提供靈活的查詢報告方式，可以檢查所有客戶端的補(bǔ)丁安裝情況，也可以就某一安全補(bǔ)丁查詢所有客戶端安裝情況，同時還可以根據(jù)自定義的分類來靈活查詢。 SCCM Web報告服務(wù)還提供了深層挖掘特性，用戶只需在自己感興趣的報告中點(diǎn)擊某一行，即可進(jìn)一步調(diào)閱底層報告。 軟硬件資產(chǎn)報表 SCCM 提供了包含 120多種預(yù)建報告模板在內(nèi)的 Web 報告服務(wù)，以及在管理人員控制下利用自定義報告對上述預(yù)建報告進(jìn)行擴(kuò)展的選擇。 從 Windows 98開始就已被內(nèi)建于 Windows操作系統(tǒng)的 Windows管理規(guī)范（ WMI）提供了組成擴(kuò) 展使用情況的信息。 舉例來說，在部署某個新軟件包之前，管理人員可能需要編制一份報告，以便顯示具備足以為相關(guān)應(yīng)用提供支持的內(nèi)存與磁盤空間的目標(biāo) PC設(shè)備數(shù)量。 26 軟硬件資產(chǎn)管理 軟硬件資產(chǎn)收集 SCCM 可以收集基于 Windows 的桌面系統(tǒng)所有軟件和硬件信息，如操作 系統(tǒng)版本、安裝的 Office、 SAP 軟件、內(nèi)存、 CPU、網(wǎng)卡信息等。另外有一個較為重要的配置選項是允許客戶端目標(biāo)設(shè)置。必須設(shè)置為已啟用，然后配置為企業(yè)內(nèi)部網(wǎng)絡(luò)中的 WSUS服務(wù)器地址。此選項只有當(dāng)客戶端計算機(jī)的自動更新組件已自我更新到與 WSUS 兼容的版本之后，才會顯示。如果選擇該選項，則允許本地管理員使用“控制面板”中的“自動更新”來自行選擇配置選項。如果將自動更新配置為執(zhí)行計劃安裝，那么還必須設(shè)置后面的執(zhí)行計劃安裝的日期和時間。該選項會自動開始下載更新，然后在安裝更新之前對已登錄的管理用戶進(jìn)行提醒。該選項會在下載和安裝 更新之前對已登錄的管理用戶進(jìn)行提醒。 為了讓客戶端計算機(jī)從 WSUS服務(wù)器獲取更新，你必須在組策略中部署以下選項： 配置自動更新。 在域中通過組策略進(jìn)行部署時，微軟建議添加一個針對 WSUS 更新的 組策略對象，而不是修改默認(rèn)域策略或默認(rèn)域控制器策略。如何配置客戶端計算機(jī)通過 WSUS服務(wù)器進(jìn)行自動更新取決于您的網(wǎng)絡(luò)環(huán)境：在域環(huán)境中，可以使用基于域的組策略對象 (GPO)；在非域環(huán)境中，可以使用本地組策略對象或者直接修改注冊表。 另外還有一個默認(rèn)啟用的選項是自動批準(zhǔn) WSUS更新，它是針對 WSUS服務(wù)所使用的更 新 25 程序進(jìn)行自動批準(zhǔn)安裝操作，你應(yīng)該總是使用此選項。這是因?yàn)橐郧斑@個更新可能適合舊的版本或者使用的對象不一樣。你可以從更新程序的詳細(xì)信息中看到這些信息。另外一個和修訂類似的概念是取代。修訂是在原有更新基礎(chǔ)上的修改，例如，原有更新可能已經(jīng)過期或者 EULA已經(jīng)不適用。默認(rèn)情況下，自動批準(zhǔn)安全更新和關(guān)鍵更新在所有計算機(jī)組上進(jìn)行檢測。 自動批準(zhǔn)更新 在自動批準(zhǔn)選項中，你可以配置 WSUS服務(wù)器在同步時下載更新程序后自動批準(zhǔn)進(jìn)行檢測或者安裝。 WSUS服務(wù)器同步更新程序后，更新程序的默認(rèn)狀態(tài)即為未許可。針對刪除更新操作，你也同樣可以定義最后期限，當(dāng)你想讓客戶端計算機(jī)立即執(zhí)行時，你可以指定一個過去時間為最后期限。 