Wartung von Softwareupdates

Gilt für: Configuration Manager (Current Branch)

Sie können WSUS-Bereinigungsaufgaben über die Configuration Manager-Konsole in den Eigenschaften der Softwareupdatepunkt-Komponente planen und ausführen. Wenn Sie sich zum ersten Mal für die Ausführung des WSUS-Cleanup-Tasks entscheiden, wird er nach der nächsten Softwareupdate-Synchronisierung ausgeführt.

So planen und führen Sie den WSUS-Cleanup-Job aus

Planen Sie den WSUS-Cleanup-Job, indem Sie die folgenden Schritte ausführen:

1. Navigieren Sie in der Configuration Manager Konsole zu "Administration>Overview>Site Configuration>Sites".

2. Wählen Sie den Standort an der Spitze Ihrer Configuration Manager-Hierarchie aus.

3. Klicken Sie in der Gruppe Einstellungen auf Websitekomponenten konfigurieren, und klicken Sie dann auf Softwareupdatepunkt, um die Eigenschaften der Softwareupdatepunktkomponente zu öffnen.

4. Überprüfen Sie das Ablösungsverhalten. Ändern Sie das Verhalten bei Bedarf.

   

5. Klicken Sie auf die Registerkarte Ersetzungsregeln und wählen Sie WSUS-Bereinigungsassistenten ausführen aus. In Version 1806 wird die Option in WSUS-Bereinigung nach der Synchronisierung ausführen umbenannt.

6. Klicken Sie auf OK (Klicken Sie auf Schließen , wenn Sie Version 1806 ausführen).

WSUS-Bereinigungsverhalten in Version 1802 und früher

Vor Configuration Manager Version 1806 führt die WSUS-Bereinigungsoption das folgende Element aus:

• Die Option "Abgelaufene Updates " aus dem WSUS-Bereinigungsassistenten nur auf dem WSUS-Server der obersten Ebene.

  

• Eine Bereinigung von Softwareupdatekonfigurationselementen in der Configuration Manager-Datenbank erfolgt alle sieben Tage und entfernt nicht benötigte Updates von der Konsole.

  • Durch diese Bereinigung werden abgelaufene Updates nicht aus der Configuration Manager-Konsole entfernt, wenn sie derzeit bereitgestellt werden.

Zusätzliche Wartung ist für die WSUS-Datenbank der obersten Ebene und alle anderen WSUS-Datenbanken in der Umgebung weiterhin erforderlich. Weitere Informationen und Anweisungen finden Sie im Blogbeitrag "Vollständige Anleitung zur Wartung von Microsoft WSUS und Configuration Manager SUP".

WSUS-Bereinigungsverhalten ab Version 1806

Ab Version 1806 erfolgt die WSUS-Bereinigungsoption nach jeder Synchronisierung und führt die folgenden Bereinigungselemente aus:

• Die Option "Abgelaufene Updates " für WSUS-Server auf Clientzugriffsservern und primären Standorten.
  • WSUS-Server für sekundäre Standorte führen die WSUS-Bereinigung für abgelaufene Updates nicht aus.
• Configuration Manager erstellt eine Liste der ersetzten Updates aus seiner Datenbank. Die Liste basiert auf dem Ersetzungsverhalten in den Eigenschaften der Komponente "Softwareupdatepunkt".
  • Die Updatekonfigurationselemente, die die Kriterien für das Ablösungsverhalten erfüllen, sind in der Configuration Manager-Konsole abgelaufen.
  • Die Updates werden in WSUS für CAS und primäre Standorte, nicht jedoch für sekundäre Standorte abgelehnt.
• Eine Bereinigung von Softwareupdatekonfigurationselementen in der Configuration Manager-Datenbank erfolgt alle sieben Tage und entfernt nicht benötigte Updates von der Konsole.
  • Durch diese Bereinigung werden abgelaufene Updates nicht aus der Configuration Manager-Konsole entfernt, wenn sie derzeit bereitgestellt werden.

