Управление обновлениями — Windows

Зачем нужна эта вкладка#

Вкладка «Управление обновлениями» — это единый рабочий стол администратора обновлений. У неё есть переключатель Linux / Windows в шапке (общая карта вкладки — Управление обновлениями).

Этот раздел страницы описывает Windows-часть: LSUS ставит на Windows обновления KB (Knowledge Base) от Microsoft. Linux-часть описана отдельно — Управление обновлениями — Linux.

Состав Windows-части — 4 верхние подвкладки; «Управление репозиториями» раскрывается в 6 вложенных разделов:

Подвкладка / раздел	Хеш-маршрут	Когда пользоваться
Кампании установки	#updates/windows/campaigns	Запланировать массовую установку KB.
Пакетные задания	#updates/windows/batches	Разовая установка или журнал всех заданий.
Compliance	#updates/windows/compliance	Кто и насколько отстаёт от требуемых KB.
Управление репозиториями → Каталог KB	#updates/windows/manage/catalog	Управление справочником обновлений Microsoft.
→ Одобрения	#updates/windows/manage/approvals	Разрешить/запретить конкретные KB для хостов.
→ Хранилища MSU	#updates/windows/manage/storages	Файлы .msu на сервере LSUS.
→ Фильтр обновлений	#updates/windows/manage/update-filter	Глобальные правила: какие KB вообще допускаются к установке.
→ Предзагрузка MSU	#updates/windows/manage/prefetch	Автоматическая фоновая загрузка MSU до окна установки; таблица «Сайты» — раздача Windows у каждого сайта (1.0.122).

Подвкладка «Кампании установки»#

Здесь администратор запускает массовую установку KB — например, во вторник после Patch Tuesday. Как работают кампании, все опции мастера, волны и разбор — в руководстве по кампаниям Windows. Кампании строятся на одном из двух рецептов:

Рецепт	Как работает	Когда выбирать
Раскатка набора	Закрытый прогон: набор KB фиксируется на момент создания. Сначала ставит пилотная волна (без заранее одобренных KB), затем — остальные волны. Итог прогона — записанные одобрения: теперь эти KB можно ставить всем через режим «только одобренные»	Прозрачный выкат патчей «с pilots на парк»: сначала проверяем на малой группе, затем раскатываем
Поддержание соответствия	Непрерывная кампания без фиксации набора: на каждом цикле машина получает текущие применимые разрешённые KB. Без волн	Постоянная гигиена парка — машины сами подтягивают всё разрешённое

Мастер создания#

Мастер разбит на вкладки Задача → KB → Окно → Волны → Итог (для рецепта с подтверждениями появляется вкладка «Одобрения»):

• Задача — рецепт, название (кнопка «Подставить» собирает его из рецепта, набора и волн) и цели: коллекции и/или конкретные Windows-хосты. В кампанию попадают только Windows-машины; у «поддержания соответствия» состав цели пересматривается на каждом цикле.
• KB — источник: «Недостающие обновления» (всё, чего не хватает по каталогу — рекомендовано) или явный список. Опция «в соответствии с политикой источников» учитывает разрешённые источники. У раскатки набор фиксируется («вышедшие позже в этот прогон не войдут»), у соответствия — берётся текущий на каждом цикле.
• Окно — расписание (разовое/расписание/окно) и политика перезагрузки: «Ждать подтверждения», «Если нужно — сразу», «Не перезагружать», «Всегда после установки». Для непрерывной — интервал проверки хостов и пауза между установками на хосте (после ошибок пауза удваивается). В «Дополнительно»: доводить до соответствия, максимум проходов, резервы времени до конца окна (не начинать установку/перезагрузку впритык) и хуки для серверов — остановка/запуск служб и скрипты до/после установки.
• Волны (только у раскатки) — пилот и остальные. Для каждой не-последней волны задаются условия перехода: успех установок KB %, минимум отчитавшихся %, стоп массового сбоя %, выдержка в днях (можно считать только рабочие дни) и подтверждение оператора (включено по умолчанию). Если подтверждение снять, следующая волна стартует сама после успешного порога и выдержки; окно установки по-прежнему задаёт, когда появятся задания. Это не то же, что «доводить до соответствия» — та опция повторяет установку на том же хосте. При редактировании существующей кампании пороги волн заблокированы: их задаёт только создание.
• Итог — предпросмотр: цели, набор KB (у раскатки — по свежим офлайн-сканам с пилота), расписание и волны.

