Verwalten von Einstellungen für Softwareupdates

Gilt für: Configuration Manager (Current Branch)

Nachdem Sie Softwareupdates im Configuration Manager synchronisiert haben, konfigurieren und überprüfen Sie die Einstellungen in den folgenden Abschnitten.

Clienteinstellungen für Softwareupdates

Nachdem Sie den Softwareupdatepunkt installiert haben, sind Softwareupdates auf Clients standardmäßig aktiviert. Die Einstellungen auf der Seite "Software-Updates" in den Clienteinstellungen verfügen über Standardwerte. Die Clienteinstellungen werden auf dem gesamten Standort verwendet. Sie wirken sich darauf aus, wann Softwareupdates auf Konformität überprüft werden und wie &, wenn Softwareupdates auf Clientcomputern installiert werden. Stellen Sie vor dem Bereitstellen von Softwareupdates sicher, dass die Clienteinstellungen für Softwareupdates an Ihrem Standort geeignet sind.

• Seit dem kumulativen Update vom September 2020 sind HTTP-basierte WSUS-Server (Windows Server Update Services) standardmäßig sicher. Ein Client, der an einem HTTP-basierten WSUS nach Updates sucht, darf standardmäßig keinen Benutzerproxy verwenden. Wenn Sie trotz der Sicherheitsprobleme immer noch einen Benutzerproxy benötigen, ist eine neue Clienteinstellung für Softwareupdates verfügbar, um diese Verbindungen zuzulassen. Weitere Informationen zu den Änderungen beim Scannen von WSUS finden Sie unter Änderungen vom September 2020 zur Verbesserung der Sicherheit für Windows-Geräte, die WSUS scannen. Damit die besten Sicherheitsprotokolle vorhanden sind, empfiehlt Microsoft die Verwendung des TLS/SSL-Protokolls zum Schutz Ihrer Softwareupdateinfrastruktur.

Informationen zum Konfigurieren von Clienteinstellungen finden Sie unter Konfigurieren von Clienteinstellungen.

Weitere Informationen zu den Clienteinstellungen finden Sie unter Informationen zu Clienteinstellungen.

Best Practices für Software-Updates

Widersprüchliche Konfigurationen

Der Configuration Manager-Client legt lokale Gruppenrichtlinien fest, um den Softwareupdateworkflow zu steuern und nach Updatekonformität zu suchen. Wenn Gruppenrichtlinienobjekte (Domain Group Policy Objects, GPO) für Windows-Updates verwendet werden, überschreiben sie die entsprechende Einstellung, die von unserem Client verwendet wird. Der Client erwartet, dass bestimmte Registrierungswerte beibehalten werden, ohne dass eine andere Plattform die Einstellungen ändert. Domänen-GPOs können dazu führen, dass die Komponente in einen Fehlerzustand versetzt wird, auch wenn die Einstellung als identisch wahrgenommen wird.

Wenn beispielsweise der WSUS-Server durch eine Domänengruppenrichtlinie festgelegt wird, kann der Configuration Manager die Einstellung nicht konfigurieren oder darauf zugreifen und funktioniert möglicherweise nicht ordnungsgemäß. Dieses Verhalten führt dazu, dass Clients Scanfehler und Probleme beim Melden der Compliance an die Website haben.

Entfernen älterer Bereitstellungen und Softwareupdategruppen

Um die Websiteleistung zu optimieren und die Konformitätsgenauigkeit zu verbessern, entfernen Sie ältere Bereitstellungen und Softwareupdategruppen. Da Updates kumulativ sind, ist es nicht erforderlich, ältere Updates weiterhin bereitzustellen. Das Beibehalten alter Bereitstellungen wirkt sich negativ auf Ihre Umgebung aus.

Entfernen Sie alle nicht benötigten Produkte & Kategorien in den Softwareupdateeigenschaften

Die Auswahl zu vieler Produkte & Kategorien für die Synchronisierung kann die Performance beeinträchtigen. Denken Sie daran, dass Geräte jedes Update in der SUSDB überprüfen müssen, unabhängig davon, ob es bereitgestellt wird oder nicht. Wählen Sie also nur Produkte aus, die relevant und notwendig sind.

