Клиент LSUS (Windows)

На Windows работают две службы LSUS (каждая — отдельный .exe / служба Windows):

Разделение повторяет архитектуру Linux, где обновлениями занимается lsus-client, а конфигурациями — отдельный пакет lsus-config-agent. Раньше на Windows обе функции были совмещены в одном LsusAgent.exe; теперь конфигурации вынесены в самостоятельную службу, что упрощает её независимое обновление и не связывает долгие прогоны скриптов с циклом обновлений.

Обе службы — это C#/.NET-приложения (.NET Framework 4.6.2+). Для управления Linux-хостами используется другой агент. Эта страница — только про Windows.

Архитектура¶

• Рантайм: .NET Framework 4.6.2+ (для Windows Server 2012 R2 / Windows 8.1 и новее).
• Формат: Windows-службы (LsusAgent и LsusConfigAgent, тип запуска «Автоматически»).
• Поставка: MSI-пакет и ZIP-архив со скриптами установки.

Главный цикл патч-службы (LsusAgent)¶

Несколько параллельных процессов:

Главный цикл службы конфигураций (LsusConfigAgent)¶

Один воркер — pull-цикл прогонов конфигураций (полный аналог Linux lsus-config-agent):

Функциональность¶

Windows Update API¶

Используется COM Microsoft.Update.Session:

• Поиск доступных обновлений — Search("IsInstalled=0").
• Установка — CreateUpdateDownloader + IUpdateInstaller.Install.
• Offline-скан — регистрация scan-package-сервиса из wsusscn2.cab через ServiceManager.AddScanPackageService, поиск по whitelist классификаций (Security/Critical/UpdateRollups/SSU), исключая Defender/MSRT.

Установка обновлений KB (wusa.exe)¶

Дедлайн wusa — wusa_timeout_minutes (по умолчанию 60, env LSUS_WUSA_TIMEOUT_MIN).

Коды возврата wusa:

Коды из категорий not_applicable/prerequisite_missing/manual_intervention не переводят весь батч в failed, а помечаются как Skipped (auto-skip) — сервер продолжает установку остальных KB.

Конфигурации (PowerShell/DSC) — служба LsusConfigAgent¶

Исполнение политик конфигурации выполняет отдельная служба LsusConfigAgent.exe — зеркало lsus-config-agent, но исполняет PowerShell вместо Ansible.

• Проверка Ed25519-подписи контента.
• Скачивание ассетов/дистрибутивов с sha256+Ed25519.
• Запуск: powershell.exe -NoProfile -NonInteractive -ExecutionPolicy Bypass -File <wrapper> -Mode <check|apply>.
• Скрипты пишутся UTF-8 с BOM (для совместимости с PowerShell 4/5).
• extra_vars через env LSUS_EXTRA_VARS (JSON).
• Сбор артефактов из $env:LSUS_ARTIFACTS_DIR.
• Команды [DEBUG_EXEC] из центра отладки также исполняются службой конфигураций (через /clients/ansible/commands/pending).

Дистрибутивы ПО (.exe/.msi)¶

Код 3010 (требуется перезагрузка) трактуется как успех с требованием ребута.

Установка¶

MSI (рекомендуется)¶

# Установка с указанием сервера
msiexec /i lsus-agent-net-<версия>.msi /qn /norestart SERVERURL="https://lsus.example.com:8443"

# Или через Install-LsusAgent.ps1 (для ZIP)
.\Install-LsusAgent.ps1 -ServerUrl "https://lsus.example.com:8443"

ZIP (через PowerShell-скрипт)¶

# Требует права администратора
.\Install-LsusAgent.ps1 -SourceDir .\publish -ServerUrl "https://lsus.example.com:8443"

Install-LsusAgent.ps1 автоматически:
1. останавливает службу и процесс LsusAgent.exe;
2. копирует бинарники в %ProgramFiles%\LSUS\LsusAgent\;
3. создаёт %ProgramData%\LSUS\ (конфиг, логи, токен);
4. создаёт службу LsusAgent (тип «Автоматически», recovery — 3 рестарта через 60 с);
5. запускает службу.

Пути установки¶

Удаление¶

.\Uninstall-LsusAgent.ps1          # сохраняет %ProgramData%\LSUS (токен, логи)
.\Uninstall-LsusAgent.ps1 -Purge   # удаляет полностью

Конфигурация¶

Файл: %ProgramData%\LSUS\lsus-client.conf (INI-формат, не JSON).

[server]
ServerUrl = https://lsus.example.com:8443
ServerDiscoveryDomain =
HeartbeatIntervalSeconds = 120
verify_ssl = false

[system]
DataDir =
scan_timeout_minutes = 30
wusa_timeout_minutes = 60

Ключи¶

Env-переопределения: LSUS_SCAN_TIMEOUT_MIN, LSUS_WUSA_TIMEOUT_MIN.

Приоритет источников адреса сервера¶

1. ServerUrl из конфига;
2. ServerDiscoveryDomain → DNS SRV (перекрывает ServerUrl в памяти);
3. если домен пуст, но хост в AD — домен из Domain.GetComputerDomain();
4. assigned_server_url с сервера (может меняться «на лету» через heartbeat).