Карточка кампании и разбор волны#

В списке кампаний действия волны («Подтвердить переход», «Начать сейчас», «Разбор», «Отменить волну») собраны в меню ⋮ в строке кампании. В карточке кампании — статус, карточки-счётчики, таблица хостов и ход волн. Если хост входит в список исключений с галкой «не обновлять», он не получает задания ни в одной кампании Windows; уже созданное задание отменяется с причиной в колонке статуса (рядом с паузой оператора). Подробнее — в каталоге. Когда пилотная волна отработала, открывается разбор волны:

• по каждому KB видно, сколько установок прошло; можно закрыть волну «всё подряд» или «только проверенные» (непроверенные KB снимаются со следующей волны);
• проблемный KB можно «Снять с пилота» — он удаляется с машин волны (для удаляемых обновлений), и раскатка продолжается без него;
• переход: с включённым подтверждением следующая волна ждёт кнопки оператора; со снятым — проходит сама после порога и выдержки, и в уведомлениях приходит «Волна пройдена автоматически».

У непрерывной кампании волн нет: статус «активна (∞)», в карточке — состояние парка по циклам.

Статусы кампаний#

ожидание → загрузка MSU → по расписанию → отправка → завершено; промежуточные — частично, ошибка, отменено, на паузе, ждёт решения (подтверждение оператора); непрерывная — активна (∞).

Подвкладка «Пакетные задания»#

Разовая установка KB на конкретные Windows-машины. Журнал показывает все задания, включая те, что созданы кампаниями.

Используется, когда нужно срочно поставить конкретный KB на одну-две машины.

Подвкладка «Compliance»#

Аналог Linux-compliance, но для Windows: для каждой машины видно, какие KB требуются (согласно кампаниям и одобрениям), какие установлены, какие отсутствуют, какие лишние (поставлены, но не были одобрены).

Колонки: Хост, Коллекция, Требуется KB, Установлено, Отсутствует, Лишнее, Статус, Действия.

Используется для регулярного аудита — насколько парк соответствует требованиям безопасности.

Подвкладка «Управление репозиториями»#

Подвкладка раскрывается в пять вложенных разделов: Каталог KB, Одобрения, Хранилища MSU, Фильтр обновлений, Предзагрузка MSU (с таблицей «Сайты»).

Раздел «Каталог KB»#

Здесь живёт локальный справочник обновлений Microsoft. LSUS не ходит за каждым KB в интернет — он загружает каталог целиком и работает с локальной копией.

Откуда берётся каталог#

В верхней части — блок управления источниками:

• wsusscn2.cab — офлайн-каталог обновлений Microsoft (доставляется в виде .cab-файла). Это главный источник.
• MSRC — данные Microsoft Security Response Center (CVE, severity). Используются для маркировки критических обновлений.

Кнопки:

• Синхронизировать wsusscn2 — на мастере: скачать свежий .cab из интернета (через Edge, если Master в закрытом контуре). Master ждёт, пока Пограничный сервер сохранит файл, и несколько раз ищет его в хранилище; загрузка с CDN Microsoft перебирает адреса узла. Парсинг после скачивания занимает минуты — это нормально. Время в окне расписания — часы компьютера, рядом написан пояс (например UTC+5). На узле сайта кнопка запускает уже настроенный забор: активный cab мастера сверяется с копией сайта (sha256) и рассылается ему фоном — откуда файл берёт сайт, решает карточка предзагрузки этого сайта. Право — то же, что у кнопок каталога (winkb.catalog.operate), либо право рассылки (sites.replication.operate).

