WSUS अद्यतन स्वीकृत: आयात, निर्यात, प्रतिलिपि

प्रागितिहास

कुछ समय पहले तक, मैंने एक बड़ी रूसी कंपनी में देश भर में कई कार्यालयों के साथ एक एनेकेशिक के रूप में काम किया। मेरे अधिकार क्षेत्र में सुदूर पूर्व (यह महत्वपूर्ण है) के विभिन्न शहरों में स्थित ग्यारह स्थल थे। इन कार्यालयों में से प्रत्येक का अपना स्वयं का था, दूसरों से जुड़ा नहीं था, नेटवर्क का बुनियादी ढांचा - अपना स्वयं का विज्ञापन डोमेन, अपना स्वयं का सबनेट, आदि।

एक बार, प्रबंधन ने मुझे स्वचालित रूप से एमएस से ओएस और कार्यक्रमों को अपडेट करने की प्रक्रिया को व्यवस्थित करने का कार्य निर्धारित किया और मुझे रिपोर्टिंग प्लेटफार्मों पर WSUS तैनात करने की अनुमति दी।

समस्या

WSUS तैनात होने के बाद, WSUS समूहों के साथ कंप्यूटर को संबद्ध करने के लिए नीतियों को कॉन्फ़िगर किया गया था, सामग्री कैटलॉग को एमएस सर्वर, आदि के साथ सिंक्रनाइज़ किया गया था, सवाल उठता है: कौन, और, सबसे महत्वपूर्ण, कैसे, अपडेट को मंजूरी देगा?

कल्पना कीजिए: 11 शहर, जिनके साथ कनेक्शन इतना "तेज" और "स्थिर" है, कि दुर्लभ मिनट जब आईसीएमपी प्रतिक्रियाओं की देरी केवल 800 एमएस होती है, तो उन्हें अनसुना माना जाता है। और प्रत्येक को तैनाती से पहले सभी अपडेट का परीक्षण करना होगा। उसी समय, साइटों पर सर्वरों तक पहुंच केवल आरडीपी के माध्यम से थी, अर्थात। साप्ताहिक आधार पर प्रत्येक शहर के सर्वर से जुड़ना आवश्यक था (केवल ऐसी आवृत्ति स्थापित आदेश) और मैन्युअल रूप से परीक्षण समूहों में नए अपडेट के उपयोग को मंजूरी देता है और, तदनुसार, वाणिज्यिक संचालन के लिए परीक्षण किए गए अपडेट को स्थानांतरित करता है:

पहिया को क्यों मजबूत करें

WSUS के साथ अनुभव के साथ एक पाठक शायद पूछेगा: वास्तव में समस्या क्या है? Microsoft ने सब कुछ कल्पना की: एक प्रतिकृति तंत्र है जिसमें एक "डाउनस्ट्रीम" (अधीनस्थ) सर्वर, जिसे "प्रतिकृति" कहा जाता है, दोनों अपडेट फ़ाइलों को स्वयं डाउनलोड करता है और उन सूचनाओं के बारे में जानकारी देता है जिनके लिए विशेष समूहों में उपयोग के लिए अपडेट को मंजूरी दी गई थी।

वास्तव में यह है। हालांकि, विचाराधीन मामले में, नियमित तंत्र का उपयोग काम नहीं करता था, क्योंकि रूट सर्वर और उसके प्रतिकृतियों के बीच एक पर्याप्त विस्तृत चैनल की आवश्यकता होती है। मेरे पास ऐसा कोई चैनल नहीं है। लेकिन एक निर्देश था - आईटी लागत बढ़ाने के लिए किसी भी परिस्थिति में नहीं।

विचार

"नहीं, नहीं!" मैंने सोचा, और आश्चर्य करने लगा कि इस स्थिति से कैसे निकला जाए। सबसे पहले, WSUS सर्वरों में से प्रत्येक में MS से WindowsUpdate सर्वरों तक, या WSUS प्रदाताओं के स्थानीय सर्वरों, या कार्यालय पड़ोसियों के WSUS सर्वरों, आदि तक पहुंच थी। यानी उनके पास अद्यतन फ़ाइलों को डाउनलोड करने के लिए कहां से थे, उन्हें केवल यह इंगित करने की आवश्यकता थी कि उन्हें कौन से अपडेट डाउनलोड करने की आवश्यकता है। दूसरे, मुझे Powershell का उपयोग करने की अनुमति दी गई थी।