刪除 你可以批準(zhǔn)某個更新進(jìn)行刪除，即從相應(yīng)的客戶端計算機(jī)上進(jìn)行卸載。如果你選擇此 選項，此更新將從可用更新列表中刪除，而不再進(jìn)行任何其他操作。你可以在更新程序的詳細(xì)信息中查看可能要求用戶輸入字段來確定更新程序是否需要用戶輸入，并且在批準(zhǔn)更新時在批準(zhǔn)更新對話框上也會有相應(yīng)的提示。你可以指定一個過去的時間，這樣會導(dǎo)致客戶端計算機(jī)在下次訪問 WSUS服務(wù)器時立刻進(jìn)行安裝操作。 24 定義自動安裝的最后期限。在批準(zhǔn)更新時，你可以選擇客戶端計算機(jī)安裝更新的不同方式： 使用客戶端計算機(jī)的設(shè)置來決定如何安裝更新。默認(rèn)情況下，關(guān)鍵更新和安全更新將自動批準(zhǔn)進(jìn)行檢測。此檢測動作計劃在當(dāng)客戶端計算機(jī)下次和 WSUS 服務(wù)器進(jìn)行通訊時發(fā)生，你可以通過更新報告狀態(tài)或者在更新頁面點(diǎn)擊更新程序的狀態(tài)標(biāo)簽來查看結(jié)果。批準(zhǔn)更新的方式有以下五種： 僅檢測 當(dāng)你批準(zhǔn)更新只是進(jìn)行檢測時，更新并不 會在客戶端計算機(jī)上進(jìn)行安裝。 批準(zhǔn)更新 當(dāng) WSUS服務(wù)器同步后，將根據(jù)配置情況獲得相應(yīng)的更新列表。 一個客戶端計算機(jī)只能設(shè)置為同時訪問一個 WSUS 服務(wù)器。在客戶端計算機(jī)沒有和 WSUS服務(wù)器進(jìn)行通訊之前， WSUS服務(wù)器無法識別此客戶端計算機(jī)，也不會在計算機(jī)列表中列出此對象。無論 采用哪種方式，你都必須先在 WSUS服務(wù)器中創(chuàng)建相應(yīng)的計算機(jī)組。 對于具有 500個或者更低數(shù)目的客戶端計算機(jī)的 WSUS服務(wù)器的硬件需求 需求 最低 推薦 CPU 750 MHz 1 GHz 或更高 內(nèi)存 512 MB 1 GB 數(shù)據(jù)庫軟件 WMSDE/MSDE WMSDE/MSDE 對于具有 500 個～ 15000 個客戶端計算機(jī)的 WSUS 服務(wù)器的硬件需求 需求 最低 推薦 CPU 1 GHz 或更高 3 GHz 或更高的雙處理器（超過 10000 個客戶時使用雙處理器） 內(nèi)存 1 GB 1 GB 數(shù)據(jù)庫軟件 WMSDE/具有 SP3a 的 SQL Server2020 WMSDE/具有 SP3a 的 SQL Server2020 決定計算機(jī)組分配選項 23 決定如何將計算機(jī)分配到計算機(jī)組具有三個步驟：首先，你必須選擇計算機(jī)組分配的選項，你可以選擇服務(wù)器端定位或客戶端定位；其次，在 WSUS服務(wù)器中創(chuàng)建對應(yīng)的計算機(jī)組；最后，根據(jù)你選擇的分配選項，使用不同的方式來將計算機(jī)進(jìn)行分組。 決定容量需求 WSUS 服務(wù)器的硬件和數(shù)據(jù)庫軟件要求是根據(jù)你企業(yè)網(wǎng)絡(luò)中所需要進(jìn)行更新的客戶端計算機(jī)數(shù)量來決定的。只是當(dāng)內(nèi)部網(wǎng)絡(luò)的客戶端計算機(jī)下載更新文件時，所下載的更新文件要比正常的更新文件小，如下圖所示。這種特性也稱之為增量分發(fā)，因?yàn)樗皇窍螺d兩個版本文件的不同或者增加之處。 更新程序通常是由客戶端計算機(jī)上已經(jīng)安裝的文件的更新版本組成，在文件的二進(jìn)制級別上來說，它們的區(qū)別并不大。 