KEDJAR Damien
SIIM94
Base de connaissance WSUS
PROJET PROFESSIONNEL
SOMMAIRE
Cahier des charges
Introduction
L’expression du besoin Description de l’existant Définition WSUS
Prérequis
Réalisation du projet
Installation du rôle WSUS
Configuration WSUS
Introduction
Le SIIM94 est né il y a 40 ans d’une volonté des 5 villes fondatrices de faire dans le cadre du service public, pour disposer de systèmes d’information sécurisés et fiables, en utilisant le levier de la mutualisation
comme un outil de déploiement de technologies à forte valeur ajoutée, à des coûts maîtrisés Les défis actuels sont multiples, et justifient toujours pleinement le recours aux solutions mutualisées. La
mutation numérique a durablement modifié les attentes des citoyens, qui souhaitent désormais de la part de leurs services publics une information immédiate, fiable et accessible.
Plus que jamais, le service public local doit s’appuyer sur des compétences de pointe pour que son outil informatique assure à la fois une efficacité, une sécurité et une indépendance maximale. En particulier, la sécurité des systèmes d’information est devenue un enjeu stratégique, notamment la production, la transmission et l’hébergement des données des services publics.
Face à ces nouveaux enjeux, et riche des valeurs qui l’ont toujours animé, le SIIM94 poursuit sa mutation et s’attache à fournir des services innovants à ses collectivités.
Expression du besoin
L’équipe du SIIM94 souhaite mettre en place un service permettant de choisir l’heure à laquelle lancer les mises à jour Windows sur tout le parc informatique en même temps (en dehors des heures activités) ce qui de gagner du temps de travail.
Existant
L’équipe du SIIM94 possède ses propres baies de stockage. Elle a mis en place un serveur de test ESXI sur lequel tout est configuré (domaine, Active Directory, poste client…) où nous allons donc installer le service souhaité.
Définition
Windows Server Update Services (WSUS) est un service permettant de distribuer les mises à jour pour Windows et d'autres applications Microsoft sur les différents ordinateurs fonctionnant sous Windows au sein d'un parc informatique. WSUS est un rôle pour serveur Windows lui permettant ainsi de devenir un serveur de mises à jour local (ou proxy de mises à jour). Ce serveur télécharge et stocke ponctuellement l'ensemble des mises à jour disponibles auprès des serveurs Windows Update de Microsoft et rend possible le contrôle de la diffusion de celles-ci dans le parc.
Par défaut chaque ordinateur sous Windows faisant ses mises à jour, les télécharge directement sur les serveurs de Microsoft, ce qui demande beaucoup de bande passante au niveau de l'accès internet dans un parc composé de nombreuses machines.
Prérequis
Avant de mettre en place ce service, il faut configurer au mieux l’environnement Windows Server. Cela implique de bonnes pratiques Active Directory. L’Active Directory est variable en fonction des entreprises, l’organisation de celui-ci dépend de l’étendue et du périmètre sur lequel il va agir et comment, il faut donc d’abord réfléchir à la meilleure façon d’organiser son Active Directory.
En ce qui nous concerne, nous avons mis en place une VM Windows Server 2012 R2 sous Windows 7
Installation du serveur KMS Ajouter des rôles et fonctionnalités.
Sélectionner les services de rôle utiles à WSUS.
Puis au choix, la WID Database OU la base de données.
WID Database : c’est la base de données interne au serveur, utilisant une instante de SQL Server Express. Vous avez besoin d’aucun outil supplémentaire :
Base de données : si vous souhaitez utiliser une base de données SQL Server séparée, cochez cette option.
Ensuite, on doit indiquer en emplacement où seront stockées les mises à jour téléchargées.
Cliquez sur Lancer les tâches de post-installation.
Lancer l’assistant de configuration du serveur WSUS.
Dans le Gestionnaire de serveur, sélectionnez le module WSUS. Puis, dans le volet central, effectuez un clic droit sur le serveur, puis choisissez Services WSUS.