यह विचार सरल था: आपको डेटा को आयात / निर्यात करने के लिए एक तंत्र को लागू करने की आवश्यकता है जिसके बारे में अपडेट को मंजूरी दी गई है। पुरानी परंपरा के अनुसार, जो विश्वविद्यालय में मेरी पढ़ाई के दौरान बनाई गई थी, मैंने एक साधारण XML फ़ाइल को निर्यात करने का निर्णय लिया। इस फ़ाइल की संरचना कुछ इस प्रकार है:

<Groups> <!--   ,       --> <gWSUS_wks_test> <!--   (Update) --> <Update> <!-- ,      --> <UpdateProduct>Windows XP</UpdateProduct> <!--  ,   ,    MS --> <UpdateKB>815021</UpdateKB> <!--    --> <UpdateDescription>An identified security vulnerability in Microsoft Windows NT 4.0, Windows 2000, and Windows XP could allow an attacker to take control of the computer. This issue is most likely to affect computers used as web servers. You can help protect your computer from this and other identified issues by installing this update from Microsoft. After you install this item, you may have to restart your computer.</UpdateDescription> <!--    --> <UpdateID>4aed463b-3a3b-4ad8-976e-17baf6434da2</UpdateID> <!--     --> <UpdateIsDeclined>False</UpdateIsDeclined> <!--        --> <UpdateApprovalIsOptional>False</UpdateApprovalIsOptional> <!--    (        ) --> <UpdateApprovalDeadLine>12/31/9999 23:59:59</UpdateApprovalDeadLine> <!-- ,    (   - ) --> <UpdateApprovalAction>Install</UpdateApprovalAction> </Update> </gWSUS_wks_test> </Groups> 

संकेतित तंत्र का उपयोग करने के लिए परिदृश्य निम्नानुसार दर्शाया जा सकता है:

1. उनके नेटवर्क पर व्यवस्थापक (या उनके भरोसेमंद सहायक) कुछ समूहों में उपयोग के लिए कुछ अपडेट को अनुमोदित करता है, यह सुनिश्चित करता है कि सब कुछ ठीक है, और एक फाइल अपलोड करता है जिसके बारे में जानकारी विशेष कंप्यूटर समूहों पर लागू की जानी चाहिए, उदाहरण के लिए, आंतरिक WEB को। -site;
2. Enikeyschik जगह में (I, उदाहरण के लिए) एक स्क्रिप्ट सेट करता है जो प्रशासक द्वारा उत्पन्न फ़ाइल को चरण 1 में डाउनलोड करता है और इसकी सामग्री को स्थानीय WSUS डेटाबेस में अपलोड करता है;
3. अगर वहाँ कई असंबद्ध WSUS सर्वर enikeysch की जिम्मेदारी के क्षेत्र में हैं - चरण 2 कई बार किया जाता है

यह अंत में क्या देता है? सबसे पहले, enikeyschik यह तय नहीं करता है कि कौन से अपडेट को मंजूरी दी जाए और कौन सी नहीं: यह निर्णय एक योग्य सिस्टम एडमिनिस्ट्रेटर द्वारा किया जाता है, जो कार्य में उपयोग किए जाने वाले मूल विकास घटता पर प्रत्येक अपडेट के प्रभाव का यथोचित अनुमान लगाने में सक्षम है, सबसे अधिक संभावना है, विशेष रूप से विशिष्ट ग्लिट्स से बंधा हुआ है। ओएस, एसक्यूएल-सर्वर और एमएस ऑफिस पैकेज की अनिर्दिष्ट विशेषताएं।

दूसरे, enikeyschik को गलत नहीं किया जा सकता है (आवश्यक अपडेट को अनुमोदित करने के लिए भूल जाओ, गलती से अनावश्यक को मंजूरी दें, आदि)

तीसरा, व्यवस्थापक को एक गारंटी मिलती है कि सभी कंपनी नेटवर्क में स्थापना के लिए एक ही अपडेट स्वीकृत हैं (अर्थात, सवाल "कार्यालय का कौन सा संस्करण हमारे ज़माकडस्क में उपयोग किया जाता है?" अब प्रासंगिक नहीं है)।

अनुमोदन को निर्यात करने के अलावा, परीक्षण समूहों को "मुकाबला" करने के लिए परीक्षण किए गए परीक्षणों को स्थानांतरित करने के लिए एक तंत्र की आवश्यकता थी। यह सलाह दी जाती है, एक बटन / कमांड के साथ - "परीक्षण समूह में उपयोग के लिए निषिद्ध और अनुमोदित सभी चीजों को अनुमोदित करें।" एक कलाकार की गलती के परिणामस्वरूप उत्पादन में असुरक्षित अपडेट को रोकने के लिए यह आवश्यक है ("ओह, मैंने इसे मंजूरी दी, इसे गलत क्लिक किया!")।

