Im folgenden wird die Konfiguration der Client-Rechner beschrieben, die Ihre Security-Updates von einem SUS-Server beziehen sollen.

• Die Modi des SUS-Clients
• Clientkonfiguration über Gruppenrichtlinien im Active Directory
• Clientkonfiguration über die Registry
• Clientkonfiguration mit Novell's Zenworks for Desktops

Wenn Euch der eine oder andere Link oder Tipp weiterhelfen kann, freut mich das.

Tipps zu Soft- und Hardware sendet bitte per
Wenn Ihr dies wünscht, wird der Tipp mit Eurem Namen und einem Link zu eurer Webseite veröffentlicht.

Der SUS-Client verfügt über 3 verschiedene Arbeitsmodi.

Je nach angemeldetem Nutzer (Administrator/Normaler User) verhalten sich die Modi unterschiedleich. (siehe Tabelle)

• Modus 2:

  Es wird auf neue Updates geprüft, und auf die Verfügbarkeit hingewiesen. Es erfolgt jedoch kein automatischer Download der Updates.

  Nur sinnvoll bei Anbindung an SUS-Server mit geringer Bandbreite (z.B. Einzelplatzrechner mit Anbindung an Internet)

• Modus 3:

  Es wird auf neue Updates geprüft, und bei Verfügbarkeit werden diese auf den Client-Rechner heruntergeladen. Dann erfolgt ein Hinweis, das neue Updates verfügbar sind, und installiert werden können. Eine automatische Installation erfolgt nicht.

  Sinnvolle Konfiguration für Server und Workstation von Powerusern, die über die Installation von Updates selber entscheiden sollen.

• Modus 4:

  Es wird auf neue Updates geprüft, und bei Verfügbarkeit werden diese auf den Client-Rechner heruntergeladen und installiert. Bei Bedarf erhält der angemeldete Nutzer eine Aufforderung zum Neustart des Rechners

  Sinnvoll für Arbeitsplatzrechner in einer größeren Netzwerkumgebung (mit Active Directory)

Tabellarische Übersicht der Eigenschaften der Modi des SUS-Clients

Die einfachste Variante alle Clients und Server für die Verwendung eines SUS-Servers zu konfigurieren, ist das anlegen einer (oder mehrerer) Gruppenrichtlinie(n). Diese GPOs werden dann den Containern im Active-Directory zugewiesen, in denen sich die entsprechenden Objekte der Arbeitsstationen bzw. Servern befinden.

Es sollte für die Server eine eigene Gruppenrichtlinie erstellt werden, die den Modus 3 des Automatischen-Update-Clientes konfiguriert. Hiermit ist gewährleistet, das der Administrator Kontrolle darüber behält, welche Updates wann auf den Servern installiert werden. Ein automatischer Neustart eines Produktionsservers durch Updates während der besten Geschäftszeit ist sicherlich nicht wünschenswert!

Die folgende Anleitung wurde mit einem Windows 2003 Server erstellt.

Für das Erzeugen einer Gruppenrichtlinie für die Konfiguration der SUS-Umgebung startet man die Management-Console Active Directory Users and Computers.über Start - Programme - Verwaltung. (in der Klassischen Menüansicht)
	Es öffnet sich ein neues Fenster, welches die Struktur des auf diesem Rechner laufenden Active Directorys auflistet. Nun sucht man sich den Teilzweig, für den die Gruppenrichtlinie gelten soll und wählt im Kontextmenü den Punkt Eigenschaften aus.
Im nun sich öffnenden Fenster wechselt man zum Karteireiter Gruppenrichtlinie. Ich empfehle eine neue Gruppenrichtlinie für die Konfiguration der SUS-Dienste anzulegen. Nach einem Klick auf Neu kann man der soeben angelegten Richtlinie einen aussagekräftigen Namen geben:SUS-Config

Nach Markieren der neuen GPO und Klick auf Bearbeiten öffnet sich der Gruppenrichtlinieneditor.

Im Bereich Computerkonfiguration ist unter dem Zweig Administrative Vorlagen - Windows-Komponenten die Konfiguration für das Windows Update zu finden.

Durch Doppelklick auf Automatische Updates konfigurieren können die Eigenschaften der Richtlinie bearbeitet werden. Aktivieren Sie die Richtlinie und stellen im Konfigurationsteil den Modus und die Installationszeit für die Updates ein. Ich lasse die Clients täglich um die Mittagszeit nach neuen Updates suchen. Dann sind die meisten Rechner eingeschaltet, und die Nutzer können eventuelle Neustarts mit Ihrer Mittagspause überbrücken ;-) Tipp: Auf dem Karteireiter Erklärung werden alle möglichen Einstellungen mit ihren Auswirkungen ausführlich erläutert. Über den Button Nächste Einstellung wird zur Konfiguration der nächsten Richtlinie gewechselt.
	Hier wird nun der Pfad zum Update-Server eingetragen. Ist ein lokaleer SUS-Server vorhanden, gibt man den Servernamen in folgendem Format an: //Servername Ich bevorzuge hier die Angabe des vollen Domainnamens des Servers nach der Form: //susserver.test.lan Der Pfad zum Statistik-Server ist in der Regel mit dem SUS-Server identisch. Er muss angegeben werden.
Unter Geplante Installationen automatischer Updates neu planen kann angegeben werden, das Clientrechner eine definierte Zeitspanne nach einem Rechnerneustart nach Updates suchen und diese gegebenenfalls installieren. Diese Richtlinie gilt für Updates, die beim geplanten Update nicht ausgeführt worden. (da Sie z.B. nicht mit anderen Updates zusammen installiert werden können)
	Mit Kein automatischer Neustart für geplante Installationen … schaltet bei Aktivierung den eventuellen automatischen Neustart nach einem Update ab. Es wird dann ein Hinweisfenster eingeblendet, das den Nutzer auf das Update hinweist und bittet den Rechner "bei Gelegenheit" neu zu booten. Ist kein Nutzer angemeldet, wird der Rechner trotzdem neu gestartet.

Listing einer SUS-Konfiguration als susconfig.reg :

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]
"WUServer"="http://susserver.firma.lan"
"WUStatusServer"="http://susstatusserver.firma.lan"

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU]
"NoAutoUpdate"=dword:00000000
"AUOptions"=dword:00000004
"ScheduledInstallDay"=dword:00000000
"ScheduledInstallTime"=dword:0000000b
"UseWUServer"=dword:00000001
"RescheduleWaitTime"=dword:0000000a
"NoAutoRebootWithLoggedOnUsers"=dword:00000001

Dieses Regfile kann einfach per Doppelklick in die Registry importiert werden.

Beschreibung der Registry-Schlüssel

Für die Konfiguration der SUS-Clients mit Zenworks, muß nur ein Application-Objekt erstellt werden, das die unter Clientkonfiguration über die Registry beschriebenen Registry-Einträge auf den Clients verteilt.

Am einfachsten geht die Erstellung des Objekts durch Import der SUSConfig.reg ind das App-Objekt.