Viele der in der Liste gezeigten Produkte und Kategorien gelten nur für WSUS. Configuration Manager kann sie nicht bereitstellen. Wählen Sie diese Elemente also nicht aus. Beispiele:

• Dynamische Updates
• Wartungstreiber
• Silverlight
• Nicht mehr unterstützte ältere Betriebssysteme wie Windows 7, Windows 8 usw.
• Kategorie "Rollups", Kategorie "Feature Packs", Kategorie "Service Packs" usw.

Software-Updates-Scan- und Bereitstellungszyklus

Wenn die Clienteinstellungen für den Scan- oder Bereitstellungszyklus kleiner als der Standardwert von einmal pro 7 Tage sind, kann dies aufgrund übermäßiger Scanvorgänge negative Auswirkungen auf die Leistung haben. Im Allgemeinen ist es nicht notwendig, mehr als einmal pro Woche zu überprüfen. Geräte verfügen bereits über einen integrierten Mechanismus zum Überprüfen auf Updates, wenn sie eine Bereitstellung erhalten.

Selbstaktualisierung

Wenn Automatische Updates auf Clientcomputern aktiviert sind, führt der Windows Update Agent (WUA) automatisch eine Selbstaktualisierung durch, wenn eine neuere Version verfügbar wird oder wenn es Probleme mit einer WUA-Komponente gibt. Wenn automatische Updates nicht konfiguriert oder deaktiviert sind und Clientcomputer über eine frühere WUA-Version verfügen, müssen die Clientcomputer die WUA-Installationsdatei ausführen.

Eigenschaften von Softwareupdates

Die Softwareupdateeigenschaften bieten Informationen zu Softwareupdates und zugehörigen Inhalten. Sie können diese Eigenschaften auch verwenden, um Einstellungen für Softwareupdates zu konfigurieren. Wenn Sie die Eigenschaften für mehrere Softwareupdates öffnen, werden nur die Registerkarten Maximale Laufzeit und Benutzerdefinierter Schweregrad angezeigt.

Gehen Sie wie folgt vor, um die Eigenschaften für Softwareupdates zu öffnen.

So öffnen Sie Softwareupdateeigenschaften

1. Klicken Sie in der Configuration Manager-Konsole auf Softwarebibliothek.

2. Erweitern Sie im Arbeitsbereich Softwarebibliothek die Option Software-Updates, und klicken Sie auf Alle Software-Updates.

3. Wählen Sie mindestens ein Softwareupdate aus, und klicken Sie dann auf der Registerkarte Start in der Gruppe Eigenschaften auf Eigenschaften.

   Hinweis

   Auf dem Knoten Alle Software-Updates zeigt Configuration Manager nur die Softwareupdates an, die über die Klassifizierung "Kritisch" und "Sicherheit" verfügen und die in den letzten 30 Tagen veröffentlicht wurden.

Informationen zu Softwareupdates überprüfen

In den Eigenschaften für Softwareupdates können Sie detaillierte Informationen zu einem Softwareupdate anzeigen. Die detaillierten Informationen werden nicht angezeigt, wenn Sie mehr als ein Softwareupdate auswählen. In den folgenden Abschnitten werden die Informationen beschrieben, die für ein ausgewähltes Softwareupdate verfügbar sind.

Details zum Softwareupdate

Auf der Registerkarte Updatedetails können Sie die folgenden zusammenfassenden Informationen zum ausgewählten Softwareupdate anzeigen:

• Bulletin-ID: Gibt die Bulletin-ID an, die Sicherheitssoftwareupdates zugeordnet ist. Sie finden die Details zu Sicherheitsbulletins, indem Sie auf der Webseite des Microsoft Security Response Center nach der Bulletin-ID suchen.

• Artikel-ID: Gibt die Artikel-ID für das Softwareupdate an. Der referenzierte Artikel enthält ausführlichere Informationen zum Softwareupdate und dem Problem, das durch das Softwareupdate behoben oder verbessert wird.

• Datum der Überarbeitung: Gibt das Datum an, an dem das Softwareupdate zuletzt geändert wurde.

• Maximaler Schweregrad: Gibt den vom Hersteller definierten Schweregrad für das Softwareupdate an.