कार्यान्वयन

कोड

तैयार किए गए समाधान की खोज में कुछ समय बिताने, और एक को न खोज पाने के बाद, मैं WSUS API , पॉवर्सशेल और .NET के लिए प्रलेखन का अध्ययन करने के लिए गहराई से गया।

सबसे पहले, मुझे यह पता लगाना था कि आम तौर पर उन वस्तुओं का उपयोग कैसे किया जाता है जो हमें WSUS सर्वर में हेरफेर करने की अनुमति देते हैं। ऐसा करने के लिए, उपयुक्त असेंबली डाउनलोड करें:

 [reflection.assembly]::LoadWithPartialName("Microsoft.UpdateServices.Administration")|out-null 

उसके बाद, एक फ़ंक्शन बनाएं जो स्थानीय रूप से स्थापित WSUS सर्वर का प्रतिनिधित्व करने वाली एक वस्तु लौटाएगा:

 <# .SYNOPSIS    -  WSUS .DESCRIPTION      (,    )  WSUS .OUTPUTS   IUpdateServer,    WSUS #> Function Get-WsusServerInstance() { #  $Script:WSUS   "" . $WSUSServer = $Script:WSUS #      WSUS. if ($WSUSServer -eq $null) { $WSUSServer =[Microsoft.UpdateServices.Administration.AdminProxy]::GetUpdateServer(); } Return $WSUSServer } 

चूंकि समस्या के बयान में डब्ल्यूएसयूएस समूहों के साथ काम करना शामिल है, इसलिए आपको यह जानने की जरूरत है कि उनका विचार कैसे प्राप्त किया जाए। मैंने कुछ इस कोड का उपयोग किया है:

 <# .SYNOPSIS   -   WSUS   . .PARAMETER Name   WSUS,    . .OUTPUTS  IComputerTargetGroup,    WSUS,   . $null -   . #> Function Get-WsusGroupByName([STRING]$Name) { $wsus = $null $wsus = Get-WsusServerInstance $Groups = $wsus.GetComputerTargetGroups() Foreach ($Group in $Groups) { if ($Group.Name -eq $Name) { Return $Group } } Return $null } 

अब हमारे पास WSUS समूह दृश्य तक पहुँचने के लिए एक तंत्र है, किसी दिए गए समूह के लिए अनुमोदित अद्यतनों की सूची प्राप्त करना आसान है:

 <# .SYNOPSIS   ,    . .DESCRIPTION   ,  ,    .       (ID)   . .PARAMETER GroupName  ,       .OUTPUTS  .     : objUpdate ()  objApproval ( ) #> Function Get-UpdatesApprovedToGroup([STRING]$GroupName) { #   $ApprovedUpdates = @() # ,   WSUS $wsus = Get-WsusServerInstance #    $Group = Get-WsusGroupByName -Name $GroupName Write-Host "Querying updates info from WSUS server..." #    ,    $WsusUpdates = $wsus.GetUpdates() $TotalWsusUpdates = $WsusUpdates.Count $i = 0 #   ,           foreach ($Update in $WsusUpdates) { $i++ #KBID (    MS)  [STRING]$UpdateKB = $Update.KnowledgebaseArticles Write-Host "Gathering approvals for update. Last porcessed is KB$UpdateKB" #,             . $CurrentApprovals = $update.GetUpdateApprovals($group) #      (, ),   #      . if ($CurrentApprovals.Count -gt 0) { foreach ($Approval in $CurrentApprovals) { # ,      . $Record = New-Object Object Add-Member -InputObject $Record -MemberType NoteProperty -Value $Update -Name "objUpdate" | Out-Null Add-Member -InputObject $Record -MemberType NoteProperty -Value $Approval -Name "objApproval" | Out-Null $ApprovedUpdates = $ApprovedUpdates + $Record } } } Return $ApprovedUpdates } 

इस फ़ंक्शन के परिणामस्वरूप प्राप्त की गई जानकारी को किसी फ़ाइल में सहेजा जा सकता है, और फिर दूसरे WSUS सर्वर पर आयात किया जाता है, उदाहरण के लिए, निम्न फ़ंक्शन का उपयोग करते हुए:

