Ova lekcija predstavlja Windows Server Update Services (WSUS), alatku za upravljanje i distribuciju softverskih ažuriranja koji rešavaju sigurnosne ranjivosti i druge probleme koji se odnose na stabilnost sistema.

WSUS omogućava administratoru da izgradi najnovija Majkrosoft ažuriranja za proizvode na kompjuterima na kojima rade Windows operativni sistemi.

Microsoft Update

Microsoft Update je veb sajt koji nam pomaže da naše sisteme držimo ažuriranje. Koristimo Microsoft Update za dobijanje ažuriranja za Windows operativne sisteme i aplikacije, za ažuriranje drajvera uređaja i softvera. Novi sadržaj se regularno dodaje na sajt, tako da administratori mogu uvek da dobiju najnovija ažuriranja koja pomažu u zaštiti servera i klijentskih kompjutera na mreži.

Šta su ažuriranja: Ažuriranja uključuju sigurnosne Fix-eve (Security Fixes), kritična ažuriranja i kritične drajvere. Ova ažuriranja razrešavaju dobro poznate probleme koji se odnose na sigurnost i stabilnost u Windows 2000, Windows XP i Windows Server 2003 i 2008 operativnih sistema. Microsoft Update sajt takođe sadrži ažuriranja za aplikacije kao što su Microsoft Office, Microsoft Exchange Server i Microsoft SQL Server.

Kategorije ažuriranja: Kategorije za ažuriranja Windows operativnih sistema su:

• Critical Updates: Security Fixes i druga važna ažuriranja su veoma bitni da bi održali kompjutere i mreže sigurnim.
• Recommended Downloads: najnoviji Windows i Microsoft Internet Explorer servisni paketi i važna ažuriranja.
• Windows tools: Alatkice i druge olakšice koje mogu da pomognu u poboljšanju performanse, uprošćavanju nadogradnje i pri smanjenju tereta administratora.
• Internet and Multimedia updates: Najnovija Internet Explorer ažuriranja, nadogradnje za Windows Media Player-e i drugo.
• Additional Windows Downloads: Ažuriranja za desktop postavke i druge Windows karakteristike.
• Multilanguage features: Meniji i dijalog boksevi, podrška sa jezike i imput metod editor za razne jezike.

Automatsko ažuriranje (Automatic Updates)

Automatsko ažuriranje je konfiguraciona opcija u Windows-u. Ona može da preuzima i instalira ažuriranja operativnog sistema bez ikakve intervencije korisnika. Ažuriranja se mogu preuzeti sa Microsoft Update veb sajta ili koristeći WSUS Server. Konfiguracijom automatskog ažuriranja administrator može da upravlja sa centralne lokacije na mreži.

Opcije za automatsko ažuriranje: Automatsko ažuriranje nam daje fleksibilnost pri odlučivanju kada i na koji način će ažuriranja biti instalirana. Opcije su:

• Automatic: Ažuriranja se preuzimaju i instaliraju automatski u zakazano vreme. Ova opcija instalira ažuriranja za sve korisnike i preporučuje se od strane Majkrosofta. Ako se kompjuter isključi u toku zakazon vremena ažuriranja, Windows će startovati instalaciju ažuriranja odmah nakon sledećeg startovanja kompjutera. Ovo je preporučena opcija.
• Download updates for me, but let me choose when to install them: Ažuriranja se preuzimaju automatski, ali se neće instalirati sve dok administrator ne odluči da ih instalira.
• Notify me but not automatically download or install them: Ažuriranja se neće automatski preuzimati i instalirati. Obaveštenja o novim ažuriranjima će se prikazivati samo kada je lokalni administrator ulogovan na kompjuter.
• Turn off Automatic Updates: Neće biti nikakvih obaveštenja o dostupnim ažuriranjima za kompjuter. Ova opcija se ne preporučuje. 

Obaveštenja o dostupnim ažuriranjima: Nakon što je preuzimanje završeno, pojavljuje se ikonica u delu za obaveštenja na task baru sa porukom da su ažuriranja spremna za instalaciju. Ako kliknemo na ikonicu ili na poruku koja nam se prikazuje, Automatic Updates će nas povesti kroz instalacioni proces. Ako izaberemo da ne želimo da instaliramo specifična ažuriranja koja su preuzeta, Windows briše te fajlove sa kompjutera. U slučaju da se kasnije predomislimo, možemo ta ažuriranja da preuzmemo otvaranjem System Properties dijalog boksa, klikom na Automatic Updates karticu i nakon toga klikom na Offer updates again that I have previously hidden.