• Beschreibung: Bietet einen Überblick darüber, welchen Zustand das Softwareupdate behebt oder verbessert.

• Anwendbare Sprachen: Listet die Sprachen auf, für die das Softwareupdate gilt.

• Betroffene Produkte: Listet die Produkte auf, für die das Softwareupdate anwendbar ist.

Informationen zum Inhalt

Überprüfen Sie auf der Registerkarte "Inhaltsinformationen " die folgenden Informationen zu den Inhalten, die dem ausgewählten Softwareupdate zugeordnet sind:

• Inhalts-ID: Gibt die Inhalts-ID für das Softwareupdate an.

• Heruntergeladen: Gibt an, ob der Configuration Manager die Softwareupdatedateien heruntergeladen hat.

• Sprache: Gibt die Sprachen für das Softwareupdate an.

• Quellpfad: Gibt den Pfad zu den Softwareupdate-Quelldateien an.

• Größe (MB): Gibt die Größe der Softwareupdate-Quelldateien an.

Informationen zu benutzerdefinierten Paketen

Überprüfen Sie auf der Registerkarte "Benutzerdefinierte Paketinformationen " die Informationen zum benutzerdefinierten Paket für das Softwareupdate. Wenn das ausgewählte Softwareupdate gebündelte Softwareupdates enthält, die in der Softwareupdatedatei enthalten sind, werden sie im Abschnitt "Paketinformationen " angezeigt. Auf dieser Registerkarte werden keine gebündelten Softwareupdates angezeigt, die auf der Registerkarte "Inhaltsinformationen " angezeigt werden, z. B. Updatedateien für verschiedene Sprachen.

Informationen zur Ablösung

Auf der Registerkarte Ablösungsinformationen können Sie die folgenden Informationen zur Ersetzung des Softwareupdates anzeigen:

• Dieses Update wurde durch die folgenden Updates ersetzt: Gibt die Softwareupdates an, die dieses Update ersetzen. Dies bedeutet, dass die aufgelisteten Updates neuer sind. In den meisten Fällen stellen Sie eines der Softwareupdates bereit, das das Softwareupdate ersetzt. Die in der Liste angezeigten Softwareupdates enthalten Links zu Webseiten, die weitere Informationen zu den Softwareupdates bereitstellen. Wenn dieses Update nicht abgelöst wird, wird "Keines " angezeigt.

• Dieses Update ersetzt die folgenden Updates: Gibt die Softwareupdates an, die durch dieses Softwareupdate ersetzt werden, was bedeutet, dass dieses Softwareupdate neuer ist. In den meisten Fällen stellen Sie dieses Softwareupdate bereit, um die ersetzten Softwareupdates zu ersetzen. Die in der Liste angezeigten Softwareupdates enthalten Links zu Webseiten, die weitere Informationen zu den Softwareupdates bereitstellen. Wenn dieses Update kein anderes Update ersetzt, wird "Keines " angezeigt.

Konfigurieren von Einstellungen für Softwareupdates

In den Eigenschaften können Sie Softwareupdateeinstellungen für ein oder mehrere Softwareupdates konfigurieren. Die meisten Einstellungen für Softwareupdates können nur am Standort der zentralen Verwaltung oder am eigenständigen primären Standort konfiguriert werden. In den folgenden Abschnitten können Sie Einstellungen für Softwareupdates konfigurieren.

Maximale Ausführungszeit festlegen

Legen Sie auf der Registerkarte "Maximale Laufzeit " die maximale Zeitspanne fest, die ein Softwareupdate auf Clientcomputern abschließen soll. Wenn das Update länger dauert als der maximale Laufzeitwert, erstellt Configuration Manager eine Status-Meldung und beendet die Installation der Softwareupdates. Sie können diese Einstellung nur am Standort der zentralen Verwaltung oder an einem eigenständigen primären Standort konfigurieren.