 <# .SYNOPSIS      WSUS   .DESCRIPTION       (Approval),      (Decline) .PARAMETER FilePath XML-,        WSUS. .OUTPUTS $null (    ). #> Function Import-Approvals([STRING]$FilePath) { #    WSUS $WSUS = Get-WsusServerInstance #   WSUS,      . $XML = [xml](get-content $FilePath) $Groups = $XML.Groups $Groups = $Groups.ChildNodes #        Foreach ($Group in $Groups) { #  XML if ($Group.get_NodeType() -ne $XML_TYPE_COMMENT) { $GroupName = $Group.Name Write-Host "Importing updates for WSUS group: $GroupName" #   $objGroup = Get-WsusGroupByName -Name $GroupName #    ,       $Updates = $Group.ChildNodes $TotalUpdates = $Updates.Count $i = 0 Foreach ($Update in $Updates) { $i++ $UpdateGUID = $Update.UpdateID if ($UpdateGUID -ne "") { $UpdateKB = $Update.UpdateKB Write-Host "Importing updates for $GroupName. Last processed is KB$UpdateKB" # Update   ID  : $UpdateGUID = [System.Guid]$UpdateGUID $objUpdateID = [Microsoft.UpdateServices.Administration.UpdateRevisionId]$UpdateGUID $objUpdate = $WSUS.GetUpdate($objUpdateID) #       XML-,       [DateTime]$UpdateApprovalDeadline = Get-XmlValue -XML $Update.UpdateApprovalDeadLine [Microsoft.UpdateServices.Administration.UpdateApprovalAction]$UpdateApprovalAction = Get-XmlValue -XML $Update.UpdateApprovalAction if ($Update.UpdateIsDeclined -eq "true") { $UpdateIsDeclined = $true } else { $UpdateIsDeclined = $false } #  $objUpdate.Approve($UpdateApprovalAction,$objGroup,$UpdateApprovalDeadline) | Out-Null #  ""    ,     $objUpdate.IsDeclined = $UpdateIsDeclined } } } Write-host -Message "Import finished for group: $GroupName" } } 

सामान्य तौर पर, सब कुछ काफी सरल है। निर्यात आयात करने के लिए समान रूप से किया जाता है (जो लोग स्क्रिप्ट के पूर्ण पाठ में संबंधित फ़ंक्शन पा सकते हैं)।

उपयोगकर्ता इंटरफ़ेस

चूंकि स्क्रिप्ट का उपयोग न केवल मेरे द्वारा किया जाना था, बल्कि मेरे सहयोगियों द्वारा भी किया गया था - अन्य क्षेत्रों में समान enikeyshchiki, यह एक ग्राफिकल यूजर इंटरफेस के साथ प्रदान करने का निर्णय लिया गया था:


मैंने मुख्य विंडो के रूप में अतिसूक्ष्मवाद का निरीक्षण करने की कोशिश की और इंटरफ़ेस में स्क्रिप्ट पैरामीटर सहित टाला, केवल हार्डकोर हार्डकोड। चूंकि WPF इस स्क्रिप्ट का उपयोग करने वाले सभी कंप्यूटरों पर स्थापित नहीं है, इसलिए ग्राफिकल इंटरफ़ेस System.Windows.Forms का उपयोग करके कार्यान्वित किया जाता है, और ऐसे XAML कार्यों के लिए अधिक उपयुक्त नहीं है।

बेशक, नियमित संचालन को स्वचालित करने के लिए डिज़ाइन किया गया एक पॉवर्सशेल समाधान में एक कमांड लाइन इंटरफ़ेस होना चाहिए, अन्यथा उपयोगकर्ता इसे अपनी स्क्रिप्ट में उपयोग नहीं कर पाएंगे (या कम से कम एक शेड्यूल पर चला सकते हैं)।

वर्णित परिदृश्य निम्नलिखित मापदंडों को स्वीकार करता है:

1. DoImportFromFile - जिस फ़ाइल से आप अनुमोदन जानकारी आयात करना चाहते हैं उसका पथ। यदि यह पैरामीटर खाली है, तो आयात नहीं होता है;
2. DoExportToFile - उस फ़ाइल का पथ जिस पर अनुमोदन जानकारी अपलोड की जानी चाहिए। इसी तरह, इस पैरामीटर के मूल्य की अनुपस्थिति में, निर्यात नहीं किया जाता है;
3. ServersCopyTestApprovals - उन सभी अद्यतनों को अनुमोदित करें, जो सर्वर के परीक्षण समूह में "मुकाबला" सर्वर में उपयोग के लिए अनुमति दी गई है (नीचे देखें);
4. WorkstationsCopyTestApprovals - पिछले एक के समान, लेकिन वर्कस्टेशन के लिए;
5. PathToLog - लॉग फ़ाइल का पथ (अस्थायी फ़ोल्डर में डिफ़ॉल्ट रूप से बनाया गया "% Temp%")