Digitalno potpisivanje: Da bismo bili sigurni da programi koje smo preuzeli sa Microsoft Udpate sajta dolaze zaista od Majkrosofta, svi fajlovi su digitalno potpisani. Svrha digitalnog potpisivanja je osiguravanje autentičnosti i integriteta potpisanih fajlova. Automatsko ažuriranje instalira fajl samo ako postoji digitalni potpis.

Windows Server Update Services?

 
WSUS omogućava administratoru da izgradi najnovija Majkrosoft ažuriranja za proizvode na kompjutere na kojima rade Windows Server 2003, Windows Server 2008, Windows Vista, Microsoft Windows XP SP2 i Windows 2000 SP 4 operativni sistemi. Korišćenjem WSUS-a omogućava administratoru upravljanje distribucijom ažuriranja svim mrežnim kompjuterima.

WSUS 3.0 nudi poboljšanja u sledećim područjima:

• Lak za korišćenje
• Poboljšana izgradnja opcija
• Bolja podrška i optimizacija propusnosti
• Mogućnost proširivanja WSUS 3.0 koristeći Impoved Application Programming Interfaces (APIs)

Windows Server Update Services proces

 

Preporučujemo Ongoing Four-phase (četvorofazno) dolaženje do Update Management procesa: Procena (Assess), identifikovanje (Identify), evaluacija i plan (ocenjivanje i planiranje), izgradnja (Deploy). Veoma je važno ponoviti Update Management Proces u procesu koji se odvija kad nova ažuriranja, koja mogu da povećaju zaštitu produkcijskog okruženja, budu dostupna.

Svaka faza ima različite ciljeve i metode za korišćenje WSUS karakteristika da bi se osgurala uspešnost u toku Update Management procesa. Važno je upamtiti da administrator može da upotrebi mnoge karakteristike u više od jedne faze.

Serverski zahtevi za WSUS

Zahtevi za WSUS server uključuju:

• Windows Server 2003 SP1 ili Windows Server 2008,
• Microsoft Internet Information Services (IIS) 6.0 ili noviji,
• Windows Instaler 3.1 ili noviji,
• Microsoft .NET Framefork 2.0,
• SQL Server 2005 SP1 ili noviji,
• Microsoft Report Viewer Redistributable 2005.

Broj klijentskih kompjutera koje naša organizacija ažurira su zahtevi koji se odnose na Drives Hardware i Database Software. WSUS server koristi preporućeni hardver koji može da podrži najviše 20000 klijenata. Administrator mora da formatira i sistemsku particiju i particiju na kojoj je instaliran WSUS sa NTFS fajl sistemom.

Automatic Updates konfiguracija

Administrator može da koristi grupne polise ili redzžstri da bi konfigurisao Automatic Updates (automatsko ažuriranje). Konfiguracija Automatic Updates uključuje ukazivanje klijentskim kompjuterima na postojanje WSUS servera, osiguravanjem da Automatic Updates Software koji koristimo bude dobar i da su konfigurisani sve dodatne postavke za okruženje.

Najbolji način za konfiguraciju opcija za Automatic Updates i WSUS zavisi od našeg mrežnog okruženja. U okruženju sa aktivnim direktorijumom koristimo grupne polise, dok u okruženju koje nema aktivni direktorijum možda ćemo koristiti Local Group Policy Object (GPO) ili ćemo direktno editovati redžistri.

• Konfiguracija Automatic Updates-a koristeći grupne polise: Computer Configuration > Administrative templates > Windows Components > Windows Update.
• Zahteva ažurirani wuau.adm administrativni šablon.
• Zahteva: Windows Vista, Windows Server 2008, Windows Server 2003, Windows XP Professional SP2, Windows 2000 professional SP4, Windows 2000 Server-Advanced Server SP3 ili SP4.

 

WSUS administracija

 

 

WSUS 3.0 administrativna konzola se promenila iz Web-based konzole u Plug-in for MMC Version 3.0. WSUS 3.0 administrativna konzola takođe omogućava administratoru da:

• udaljeno upravlja WSUS-om,
• konfiguriše zadatke nakon instalacije koristeći Wizard,
• generiše više izveštaja sa povećanom preciznosću,
• održava zdravlje servera na lakši način.

Prvi korak u izgradnji WSUS 3.0 SP1 na Windows Server 2008 kompjuter u organizaciji je preuzimanje WSUS 3.0 SP1 softvera sa majkrosoft veb sajta. WSUS 3.0 SP1 nije uključen kao uloga ili karakteristika u Windows Server 2008, ali je softver slobodan i može se skinuti sa Majkrosoft sajta i može se instalirati na licencirane Windows Server 2008 kompjutere. WSUS 3.0 SP1 ne može da se instalira na kompjuterima na kojima radi Windows Server Core instalacija.