Die gesamte WSUS-Wartung muss manuell für die WSUS-Datenbanken am sekundären Standort ausgeführt werden. Die folgenden Optionen des WSUS-Assistenten für die Serverbereinigung werden auf dem Clientzugriffsserver und den primären Standorten nicht ausgeführt:

• Nicht verwendete Updates und Updaterevisionen

• Computer, die keine Verbindung mit dem Server herstellen

• Nicht benötigte Aktualisierungsdateien

  Weitere Informationen und Anweisungen finden Sie im Blogbeitrag "Vollständige Anleitung zur Wartung von Microsoft WSUS und Configuration Manager SUP".

WSUS-Bereinigungsverhalten ab Version 1810

Ab Version 1810 können Sie Ablösungsregeln für Featureupdates getrennt von Nicht-Featureupdates in den Eigenschaften der Softwareupdatepunkt-Komponente angeben. Die WSUS-Bereinigungsoption tritt nach jeder Synchronisierung auf und führt die folgenden Bereinigungselemente aus:

• Die Option "Abgelaufene Updates " für WSUS-Server auf Clientzugriffsservern sowie an primären und sekundären Standorten.
• Configuration Manager erstellt eine Liste der ersetzten Updates aus seiner Datenbank. Die Liste basiert auf dem Ersetzungsverhalten in den Eigenschaften der Komponente "Softwareupdatepunkt".
  • Die Updatekonfigurationselemente, die die Kriterien für das Ablösungsverhalten erfüllen, sind in der Configuration Manager-Konsole abgelaufen.
  • Die Updates werden in WSUS für CAS-, primäre und sekundäre Standorte abgelehnt.
• Eine Bereinigung von Softwareupdatekonfigurationselementen in der Configuration Manager-Datenbank erfolgt alle sieben Tage und entfernt nicht benötigte Updates von der Konsole.
  • Durch diese Bereinigung werden abgelaufene Updates nicht aus der Configuration Manager-Konsole entfernt, wenn sie derzeit bereitgestellt werden.

Die folgenden Optionen des Assistenten für die WSUS-Serverbereinigung werden nicht auf dem Clientzugriffsserver, primären und sekundären Standort ausgeführt:

• Nicht verwendete Updates und Updaterevisionen

• Computer, die keine Verbindung mit dem Server herstellen

• Nicht benötigte Aktualisierungsdateien

  Weitere Informationen und Anweisungen finden Sie im Blogbeitrag "Vollständige Anleitung zur Wartung von Microsoft WSUS und Configuration Manager SUP".

WSUS-Cleanup ab Version 1906

Es gibt zusätzliche WSUS-Wartungsaufgaben, die der Configuration Manager ausführen kann, um fehlerfreie Softwareupdatepunkte zu erhalten. Zusätzlich zum Ablehnen abgelaufener Updates in WSUS kann Configuration Manager nicht gruppierte Indizes zu den WSUS-Datenbanken hinzufügen und veraltete Updates aus den WSUS-Datenbanken entfernen. Die WSUS-Wartung erfolgt nach jeder Synchronisierung.

Abgelaufene Updates in WSUS gemäß Ersetzungsregeln ablehnen

Durch Ablehnen von Updates in WSUS wird die Leistung verbessert, indem diese Updates aus den an Clients gesendeten Katalogen entfernt werden. Das Ablehnen von Updates, die Configuration Manager als abgelöst markiert, minimiert die Kataloge weiter und verbessert die Leistung.

1. Navigieren Sie in der Configuration Manager Konsole zu "Administration>Overview>Site Configuration>Sites".
2. Wählen Sie den Standort an der Spitze Ihrer Configuration Manager-Hierarchie aus.
3. Klicken Sie in der Gruppe Einstellungen auf Websitekomponenten konfigurieren , und klicken Sie dann auf Softwareupdatepunkt , um die Eigenschaften der Softwareupdatepunktkomponente zu öffnen.
4. Wählen Sie auf der Registerkarte WSUS-Wartungdie Option Abgelaufene Updates in WSUS gemäß Ersetzungsregeln ablehnen aus.