कार्यान्वयन गतिविधियाँ

वर्णित परिदृश्य का सफलतापूर्वक उपयोग करने के लिए, कई प्रारंभिक उपायों का प्रदर्शन करना पड़ा।

प्रारंभ में, प्रत्येक नेटवर्क पर कम से कम एक परीक्षण कार्य केंद्र और कम से कम एक परीक्षण सर्वर आवंटित किया गया था। जब भी संभव हो, हमने उन नोड्स को शामिल करने की कोशिश की जो परीक्षण समूहों में मुख्य व्यवसाय के लिए महत्वपूर्ण नहीं थे। पूरे नेटवर्क में उपयोग के लिए अपडेट को मंजूरी देने से पहले, उन्हें कई दिनों तक (सिस्टम एडमिनिस्ट्रेटर के विवेक पर) टेस्ट कंप्यूटर पर चेक किया जाता है। वे अपडेट जो किसी भी समस्या का कारण बनते हैं (अस्वीकार), बाकी, परीक्षण के अंत में, युद्ध समूहों में उपयोग के लिए अनुमोदित हैं। वर्णित स्क्रिप्ट का उपयोग अनुमोदन को कॉपी करने के लिए किया जाता है।

निम्न कंप्यूटर समूह सभी WSUS सर्वर पर बनाए गए थे जहाँ परिदृश्य का उपयोग किया जाना था:

1. gWSUS_srv_test - परीक्षण सर्वर;
2. gWSUS_wks_test - परीक्षण कार्यस्थान;
3. gWSUS_srv_prod - "लड़ाई" सर्वर;
4. gWSUS_wks_prod - व्यवसाय के लिए महत्वपूर्ण कार्यस्थान ;

समूह के नाम स्क्रिप्ट में हार्डकोड किए गए हैं और इसे संपादित किए बिना बदला नहीं जा सकता है। प्रत्येक WSUS सर्वर पर, स्क्रिप्ट को परीक्षण समूहों से "लड़ाई" में अनुमोदन की प्रतिलिपि बनाने के मोड में एक द्विअर्थी अनुसूची पर चलाने के लिए कॉन्फ़िगर किया गया था (यह निर्णय लिया गया था कि इस तरह की अवधि एक तरफ, इस समस्या को समाप्त करने के लिए, सूची से अद्यतन अपडेट करने के लिए, a, c) दूसरा, कंप्यूटर को अपडेट के वितरण में बहुत देरी नहीं करेगा)।

हर कुछ दिन (सिस्टम प्रशासक के विवेक पर), परीक्षण नेटवर्क में एक विशेष रूप से नियुक्त enikeyschik नए (अभी तक अनुमोदित नहीं और रद्द नहीं) अपडेट को मंजूरी देता है। सिस्टम प्रशासक से अनुमति प्राप्त करने के बाद, वह स्वीकृति सूची को XML फ़ाइल के रूप में नेटवर्क के भीतर एक विशेष साइट पर अपलोड करता है।

दिन में एक बार, प्रत्येक WSUS सर्वर पर, एक साधारण बैच फ़ाइल चलती है, इस साइट से अपडेट सूची के वर्तमान संस्करण को डाउनलोड करना और अनुमोदन आयात करना:

 REM      cd /dd:\WSUS_script\ REM     del /f .\WSUS_updates_approvals.waf REM     wget --tries=100 --retry-connrefused --continue http://server.network.lan/wsus_approvals/WSUS_updates_approvals.waf REM     powershell -command -ExecutionPolicy Bypass ".\wsus_admin_tool.ps1 -DoImportFromFile 'c:\WSUS_updates_approvals.waf'" 

निष्कर्ष

बेशक, वर्णित समाधान कुछ कमियों के बिना नहीं है: स्क्रिप्ट डाउनलोड करने योग्य अनुमोदन की प्रासंगिकता की जांच नहीं करता है (क्या यह नेटवर्क पर एसक्यूएल के लिए सर्विस पैक को मंजूरी देने की आवश्यकता नहीं है अगर यह डीबीएमएस नहीं है?), स्क्रिप्ट को अपस्ट्रीम WSUS सर्वर (या WindowsUpdate सर्वर) तक पहुंचने की आवश्यकता है, हाँ और कोड ही शायद आदर्श से बहुत दूर है।

हालाँकि, कार्य सफलतापूर्वक हल किया गया था, और अभ्यास, जैसा कि आप जानते हैं, सत्य की कसौटी है। मुझे उम्मीद है कि वर्णित समाधान किसी और के लिए उपयोगी है।

Ps पूर्ण स्क्रिप्ट कोड PasteBin पर उपलब्ध है ।