Cocher la case Synchroniser à partir de Windows Update pour récupérer les mises à jour.
Cliquez sur le bouton Démarrer la connexion afin de lancer la procédure.
Sélectionner les langues des mises à jour.
Cochez ensuite le choix des produits qui doivent mis à jour.
Enfin, choisir si la synchronisation doit se faire de manière automatique, ou manuelle.
Configuration WSUS
Mises à jour
En cliquant sur l’une des rubriques, on a la possibilité de filtrer l’affichage, en choisissant d’afficher les mises à jour par catégories (Approuvée, Non Approuvée…)
Le volet central montre les mises à jour, avec leur classification (mise à jour critique, ensemble de mises à jour…), le pourcentage d’installation de l’update au sein du parc, ainsi que l’état de l’approbation (non approuvée, prêt pour l’installation…)
Pour s’installer sur les postes client, la mise à jour doit avoir été approuvée. Pour cela, effectuez un clic droit sur une mise à jour, puis cliquez sur Approuver. Vous devez indiquer quels sont les groupes d’ordinateur pour lesquels la mise à jour doit être approuvée.
Vous avez également la possibilité de définir une date limite pour l’installation d’une mise à jour avant expiration : Aucune limite, une semaine, deux semaines, un mois, voire une date
personnalisée. Pour cela, effectuez un clic sur un groupe au sein de cette même fenêtre, puis choisissez Date limite.
De même, vous avez la possibilité de refuser une mise à jour. Pour cela, effectuez un clic droit sur la mise à jour, et sélectionnez Refuser.
Attention, certaines mises à jour peuvent être au fil du temps remplacées par d’autres. Il est alors utile d’approuver la nouvelle mise à jour, et de refuser l’ancienne. Dans le descriptif, il est indiqué quelle mise à jour remplace telle autre.
Par défaut, les mises à jour ne sont téléchargées sur le serveur qu’une fois qu’elles ont été approuvées. Ce paramètre peut cependant être modifié dans les options du serveur WSUS.
Ordinateurs
Pour créer un nouveau groupe, effectuez un clic droit sur Tous les ordinateurs, puis choisissez Nouveau groupe d’ordinateurs. Indiquez un nom, puis cliquez sur Appliquer.
Par défaut, lors de leur détection par le serveur WSUS, les PC sont placés dans le groupe
Ordinateurs non attribués. Quelques minutes sont nécessaires afin que ces derniers produisent un rapport d’état, afin qu’ils puissent utiliser WSUS.
Depuis cette rubrique, vous pouvez voir d’un coup d’œil un résumé des postes utilisant WSUS avec leur nom, adresse IP, OS, pourcentage des mises à jour installées, et la date du dernier rapport.
Par contre, via la GPO les postes iront directement dans la branche définie
Vous avez également la possibilité d’en savoir plus sur un poste, en affichant son rapport d’état.
Pour cela, effectuez un clic droit sur un ordinateur, puis choisissez Rapport d’état.
Vous aurez alors la possibilité de filtrer les mises à jour affichées par classification, produit, ou état, et voir précisément le résumé des mises à jour installées, ou non.
Note : Afin de permettre l’affichage de rapport, le module Microsoft Report Viewer doit être installé.
Serveurs en aval
Si votre architecture regroupe des serveurs WSUS placés en amont, cette rubrique vous permet la gestion de ces derniers.
Synchronisations
Le serveur WSUS se synchronisera aux horaires que vous avez indiqués lors de l’assistant de configuration, ou en passant par ce module si vous avez configuré une configuration manuelle.
Vous pouvez voir sur cet écran les différentes synchronisations effectuées, avec les heures, l’état de la synchronisation, ainsi que le nombre de mises à jour relevées.