默認(rèn)情況下， WSUS 為任何語言的所有 Windows 產(chǎn)品下載關(guān)鍵更新和安全更新，為了節(jié)省外部網(wǎng)絡(luò)帶寬和服務(wù)器空間，微軟推薦你限制更新程序?yàn)橹皇悄阈枰恼Z言。這個配置是無法修改的，完整的 WSUS 鏈必須使用相同的更新過濾設(shè)置。 更新過濾 WSUS讓你可以選擇只和 Windows Update 同步你的企業(yè)中所需要的更新，你可以通過更新的語言、產(chǎn)品和分類來對同步進(jìn)行限制。 21 延遲更新下載和批準(zhǔn)更新進(jìn)行檢測時一起工作非常有用，一方面節(jié)省了大量的外部網(wǎng)絡(luò)帶寬，另外一方面，通過更新程序元數(shù)據(jù)的下載以及批準(zhǔn)進(jìn)行檢測，就可以知道客戶端計算機(jī)是否需要此更新程序。因此，完整的 WSUS服務(wù)器鏈在同步時要么延遲更新文件下載，要么同時下載元數(shù)據(jù)和更新文件； 如果你設(shè)置為延遲更新文件下載，當(dāng)下游服務(wù)器請求一個上游服務(wù)器沒有批準(zhǔn)的更新程序時，觸發(fā)了上游服務(wù)器進(jìn)行下載，然后下游服務(wù)器在下次同步時下載此更新程序，如下圖所示。微軟推薦你總是使用這個配置，因?yàn)樗鼘?shí)現(xiàn)了最優(yōu)化的帶寬使用，當(dāng)對更新文件進(jìn)行本地存儲時，這是默認(rèn)選項。在這種配置下，只有批準(zhǔn)更新程序安裝時，才會觸發(fā)此更新文件的下載，如下圖所示。 決定性能選項 WSUS 提供了一些節(jié)省帶寬的特性，你可以根據(jù)你的部署來進(jìn)行選擇。當(dāng) WSUS 服務(wù)器和 Microsoft Update 進(jìn)行同步時，將只下載元數(shù)據(jù)；你可以通過 WSUS 控制臺批準(zhǔn)更新，安裝時客戶端計算機(jī)直接從 Microsoft Update 獲取更新文件。 遠(yuǎn)程存儲 如果你需要，你可以不進(jìn)行本地存儲。 本地存儲 你可以將更新文件存儲在 WSUS 服務(wù)器上，這節(jié)省了企業(yè)外部網(wǎng)絡(luò)連接的帶寬，因?yàn)榭蛻舳擞嬎銠C(jī)直接從 WSUS服務(wù)器獲取更新，這也是默認(rèn)選項。 將更新同步到 WSUS服務(wù)器時，元數(shù)據(jù)和更新文件將存儲在兩個不 同的位置。下載的更新的元數(shù)據(jù)軟件包通常遠(yuǎn)遠(yuǎn)小于實(shí)際的更新文件軟件包。安裝 WSUS 時，要求存儲 WSUS 數(shù)據(jù)庫的驅(qū)動器具有至少 2GB 的剩余空間。 WSUS支持使用其他計算機(jī)上的 SQL數(shù)據(jù)庫，但是具有以下限制： ? 不能將 Windows 2020 服務(wù)器作為遠(yuǎn)程 SQL 對的前端服務(wù)器； ? 不能將配置為域控制器的服務(wù)器作為遠(yuǎn)程 SQL 對的前端或后端服務(wù)器； ? 不能將 WMSDE 或 MSDE 作為后端服務(wù)器上的數(shù)據(jù)庫軟件。 具有 SP3a補(bǔ)丁的 Microsoft SQL Server 2020，在安裝 WSUS之前必須啟用了 SQL Server的嵌套觸發(fā)器選項。當(dāng)你在運(yùn)行 Windows 2020 的計算機(jī)上安裝 WSUS時，可以使用 MSDE。 Microsoft SQL Server 2020桌面引擎（ MSDE），可以從微軟免費(fèi)下載。當(dāng)在 Windows server 2020 上安裝時，如果你不愿意使用Microsoft SQL Server，推薦使用 WMSDE。 