Hinzufügen nicht gruppierter Indizes zur WSUS-Datenbank, um die WSUS-Bereinigungsleistung zu verbessern

Durch das Hinzufügen von nicht gruppierten Indizes wird die WSUS-Bereinigungsleistung verbessert, die der Configuration Manager durchführt.

1. Navigieren Sie in der Configuration Manager Konsole zu "Administration>Overview>Site Configuration>Sites".
2. Wählen Sie den Standort an der Spitze Ihrer Configuration Manager-Hierarchie aus.
3. Klicken Sie in der Gruppe Einstellungen auf Websitekomponenten konfigurieren , und klicken Sie dann auf Softwareupdatepunkt , um die Eigenschaften der Softwareupdatepunktkomponente zu öffnen.
4. Wählen Sie auf der Registerkarte WSUS-Wartungdie Option Nicht gruppierte Indizes zur WSUS-Datenbank hinzufügen aus.
5. Auf jeder SUSDB, die vom Konfigurations-Manager verwendet wird, werden den folgenden Tabellen Indizes hinzugefügt:
   • tbLocalizedPropertyForRevision
   • tbRevisionSupersedesUpdate

SQL Server-Berechtigungen zum Erstellen von Indizes

Wenn sich die WSUS-Datenbank auf einem Remote-SQL Server befindet, müssen Sie möglicherweise Berechtigungen in SQL Server hinzufügen, um Indizes zu erstellen. Das Konto, das zum Herstellen einer Verbindung mit der WSUS-Datenbank und zum Erstellen der Indizes verwendet wird, kann unterschiedlich sein. Wenn Sie in den Eigenschaften des Softwareupdatepunkts ein WSUS-Server-Verbindungskonto angeben, stellen Sie sicher, dass das Verbindungskonto über die SQL Server-Berechtigungen verfügt. Wenn Sie kein WSUS-Server-Verbindungskonto angeben, benötigt das Computerkonto des Standortservers die SQL Server-Berechtigungen.

• Zum Erstellen eines Indexes ist eine Berechtigung für die Tabelle oder Sicht erforderlich ALTER . Das Konto muss der sysadmin festen Serverrolle oder der db_ddladmin festen Datenbankrolle angehören db_owner . Weitere Informationen zum Erstellen von und Indizes und Berechtigungen finden Sie unter CREATE INDEX (Transact-SQL).
• Die CONNECT SQL Serverberechtigung muss dem Konto erteilt werden. Weitere Informationen finden Sie unter GRANT Server Permissions (Transact-SQL).

Entfernen veralteter Updates aus der WSUS-Datenbank

Veraltete Updates sind nicht verwendete Updates und Updaterevisionen in der WSUS-Datenbank. Im Allgemeinen gilt ein Update als veraltet, sobald es sich nicht mehr im Microsoft Update-Katalog befindet und von anderen Updates nicht mehr als Voraussetzung oder Abhängigkeit benötigt wird.

1. Navigieren Sie in der Configuration Manager Konsole zu "Administration>Overview>Site Configuration>Sites".
2. Wählen Sie den Standort an der Spitze Ihrer Configuration Manager-Hierarchie aus.
3. Klicken Sie in der Gruppe Einstellungen auf Websitekomponenten konfigurieren , und klicken Sie dann auf Softwareupdatepunkt , um die Eigenschaften der Softwareupdatepunktkomponente zu öffnen.
4. Wählen Sie auf der Registerkarte WSUS-Wartungdie Option Veraltete Updates aus der WSUS-Datenbank entfernen aus.
   • Das Entfernen des veralteten Updates kann maximal 30 Minuten lang ausgeführt werden, bevor es beendet wird. Sie wird nach der nächsten Synchronisierung erneut gestartet.