WSUS 3.0 SP1 je prva verzija WSUS koju možemo da instaliramo i startujemo na Windows Server 2008 kompjuteru. Takođe, možemo da startujemo ranije verzije WSUS-a na Windows Server 2003 virtualnoj mašini na Windows Server 2008 hostu.

Možemo da instaliramo WSUS 3.0 SP1 ako su na Windows Server-u 2008 omogućene sledeće serverske komponente:

• Windows Authentication (autentifikacija)
• Static Content
• ASP.NET
• IIS 6.0 Management Compatibility
• IIS 6.0 Metabase Compatibility

Finalna potrebna komponenta je Microsoft Report Viewer, verzija 2005 ili novija, koja nije dostupna kao dodatna uloga ili karakteristika u Windows Server 2008 operativnom sistemu. Ovaj softver se mora preuzeti sa Majkrosoft veb sajta. Nakon što su ove komponente instalirane i omogućene i nakon što je Report Viewer instaliran, moći ćemo da instaliramo WSUS 3.0 SP1.

Instalacija WSUS 3.0 SP1 na Windows Server 2008 kompjuteru generiše sledeće dve lokalne grupe koje funkcionišu kao WSUS administrativne uloge. Možemo da dodelimo uloge korisnicima dodavanjem njihovih korisničkih naloga u relevantne grupe koje poseduju potrebna prava za upravljanje WSUS-om. WSUS administrativne grupe su:

• WSUS Administrators: Korisnici čiji nalozi su članovi ove lokalne grupe su u mogućnosti da upravljaju WSUS serverom. Ovo uključuje administrativne zadatke, od odobravanje ažuriranja i konfiguracije kompjuterskih grupa pa sve do konfigurisanja automatskih odobravanja ažuriranja. Korisnik koji je član ove grupe može da koristi Update Services konzolu da bi mogao udaljeno da se konektuje i upravlja WSUS serverom.
  
  
• WSUS Reporters: Korisnici čiji su korisnički nalozi članovi ove lokalne grupe su u mogućnosti da kreiraju izveštaje na WSUS serveru. Korisnik koji je član ove grupe, može udaljeno da se konektuje na WSUS server koristeći Update Services konzolu da bi startovao ove izveštaje.

Upravljanje kompjuterskim grupama

Grupe kompjutera (Computer Groups) su važan deo WSUS izgradnje, čak i one najprostije. Kompjuterske grupe omogućavaju nam da označavamo ažuriranja za specifične kompjutere. Imamo dve defoltne grupe kompjutera: All Computers i Unassigned Computers. Po defoltu, kada svaki klijentski kompjuter inicijalno kontaktira WSUS server, server dodaje klijentski kompjuter u svaku od ovih defoltnih grupa.

Administrator može da kreira prilagođene (Custom) kompjuterske grupe. Jedna od prednosti kreiranja kompjuterskih grupa je to što one omogućavaju administratoru testiranje ažuriranja pre njihove šire izgradnje. Ako testiranje prođe na najbolji način, možemo da odobrimo ažuriranje grupi kompjutera ili All Computers grupi. Ne postoji ograničenje kad je u pitanju broj prilagođenih grupa koje administrator može da kreira.

Kompjuterske grupe:

• kompjuteri se automatski dodaju,
• defoltne kompjuterske grupe su: All Computers i Unassigned Computers,
• Client-Side Targeting.

Odobravanje ažuriranja (Approving Updates)

Nakon što su ažuriranja sinhronizovana sa našim WSUS serverom, odrađuje se automatsko skeniranje da bi se proverila relevantnost serverovih klijentskih kompjutera. Ipak, administrator mora ručno da odobri (Approve) ažuriranja pre nego što počnu da se instaliraju na našim mrežnim kompjuterima. Kada administrator odobri ažuriranja, on određuje šta če WSUS da uradi sa njima (opcije su Install ili Decline). Možemo da odobrimo ažuriranja za sve kompjutere, za grupu All Computers ili možemo da odobrimo ažuriranja nekoj od prilagođenih grupa koju smo kreirali na WSUS serveru. Ako ne odobrimo nijedno ažuriranje, njegov Approval status ostaje Not Approved i naš WSUS server dozvoljava klijentima da izvrše procenu da li im je ažuriranje potrebno.

Approval opcije uključuju:

• Install
• Decline
• Unapprove
• Removal