Тяжёлые файлы хостам — только с сайта. wsusscn2.cab и MSU хостам сайта отдаёт сайт; мастер таким хостам прямо отказывает. Перед рассылкой установок кампания заранее отправляет нужные MSU на сайты целевых хостов, и задания выдаются после подтверждения файлов сайтом; копия wsusscn2.cab расходится по сайтам очередью (не более двух одновременно), сайт с неограниченной скоростью репликации качает под потолком своего канала. Ответы тяжелее 50 МБ (настройка) на сайте и мастере идут не более чем по несколько одновременно — лишние получают «повторите позже» и докачивают. Проверки после установки запускаются со сдвигом до часа, чтобы парк не сканировался разом.
- Загрузить cab — вручную загрузить .cab (для офлайн-контуров, когда нет интернета вообще); кнопка доступна и на выбранном узле сайта. Учёт пакета остаётся на мастере (проверка выпуска, защита от более старого); выбранный сайт запоминается в прогоне, доставка на него начнётся, когда файл станет активным пакетом. Источник доставки этого файла — мастер, где он лежит: Edge сайта такого cab может не иметь, ручная загрузка нужна как раз тогда.
- Синхронизировать MSRC — обновить данные MSRC.
- Загрузить MSRC — вручную загрузить CVRF/CSAF MSRC за конкретный месяц.
- Всё — полная синхронизация всех источников.

Строка статуса под кнопками на узле сайта называет источник cab — «с Edge: …», «с сайта: …» или «рассылкой с мастера» — и рядом показывает состояние копии на сайте: sha256, размер, время последней синхронизации и текст ошибки, если она была.

Раскрывающиеся блоки ниже:

• Покрытие MSRC по месяцам — какие месяцы загружены. Если какого-то нет — критические обновления за него не будут помечены как Critical.
• История последних запусков — когда синхронизация выполнялась и с каким результатом.

Таблица KB#

Колонки: KB, название, класс (Security / Critical / Rollups / SSU), ОС, выпуск, размер, CVE, ESU, действия.

Фильтры#

• Поиск — по названию.
• KB ID — конкретный номер.
• Класс — только Security, или только Rollups.
• ОС — Windows 10 / Server 2019 / и т.п.
• С CVE — только обновления с привязкой к CVE (то есть security).
• Уже скачан — только те, чьи .msu уже на сервере.
• ESU — все / скрыть / только ESU (Extended Security Updates для вышедших из поддержки ОС).

Раздел «Одобрения»#

Одобрение — это явное разрешение конкретного KB для установки. На больших парках не все KB стоит ставить автоматически: иногда нужно подождать, пока коллеги протестируют, иногда конкретный KB вызывает проблемы и его надо явно запретить.

Уровни одобрения#

Уровень	Что значит
Глобальное	KB одобрена для всех хостов в системе.
По коллекции	KB одобрена только для конкретной коллекции из Каталога и политик.
Per-host	KB одобрена/запрещена только для одной машины.

Логика применения#

Без явного одобрения KB не будет установлена, даже если она есть в кампании. Это страховка от случайного массового наката неподтверждённых обновлений.

Особые случаи:

• Per-host запрет доминирует над разрешением по коллекции и глобальным. Используется, когда конкретная машина «не переваривает» конкретный KB.
• Явное отклонение в каталоге также доминирует над массовыми режимами.

Когда пользоваться#

• «Сначала одобрим KB5034763 на тестовой коллекции, через неделю — на всём парке».
• «KB5006670 вызывает синий экран на машинах бухгалтерии — запретим per-host».

Раздел «Хранилища MSU»#

Файлы .msu — это бинарные архивы KB, которые нужно доставить на Windows-хост для установки. LSUS хранит их в каталоге и раздаёт через /api/v1/.../msu по запросу агента.

Колонки: Файл, KB, Размер, Архитектура, ОС, Скачан, Действия.

Здесь же — управление наборами файлов: можно удалить устаревшие .msu для освободивания места.

Раздел «Фильтр обновлений»#

Здесь задаются глобальные правила отбора KB, которые действуют до кампаний и одобрений: какие обновления вообще считаются кандидатами на установку во всём контуре. Всё, что отсеялось фильтром, не появится ни в кампаниях, ни в предзагрузке, ни в compliance.

Что задаётся#

Параметр	Назначение
Классы	Security / Critical / Rollups / SSU / Drivers — какие классы пропускать.
Продукты	Windows 10 / 11 / Server 2019 / 2022 и т.п.
Severity	Critical / Important / Moderate / Low.
ESU	Включать ли Extended Security Updates для вышедших из поддержки ОС.
Исключения	Явный список KB, которые всегда отсекаются (например, проблемный KB, выявленный на тестах).

