WSUS ile kontrollü yama dağıtımı: pilot gruptan doğrulanmış kapanışa

WSUS üzerinde güncellemenin indirilmiş olması, istemcilere doğru zamanda uygulanacağı anlamına gelmez. Ürün seçimi, onay, grup üyeliği, istemci taraması ve yeniden başlatma ayrı aşamalardır. Güvenilir bir yama süreci bu aşamaların her birini görünür kılar.

1. Ürün kapsamını belirle
2. Pilot grubu oluştur
3. İstemci politikasını doğrula
4. Yamayı onayla
5. Uygulamayı sınayın
6. Kademeli yaygınlaştır

Mevcut WSUS kullanımının kapsamını netleştirin

Microsoft WSUS için yeni özellik geliştirmediğini belirtmektedir; ürün yaşam döngüsü kapsamında destek devam eder. Bu ayrım mevcut bir kurulumun hemen çalışmayı bırakacağı anlamına gelmez. Ancak yeni bir yama mimarisi tasarlarken ürünün geleceğini ve alternatif yönetim araçlarını da değerlendirmek gerekir.

Senkronize edilen ürünleri, sınıflandırmaları ve dilleri ihtiyaçla sınırlayın. Gereksiz ürün seçimi depolamayı ve yönetim yükünü artırır. İşletim sistemi yamaları ile SQL Server veya başka uygulama güncellemelerini aynı kabul ölçütüne bağlamayın.

Pilot ve üretim gruplarını oluşturun

En az bir temsilî pilot grup oluşturun. Yalnızca BT ekibinin boş bilgisayarlarıyla test yapmak, iş uygulamalarını temsil etmeyebilir. Sunucu rollerine ve iş etkisine göre farklı bakım grupları tanımlayın.

Server-side targeting ile grubu konsoldan yönetirsiniz; client-side targeting ile üyelik istemci politikasından gelir. İki yöntemi birbirine karıştırmak, bilgisayarın yanlış grupta kalmasına yol açabilir. Seçilen yöntemi işletim dokümanında açıkça belirtin.

• Pilot sistemlerin uygulama ve donanım çeşitliliği belirlenir.
• Her grubun bakım penceresi ve uygulama sahibi atanır.
• Acil güvenlik yamaları için ayrı değerlendirme yolu tanımlanır.
• Onay yetkisi ile uygulama doğrulama sorumluluğu ayrılır.

İstemci bağlantısını ve güveni doğrulayın

GPO’da WSUS hizmet adresi ile istemcinin gerçekten kullandığı adres aynı olmalıdır. Örnek bir laboratuvar adı wsus.batuhanyazici.com olabilir; bu ad burada çalışan bir hizmetin ilanı değildir. HTTPS kullanıldığında istemcinin doğru sertifika zincirine güvenmesi gerekir.

Politikanın uygulandığını doğrulamadan WSUS konsolundaki bilgisayar sayısını yorumlamayın. İlk bağlantı, tarama ve raporlama anlık gerçekleşmeyebilir. Aynı zamanda cihazın başka bir güncelleme yönetimi politikasıyla çakışıp çakışmadığını inceleyin.

gpresult /r /scope computer
Get-Service wuauserv,bits
Get-WinEvent -LogName Microsoft-Windows-WindowsUpdateClient/Operational -MaxEvents 30

Onay ile başarı raporunu birbirinden ayırın

Bir güncellemeyi onaylamak, kurulduğunu kanıtlamaz. İstemci raporu kurulum sonucunu; uygulama testi ise işlevsel sonucu gösterir. Yeniden başlatma bekleyen bir sunucuyu yalnızca indirme tamamlandı diye kapatılmış aksiyon olarak işaretlemeyin.

Pilot sonrasında hata oranı, bekleyen yeniden başlatmalar ve temel iş akışlarının durumu değerlendirilir. Başarısız dağıtımda bütün yamaları körlemesine geri almak yerine sorunlu güncelleme ve bağımlılığı belirleyin. Geri dönüşün uygulama verisini nasıl etkileyeceğini önceden düşünün.

Kapanış kanıtını saklayın

Yama kaydında güncelleme kimliği, hedef grup, uygulama zamanı, yeniden başlatma durumu ve doğrulayan kişi bulunmalıdır. Tarama sonucu ile merkezi rapor arasında fark varsa son raporlama zamanını kontrol edin.

• Pilot grupta teknik kurulum sonucu ve uygulama testi tamamlandı.
• Üretim gruplarına geçiş kararı kaydedildi.
• Kurulamayan veya ertelenen cihazlar gerekçeleriyle listelendi.
• WSUS depolaması, senkronizasyonu ve bakım durumu izlendi.

İlgili çalışma notları

• RDS CAL sorunu: lisans sunucusu, mod ve sürüm uyumluluğunu doğrulamak
• Domain Controller geçişi: FSMO aktarımından önce ve sonra ne doğrulanmalı?
• GPO uygulanmıyor: bağlantı, kapsam ve öncelik sırasını doğru incelemek