你可以使用和 Microsoft SQL 完全兼容的數(shù)據(jù)庫來作為 WSUS 數(shù)據(jù)庫，但是推薦你使 用以下三種之一： WSUS附帶的 Microsoft Windows SQL Server 2020桌面引擎（ WMSDE），只存在于安裝 19 在 Windows server 2020 上的 WSUS 服務(wù)器中，并且在 Windows server 2020 上安裝 WSUS時默認(rèn)會安裝 WMSDE。每個 WSUS服務(wù)器需要自己的數(shù)據(jù)庫，如果具有多個 WSUS服務(wù)器，必須具有多個 WSUS數(shù)據(jù)庫。 WSUS 數(shù)據(jù)庫 WSUS數(shù)據(jù)庫存儲以下信息： WSUS服務(wù)器配置信息； 用于描述更新程序作用的元數(shù)據(jù)； 客戶端計算機(jī)、更新程序信息以及客戶端計算機(jī)所進(jìn)行的更新情況。 18 分布管理模式是所有 WSUS 服務(wù)器的默認(rèn)安裝選項，你不需要任何修改就將服務(wù)器配置為此模式。這避免了當(dāng)在主服務(wù)器上修改了語言選項時，主服務(wù)器上批準(zhǔn)的更新程序數(shù)和復(fù)制服務(wù)器上批準(zhǔn)的更新程序數(shù)不匹配。 17 如果 WSUS服務(wù)器在復(fù)制模式下運(yùn)行，則只能在該服務(wù)器上執(zhí)行有限的管理功能，這些功能主要包括： ? 向計算機(jī)組添加計算機(jī)或從中刪除計算機(jī)； ? 設(shè)置同步計劃； ? 指定代理服 務(wù)器設(shè)置； ? 指定更新源，更新源可以是管理服務(wù)器之外的服務(wù)器，但是不能選擇為 Windows Update； ? 查看可用更新； ? 監(jiān)視更新、同步和計算機(jī)的狀態(tài)，并監(jiān)視服務(wù)器上的 WSUS 設(shè)置； ? 提供所有的標(biāo)準(zhǔn)的 WSUS 報告功能。注意，計算機(jī)組的成員關(guān)系不會復(fù)制，僅僅是復(fù)制計算機(jī)組對象本身，你必須在復(fù)制服務(wù)器上添加客戶端計算 機(jī)對象到計算機(jī)組中。 集中管理 集中管理模式的 WSUS 服務(wù)器采用獨(dú)立管理服務(wù)器和復(fù)制服務(wù)器這兩種角色，它的含義是單個服務(wù)器（主服務(wù)器）作為獨(dú)立管理服務(wù)器，而一個或多個從屬服務(wù)器（復(fù)制服務(wù)器）只是復(fù)制主服務(wù)器上的數(shù)據(jù)，組織結(jié)構(gòu)如下圖所示。 部署 WSUS 服務(wù)時， 補(bǔ)丁管理員 先 通過在其他連接到 Inter 上的 WSUS 服 務(wù)器上導(dǎo)出更新程序數(shù)據(jù)，再通過其他媒體復(fù)制到政務(wù)網(wǎng)的 WSUS 服務(wù)器上，最后導(dǎo)入更新程序數(shù)據(jù)，此過程如下圖所示。 部署 方式 基于 SCCM 中的 WSUS 的微軟 更新服務(wù)體系為三級結(jié)構(gòu)： Microsoft Update政務(wù) 網(wǎng)絡(luò)中的 SCCM 服務(wù)器 客戶端計算機(jī)的自動更新。 ? 補(bǔ)丁更新狀態(tài)報告 在 Configuration Manager 中，新的軟件更新引擎還提供接近實(shí)時的更新狀態(tài)以啟用更好的報告和增強(qiáng)的主頁視圖。 SCCM 同樣可以管理以確保對關(guān)鍵的業(yè)務(wù)應(yīng)用程序的訪問并保持最新的安全配置，同時還向 IT 人員提供應(yīng)用程序配置、狀態(tài)和使用情況等方面的信息。 ? 新機(jī)器或長時間關(guān)機(jī)的機(jī)器自動補(bǔ)丁升級 對于新機(jī)器和一些很久沒有連入網(wǎng)絡(luò)的機(jī)