Windows Update

[Mouka]

Hallo,
ich betreibe einen WAPT-Server unter CentOS 7.5.
Die WAPT-Serverversionen sind 1.8.0,
1.8.0.6631,
1.8.0.6641 und
1.8.0.6641.

Ich teste gerade WAPT Windows Update.

Gibt es eine Möglichkeit, eine Liste aller Windows-Updates zu erhalten, die für mindestens einen Client-Rechner erforderlich sind? Insbesondere die Anzahl der Computer, die dieses Update benötigen.

In PowerShell verwende ich `.ComputersNeedingThisUpdate` für jedes Update.

Wenn ich beispielsweise die Update-ID habe, kann ich die Anzahl der PCs, die dieses Update benötigen, mit folgendem Befehl ermitteln: `
(Get-WsusUpdate -UpdateServer $WSUSServer -UpdateId 62df7893-67b9-4673-ad61-4e0381474671).ComputersNeedingThisUpdate`.

So kann ich diese Updateliste über ein WAPT-Paket auf mehrere Client-Rechner anwenden, von denen mindestens einer das Update benötigt.
Es ist nicht praktikabel, jedem Client einzeln eine Updateliste zuzuweisen, wie es die WAPT-Windows-Update-Funktion derzeit ermöglicht.

Vielen Dank.

[Sfonteneau]

Guten Morgen

Ich habe hier ein Ticket eröffnet, um die Schaltfläche „Clients anzeigen“ zum Windows Update-Tab hinzuzufügen

In der Zwischenzeit können Sie hierfür eine SQL-Abfrage ausführen:

Code: Alle auswählen

SELECT h.computer_fqdn,w.status,w.installed,w.update_id
from wsusupdates u
left join hostwsus w on w.update_id=u.update_id
left join hosts h on h.uuid=w.host_id
where '2538243'=any(u.kbids)     

Im Beispiel ist 2538243 die KB-Zahl kb2538243

[Mouka]

Vielen Dank für Ihre schnelle Antwort.
Ich sehe, dass Wapt Windows Updates eine sehr detaillierte Verwaltung von Windows-Updates für jeden einzelnen PC ermöglicht.
Könnten Sie mir bitte versichern, dass Wapt Windows Updates nicht dazu dient, Updates PC für PC zu installieren?
Wie gehe ich vor, wenn ich beispielsweise alle „Nur kritische“ Updates auf 200 PCs installieren möchte?
Und was passiert, wenn ich dies auf allen 200 PCs tue, obwohl einige diese Updates gar nicht benötigen? Ich kann ja nicht jeden Tag Wapt-Pakete für PCs erstellen, die bestimmte Updates benötigen. Außerdem ändert sich die Liste der PCs, die heute ein Update benötigen, morgen.
Vielen Dank nochmals.

[Sfonteneau]

Mir ist aufgefallen, dass Wapt Windows Updates eine sehr detaillierte Verwaltung von Windows-Updates für jeden einzelnen PC ermöglicht.
Aber mal ehrlich, der Zweck von Wapt Windows Updates ist doch nicht, Updates PC für PC zu installieren, oder?

Seien Sie versichert, dass Wapt Windows Updates nicht dazu dient, Updates PC für PC zu installieren

Wie gehen Sie vor, wenn ich beispielsweise alle „Nur kritische“ Updates auf 200 PCs anwenden möchte?

Falls Sie alle kritischen Updates auf Ihre gesamte Flotte anwenden möchten, können Sie ein WSUS-Paket „wsus-critique-only“ erstellen und alle kritischen Fahrerhäuser als „zulässig“ hinzufügen.

Anschließend können Sie das wapt wsus-critique-only Paket in Ihrem gesamten Netzwerk (oder beispielsweise über eine Organisationseinheit) verteilen.

Wenn Sie nun einen Scan nach Windows-Updates durchführen, werden alle Updates als fehlend angezeigt, da sie autorisiert wurden.

Aber vor allem: Was passiert, wenn ich es auf diesen 200 PCs mache, von denen einige diese Updates gar nicht benötigen?

Kein Problem. Wir erlauben Updates, erzwingen aber keine Installation. Wenn wir ein Windows 7-Update auf einem Windows 10-System zulassen, wird die Installation nicht gestartet

Da ich nicht täglich Wapt-Pakete für PCs mit spezifischen Updates bereitstellen kann. Ganz abgesehen davon, dass die Liste der PCs, die heute Updates benötigen, morgen nicht mehr dieselbe sein wird.
Vielen Dank nochmal.

Die Datei wsusscn2.cab wird einmal im Monat, am zweiten Dienstag des Monats, veröffentlicht. Alternativ können Sie die Datei wapt-get.ini so konfigurieren, dass Überprüfungen automatisch zugelassen werden

https://www.wapt.fr/fr/doc/wapt-usage/w ... wapt-agent

Code: Alle auswählen

[waptwua]
allowed_severities=Critical
 

Diese Methode empfehle ich allerdings nicht; ich finde es genauso einfach, einmal im Monat (zum Beispiel am zweiten Donnerstag jedes Monats) nachzusehen und die Daten selbst zu sortieren – das ist übersichtlicher

[Mouka]