SQL Server-Berechtigungen zum Entfernen veralteter Updates

Wenn sich die WSUS-Datenbank auf einem Remote-SQL Server befindet, benötigt das Computerkonto des Standortservers die folgenden SQL Server-Berechtigungen:

• Die db_datareader und db_datawriter festen Datenbankrollen. Weitere Informationen finden Sie unter Rollen auf Datenbankebene.
• Die CONNECT SQL Serverberechtigung muss dem Computerkonto des Standortservers erteilt werden. Weitere Informationen finden Sie unter GRANT Server Permissions (Transact-SQL).

WSUS-Assistent für die Bereinigung

Ab Version 1906 werden die folgenden Optionen des Assistenten für die WSUS-Serverbereinigung nicht auf dem Clientzugriffsserver, primären und sekundären Standorten ausgeführt:

• Computer, die keine Verbindung mit dem Server herstellen

• Nicht benötigte Aktualisierungsdateien

  Weitere Informationen und Anweisungen finden Sie im Blogbeitrag "Vollständige Anleitung zur Wartung von Microsoft WSUS und Configuration Manager SUP".

Bekanntes Problem

Stellen Sie sich folgendes Szenario vor:

• Sie verwenden Configuration Manager, Version 1906 oder höher
• Sie verfügen über Remoteupdatepunkte für Software, die eine interne Windows-Datenbank verwenden
• In den Eigenschaften der Softwareupdatepunkt-Komponente haben Sie auf der Registerkarte WSUS-Wartung eine der folgenden Optionen ausgewählt:
  • Hinzufügen nicht gruppierter Indizes zur WSUS-Datenbank
  • Entfernen veralteter Updates aus der WSUS-Datenbank

In diesem Szenario kann Configuration Manager die oben genannten WSUS-Wartungsaufgaben für die Remote-Software-Updates-Punkte nicht mithilfe einer internen Windows-Datenbank ausführen. Dieses Problem tritt auf, weil die interne Windows-Datenbank keine Remoteverbindungen zulässt. In der WSyncMgr.log Auf dem Standortserver werden die folgenden Fehler angezeigt:

Indexing Failed. Could not connect to SUSDB.
SqlException thrown while connect to SUSDB in Server: <SUP.CONTOSO.COM>. Error Message: A network-related or instance-specific error occurred while establishing a connection to SQL Server. The server was not found or was not accessible. Verify that the instance name is correct and that SQL Server is configured to allow remote connections. (provider: Named Pipes Provider, error: 40 - Could not open a connection to SQL Server)
...
Could not Delete Obselete Updates because ConfigManager could not connect to SUSDB: A network-related or instance-specific error occurred while establishing a connection to SQL Server. The server was not found or was not accessible. Verify that the instance name is correct and that SQL Server is configured to allow remote connections. (provider: Named Pipes Provider, error: 40 - Could not open a connection to SQL Server) UpdateServer: <SUP.CONTOSO.COM>

Um das Problem zu umgehen, können Sie die WSUS-Wartung für die Remote-Softwareupdatepunkte mithilfe einer internen Windows-Datenbank automatisieren. Weitere Informationen und detaillierte Schritte finden Sie unter Die vollständige Anleitung zur Wartung von Microsoft WSUS und Configuration Manager SUP.

Updates bereinigen Protokolleinträge

Sie können diese Bereinigung überprüfen, indem Sie die wsyncmgr.log für die folgenden Einträge überprüfen:

• Die Ablehnung von ersetzten Updates in WSUS ist abgeschlossen, wenn Sie diesen Protokolleintrag sehen: Cleanup processed <number> total updates and declined <number>
• Die WSUS-Bereinigung beginnt, wenn Sie diesen Eintrag sehen: Calling WSUS Cleanup.
• Die WSUS-Bereinigung für abgelaufene Updates ist abgeschlossen, wenn Sie diesen Eintrag sehen: Successfully completed WSUS Cleanup.
• Die Bereinigung abgelaufener Konfigurationselemente des Configuration Manager wird gestartet, wenn dieser Eintrag angezeigt wird:Deleting old expired updates...
• Die Bereinigung der Konfigurationselemente für abgelaufene Configuration Manager-Updates ist abgeschlossen, wenn Sie diesen Eintrag sehen:Deleted <number> expired updates total