Регистрация и связь с сервером¶

Тот же механизм и endpoint /api/v1/clients/*, что у Linux-агента.

• Регистрация: POST /clients/register (без Bearer, до получения токена). В ответе: api_token, host_id, new_client_uuid.
• Auth: Bearer-токен в заголовке для всех вызовов после регистрации. Сохраняется в %ProgramData%\LSUS\api-token.
• Heartbeat: POST /clients/heartbeat — статус, версия, флаг pending_reboot, boot_time, активные пользователи.

Что шлёт в heartbeat¶

• hostname, client_uuid, os_install_id (MachineGuid, меняется при переустановке Windows);
• client_version, boot_time, uptime_seconds;
• pending_reboot (детектор CBS/WU реестра);
• windows_wu_scan_compliance (готовность WUA для wsusscn2);
• interactive_users (активные консоль/RDP);
• update_in_progress (флаг на время INSTALL_KB).

Диагностика¶

Проверка работоспособности¶

# статус служб (патч-служба + служба конфигураций)
Get-Service LsusAgent, LsusConfigAgent

# лог патч-службы (последние 50 строк)
Get-Content -Tail 50 "$env:ProgramData\LSUS\logs\lsus-agent.log"

# лог службы конфигураций
Get-Content -Tail 50 "$env:ProgramData\LSUS\Config\logs\lsus-config-agent.log"

На сервере: хост появится во вкладке «Хосты», инвентарь — в «Инвентаризации», активный пользователь — в карточке хоста. Прогоны политик конфигурации — в разделе «Запуски сценариев».

Логи¶

• Патч-служба: %ProgramData%\LSUS\logs\lsus-agent.log (ротация 2 МБ × 5 копий, уровень INFO).
• Служба конфигураций: %ProgramData%\LSUS\Config\logs\lsus-config-agent.log.
• Логи ZIP-updater: %ProgramData%\LSUS\update\zip-updater-<ts>.log.
• Event Viewer: не используется (только файловые логи).

CLI¶

Минимальный, у обоих исполняемых файлов:

LsusAgent.exe --version        # версия патч-службы
LsusAgent.exe --console        # запуск патч-службы в консоли (отладка)

LsusConfigAgent.exe --version  # версия службы конфигураций
LsusConfigAgent.exe --console  # запуск службы конфигураций в консоли

Подкоманд status/register/discover нет — регистрация, heartbeat и команды выполняются автоматически в главном цикле службы.

Сбор диагностики (команда с сервера)¶

Команда kind=COLLECT_DIAGNOSTICS собирает ZIP с логами LSUS, WindowsUpdateLogs, %WINDIR%\Logs\CBS, %WINDIR%\Logs\DISM, EventLog System/Application и загружает на сервер.

Команды сервера и перезагрузка¶

Поддерживаемые команды¶

Перезагрузка¶

• REBOOT_NOW — shutdown.exe /r /t 60 (окно 60 секунд для пользователя). Агент отправляет completed ДО начала перезагрузки; сервер переводит батч в waiting_reboot и ждёт смены boot_time в следующем heartbeat.
• Авто-reboot при INSTALL_KB — если wusa вернул 3010 или системный PendingRebootDetector сработал, агент сообщает reboot_required=true; сервер решает, инициировать ли перезагрузку (в auto_continue-режиме).
• Агент не ждёт ребут сам — только сообщает потребность или исполняет REBOOT_NOW по команде сервера.

Self-update¶

Команда [UPDATE_AGENT] запускает обновление патч-службы LsusAgent:

1. GET /clients/agent-package?os=windows&architecture=<arch>&package_type=zip&component=patch (fallback на msi);
2. скачивание в %ProgramData%\LSUS\update\<sha8>-<filename> с проверкой sha256; на слабом канале агент докачивает файл по Range, а сайт отдаёт уже скачанный пакет из своего кэша;
3. ZIP → Update-FromZip.ps1 (backup → распаковка → overlay → restart); если PowerShell не стартовал (нет в PATH) — агент ставит MSI. MSI → msiexec /i ... /qn /norestart из %SystemRoot%\System32;
4. после рестарта службы агент сверяет версию с маркером и отчитывается: success/failed.

Для уже установленных агентов старше 1.0.94 сервер сам отдаёт MSI вместо ZIP, чтобы обойти сломанный PATH без ручной установки.

Сервер различает пакеты по component (patch / config), что позволяет обновлять службы независимо. Самообновление службы конфигураций выполняется аналогично, по пакетам component=config (требует включённого модуля «Конфигурации»).

Связанные страницы¶

• Клиент LSUS — Linux-агент (heartbeat, обновления).
• Конфигурации — серверная часть: PowerShell-скрипты, дистрибутивы ПО.
• lsus-config-agent — Linux-аналог для Конфигураций (Ansible).
• Windows KB — управление обновлениями KB на стороне сервера.
• Полные инструкции по установке: docs/install.md в комплекте поставки агента.