Der Configuration Manager verwendet diese Einstellung auch, um zu bestimmen, ob die Softwareupdateinstallation innerhalb eines konfigurierten Wartungsfensters initiiert werden soll. Wenn der maximale Laufzeitwert größer ist als die verfügbare Restzeit im Wartungsfenster, wird die Installation der Softwareupdates auf den Beginn des nächsten Wartungsfensters verschoben. Wenn mehrere Softwareupdates auf einem Clientcomputer mit einem konfigurierten Wartungsfenster (Zeitrahmen) installiert werden sollen, wird das Softwareupdate mit der niedrigsten maximalen Laufzeit zuerst installiert. Anschließend wird das Softwareupdate mit der nächstniedrigeren maximalen Laufzeit installiert usw. Vor der Installation jedes Softwareupdates überprüft der Client, ob das verfügbare Wartungsfenster genügend Zeit für die Installation des Softwareupdates bietet. Nachdem die Installation eines Softwareupdates gestartet wurde, wird die Installation fortgesetzt, auch wenn die Installation über das Ende des Wartungsfensters hinausgeht. Weitere Informationen zu Wartungsfenstern finden Sie unter Verwenden von Wartungsfenstern.

Auf der Registerkarte "Maximale Laufzeit " können Sie die folgenden Einstellungen anzeigen und konfigurieren:

• Maximale Laufzeit: Gibt die maximale Anzahl von Minuten an, die für die Installation eines Softwareupdates vorgesehen sind, bevor der Configuration Manager die Installation beendet. Diese Einstellung bestimmt auch, ob genügend Zeit zur Verfügung steht, um das Update vor dem Ende eines Wartungsfensters zu installieren. Bei Service Packs sind standardmäßig 60 Minuten festgelegt. Bei anderen Softwareupdatetypen beträgt die Standarddauer 10 Minuten, wenn Sie eine Neuinstallation von Configuration Manager Version 1511 oder höher durchgeführt haben. Es dauert 5 Minuten, wenn Sie ein Upgrade von einer früheren Version durchgeführt haben. Die Werte können zwischen 5 und 9999 Minuten liegen.

Benutzerdefinierten Schweregrad festlegen

In den Eigenschaften für ein Softwareupdate können Sie auf der Registerkarte Benutzerdefinierter Schweregrad benutzerdefinierte Schweregrade für die Softwareupdates konfigurieren. Dieses Feature kann erforderlich sein, wenn die vordefinierten Schweregradwerte nicht Ihren Anforderungen entsprechen. Die benutzerdefinierten Werte werden in der Spalte "Benutzerdefinierter Schweregrad" in der Configuration Manager-Konsole aufgelistet. Sie können die Softwareupdates nach den definierten benutzerdefinierten Schweregradwerten sortieren und Abfragen & Berichte erstellen, die nach diesen Werten filtern können. Sie können diese Einstellung nur am Standort der zentralen Verwaltung oder am eigenständigen primären Standort konfigurieren.

Sie können die folgenden Einstellungen auf der Registerkarte Benutzerdefinierter Schweregrad konfigurieren.

• Benutzerdefinierte Schweregrad: Legt einen benutzerdefinierten Schweregradwert für die Softwareupdates fest. Wählen Sie in der Liste "Kritisch","Wichtig", "Mittel" oder "Niedrig" aus. Standardmäßig ist der benutzerdefinierte Schweregradwert leer.

CRL-Überprüfung auf Softwareupdates

Standardmäßig wird die Zertifikatsperrliste (Certificate Revocation List, CRL) nicht überprüft, wenn die Signatur von Configuration Manager-Softwareupdates überprüft wird. Die Überprüfung der CRL bei jeder Verwendung eines Zertifikats bietet mehr Sicherheit gegen die Verwendung eines gesperrten Zertifikats. Dies führt jedoch zu einer Verbindungsverzögerung und einer zusätzlichen Verarbeitung auf dem Computer, der die CRL-Überprüfung durchführt.

Wenn sie verwendet wird, muss die CRL-Überprüfung auf den Configuration Manager-Konsolen aktiviert sein, die Softwareupdates verarbeiten.

So aktivieren Sie die CRL-Überprüfung

Führen Sie auf dem Computer, der die CRL-Überprüfung durchführt, auf der Produkt-DVD den folgenden Befehl in einer Eingabeaufforderung aus:

\SMSSETUP\BIN\X64\\**<*language*>**\UpdDwnldCfg.exe /checkrevocation

For English (US) example: run \SMSSETUP\BIN\X64\00000409\UpdDwnldCfg.exe /checkrevocation.