Super, genau das hatte ich mir erhofft.
Ich teste gerade noch wapt ent. Ich möchte KB925673 auf mehreren Client-PCs deinstallieren. Dazu habe ich eine Regel namens sup-KB925673 erstellt, die KB925673 enthält, aber als verbotenes Update kennzeichnet. (KB925673 ist in der KB-Liste nicht leicht zu finden, da es keine Suchfunktion gibt. Durch Sortieren nach KB-Nummern lässt es sich aber beheben.) Also!
Ich habe ein wapt-Paket namens sup-KB925673. Dieses weise ich einem Client-PC zu, von dem ich KB925673 entfernen möchte.
In der Konsole links wähle ich den betreffenden Client-PC aus, rechts das Paket sup-KB925673 und klicke auf „Paket installieren“. Der Vorgang startet …
und sollte KB925673 von meinem Client-PC deinstallieren.
Tut er aber nicht!
Selbst ein Neustart des Client-PCs bringt nicht das gewünschte Ergebnis …

[dcardon]

Hallo Mouka,

Sehr gut, genau das hatte ich mir erhofft.
Ich teste wapt ent noch. Ich möchte KB925673 auf mehreren Client-PCs deinstallieren. Dazu habe ich eine Regel namens sup-KB925673 erstellt, die KB925673 enthält, aber als verbotenes Update kennzeichnet. (KB925673 ist in der KB-Liste nicht leicht zu finden, da es keine Suchfunktion gibt. Durch Sortieren nach KB-Nummern geht es aber.) Jedenfalls!
Ich habe also ein wapt-Paket namens sup-KB925673. Dieses weise ich einem Client-PC zu, von dem ich KB925673 entfernen möchte.
In der Konsole links wähle ich den betreffenden Client-PC aus, rechts das Paket sup-KB925673 und klicke auf „Paket installieren“. Der Deinstallationsassistent läuft…
und sollte KB925673 von meinem Client-PC entfernen.
Aber er tut nichts!
Auch ein Neustart des Client-PCs bringt nicht das gewünschte Ergebnis…

Der WAPT-Windows-Update-Client verhält sich in dieser Hinsicht ähnlich wie WSUS: Er blockiert die Installation von KB-Updates, deinstalliert sie aber nicht, falls sie bereits installiert sind. WSUS bietet zusätzlich die Möglichkeit, die Deinstallation von einem bestimmten Computer aus anzufordern. Das Problem hierbei ist, dass die meisten KB-Updates von Microsoft als „nicht deinstallierbar“ gekennzeichnet sind. In der Praxis lassen sie sich zwar oft trotzdem deinstallieren, der Erfolg ist jedoch nicht garantiert.

Um dieses Verhalten zu reproduzieren und die Deinstallation zu erzwingen, muss ein Deinstallationspaket erstellt werden (ich werde versuchen, ein Beispiel zu veröffentlichen). Ich prüfe, ob wir die Paketerstellung in den Assistenten integrieren können.

Aufrichtig,

Denis

[Mouka]

Okay, ich warte auf Ihre Antwort.
Ich habe ein WAPT-WUA-Paket namens sup-KB925673, wie oben erwähnt, das aber nicht das gewünschte Ergebnis lieferte. Ich möchte dieses Paket (von dem es zwei Versionen gibt) nun entfernen. Es ist keinem Rechner mehr zugewiesen. Ich hatte gehofft, über das Kontextmenü eine Option wie „Löschen“ oder „Entfernen“ zu finden, aber leider gibt es keine.
Gibt es eine Möglichkeit, die Regel für das WAPT-WUA-Paket sup-KB925673 zu löschen, sodass es nicht mehr in der Liste der WAPT-WUA-Pakete erscheint? Vielen Dank.

[Mouka]

Ich habe die Antwort: Mit „Ausgewählte Zeilen löschen“ wird nämlich nicht nur die Zeile aus der Tabelle, sondern das gesamte Paket vom Server gelöscht.

[dcardon]

Hallo Mouka,
Um das Paket zu entfernen, müssen Sie ein Deinstallationspaket erstellen. Das folgende Beispiel dient als Orientierung (in diesem Beispiel wird ein KB-Artikel entfernt, der die ActiveX-Unterstützung in Internet Explorer deaktiviert). Dieses Paket wird direkt in die WAPT-Windows-Update-Oberfläche integriert.
Aufrichtig,
Denis

Code: Alle auswählen

# -*- coding: utf-8 -*-
from setuphelpers import *
from waptenterprise.waptservice.enterprise import *
uninstallkey = []

def install():
    print('installing %s' % control.asrequirement())
    installed_kbs = installed_windows_updates()
    for kb in ['4487017','4018300']:
        if force or [u for u in installed_kbs if u['HotFixID'] == 'KB%s' % kb]:
            try:
                print('Trying to uninstall %s' % kb)
                active_sessions = get_active_sessions()
                for session_id in active_sessions:
                    start_interactive_process(makepath(system32(),'wusa.exe'),'/uninstall /kb:%s /norestart /quiet' % (kb,) ,session_id=session_id)
                #print(run('wusa.exe /uninstall /kb:%s /norestart' % kb,timeout=60))
            except Exception as e:
                print('Unable to uninstall %s: %s' % (kb,e))
        else:
            print('%s is not installed' % kb)

def audit():
    print('Auditing %s' % control.asrequirement())
    installed_kbs = installed_windows_updates()
    errors = []
    for kb in ['4487017','4018300']:
        if [u for u in installed_kbs if u['HotFixID'] == 'KB%s' % kb]:
            errors.append(kb)
    if errors:
        print('Errors : %s' % errors)
        return 'ERROR'
    else:
        return 'OK'