Vous pouvez afficher un rapport en faisant un clic droit sur une entrée, et en choisissant Rapport de synchronisation. Ainsi, vous verrez le détail des mises à jour récupérées.
Si vous avez choisi la synchronisation manuelle, vous pouvez effectuer une mise à jour en faisant un clic droit sur Synchronisation dans le volet de gauche, puis Synchroniser maintenant.
Rapports
Pour vous y retrouver un peu, vous avez la possibilité de générer des rapports, via Rapports présent. Vous avez le choix parmi une pléthore d’options, afin d’afficher :
Des rapports de mises à jour (installées, non installées, sur quels postes…) Des rapports d’ordinateur (État des ordinateurs…)
Des rapports de synchronisations (État des synchronisations)
Options
Source des mises à jour et serveur proxy
Possibilité d’indiquer si le serveur WSUS récupère ses données depuis Windows Update, ou depuis un autre serveur WSUS. Vous pouvez également entrer l’adresse d’un serveur proxy si besoin.
Produits et classifications
On peut choisir le type de mises à jour (OS, Office…) et classifications (Mises à jour critiques, de sécurité…) concernées.
Fichiers et langues des mises à jour
Possibilité de choisir si on souhaite que les fichiers de mises à jour ne soient téléchargés qu’une fois que les mises à jour ont été approuvées ou si on souhaite télécharger les fichiers
d’installation rapide, qui permettent d’accélérer le téléchargement et l’installation sur les ordinateurs.
On peut également choisir les langues de fichiers à récupérer.
Planification de la synchronisation
On peut ici indiquer si on souhaite une synchronisation du serveur WSUS automatique, ou bien manuelle.
Approbation automatique
Si on a besoin d’approuver automatiquement certaines mises à jour, on peut le faire via cette rubrique. Possibilité de créer des règles d’approbation automatique. Cela peut être :
Selon une classification précise Selon un produit précis
Après un délai.
Pour définir une nouvelle règle, cliquez sur Nouvelle règle, puis entrez les critères de votre choix.
Dans l’onglet Avancé, on a également la possibilité d’approuver automatiquement les mises à jour du produit WSUS lui-même, les nouvelles révisions de mises à jour déjà approuvées, ou refuser automatiquement les mises à jour lorsqu’une nouvelle révision entraîne leur expiration.
Ordinateurs
Ici, deux possibilités pour l’attribution des ordinateurs aux groupes. Vous pouvez en effet soit Utiliser la console Update Services, soit Utiliser les paramètres de stratégie de groupe ou de Registre sur les ordinateurs.
Assistant de nettoyage du serveur
Un assistant permet de faire le ménage, et ainsi supprimer :
- Les mises à jour et révisions de mises à jour inutilisées, c’est à dire arrivées à expiration et non approuvées au cours de 30 derniers jours, ainsi que les anciennes révisions de mises à jour qui n’ont pas été approuvées depuis 30 jours ou plus
- Les ordinateurs ne contactant pas le serveur depuis 30 jours ou plus
- Les fichiers de mise à jour inutiles, à savoir les fichiers non utilisés par les mises à jour ou les serveurs en aval
- Les mises à jour ayant expiré, non approuvées et qui ont été déclarées comme obsolètes par Microsoft
- Les mises à jour replacées, qui n’ont pas été approuvées depuis 30 jours ou plus, qui ne sont utilisées par aucun client et qui sont remplacées par une mise à jour approuvée
Cumul des rapports
Utilisez si on souhaite que les serveurs réplicas en aval cumulent les états de mise à jour et des ordinateurs vers ce serveur WSUS.
Notifications par courrier électronique
Si on souhaite être averti lorsque de nouvelles mises à jour sont synchronisées, ou si on souhaite recevoir des rapports d’état, on peut configurer ces réglages.
Ne pas oubliez de configurer un serveur SMTP via l’onglet Serveur de messagerie.
Assistant de configuration du serveur WSUS Possibilité de reprendre tous les réglages.