Раздел «Предзагрузка MSU»#

Предзагрузка — это фоновая загрузка MSU заранее, до того, как они потребуются для установки. Идея простая: в окно установки Windows-агент не тратит время на скачивание, а сразу ставит — это критично для узких окон обслуживания и медленных каналов.

Настраивается:

• Фильтр — какие KB предзагружать (severity=Critical, ОС, ESU).
• Расписание фонового загрузчика — когда LSUS должен качать.
• Лимиты — скорость, параллелизм.

Если выбран шаттл-Edge (закрытый контур без HTTPS до Edge), предзагрузка не качает MSU сразу: задание получает статус «В очереди шаттла» и уезжает со следующим рейсом. Синхронизация wsusscn2.cab и MSRC ведёт себя так же — «Ожидает рейса шаттла», а не ошибка сети. Заказ и приём — визарды шаттла.

Раздел «Предзагрузка MSU → Сайты» (бывшая «Репликация»)#

Раздача Windows настраивается у каждого сайта — таблицей «Сайты» в «Предзагрузке MSU»: состояние cab и MSU, лимиты загрузки и действия «Изменить…», «Разослать cab», «MSU на сайте…». Отдельной подвкладки репликации больше нет.

Окно «Windows: сайт» (кнопка «Изменить…») задаёт: режим раздачи — авто / включена / выключена; источник cab и MSU — Пограничный сервер, мастер или другой сайт; предзагрузку и хранение MSU — «всё» или «только необходимое». Новый cab рассылается сайтам сразу после загрузки: сайтам с источником «Edge» или «мастер» — немедленно, сайту с источником «другой сайт» — когда родитель подтвердит ту же версию.

В самой предзагрузке выбирается «Кто скачивает MSU»: по умолчанию «Сайты целевых хостов» — каждый сайт качает себе сам со своего источника, мастер ведёт только учёт заданий; вариант «Мастер» добавляет поле «Edge для мастера». Задание установки для хоста сайта качает MSU сразу на его сайт.

Лимиты загрузки. В окне «Изменить…» задаются скорость (КБ/с), потоки на пакет и число MSU, которые сайт качает параллельно. Сайт получает их сразу после сохранения и с каждой командой на загрузку MSU и cab; 0 — без своего лимита. Под полем скорости показаны лимит канала сайта и лимиты его удалённых подсетей (Подсети и назначение): все загрузки сайта — реплики Linux, cab и MSU — укладываются в канал сайта, а хосты удалённой подсети получают MSU с сайта в лимите подсети. Если канал строже заданной скорости, в колонке «Лимиты загрузки» таблицы показан канал.

Раздел «Схема»#

Схема раздачи вынесена на общую подвкладку «Схема» рядом с «Клиент LSUS» и «Шаттл»: одна картинка для Linux и Windows. Версия wsusscn2.cab, число MSU и ошибки MSU видны в карточке сайта, а в строке сайта под схемой есть колонка «Windows» и подробная карточка cab, MSU, политики и цепочки источников. Описание — на странице Управление обновлениями. Прежняя закладка #updates/windows/schema открывает её же.

Права доступа#

Действие	Permission key
Просмотр кампаний	windows_kb.campaigns.view
Управление кампаниями	windows_kb.campaigns.operate
Просмотр пакетных заданий	windows_kb.batches.view
Управление пакетными заданиями	windows_kb.batches.operate
Просмотр каталога KB	windows_kb.catalog.view
Управление синхронизацией	windows_kb.catalog.operate
Просмотр одобрений	windows_kb.approvals.view
Управление одобрениями	windows_kb.approvals.operate
Просмотр compliance	windows_kb.compliance.view
Просмотр хранилищ	windows_kb.storages.view
Управление хранилищами	windows_kb.storages.operate
Сайты Windows KB: просмотр	windows_kb.replication.view
Сайты Windows KB: управление	windows_kb.replication.operate

Связанные страницы#

• Клиент LSUS (Windows) — службы агента на хосте, установка KB, коды возврата wusa.
• Антивирус и установка обновлений — что делать, если задание остановилось в статусе «замер».
• Управление обновлениями — Linux — та же вкладка для Linux-хостов.
• Центр отладки хоста — терминал, файлы и журналы конкретного хоста.