Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Gilt für: Configuration Manager (Current Branch)
Dieser Artikel enthält bewährte Methoden für Softwareupdates im Configuration Manager. Die Informationen sind nach Best Practices für die Erstinstallation und für den laufenden Betrieb sortiert.
Bewährte Methoden für die Installation
Verwenden Sie die folgenden bewährten Methoden, wenn Sie Softwareupdates im Configuration Manager installieren.
Verwenden einer freigegebenen WSUS-Datenbank für Softwareupdatepunkte
Wenn Sie mehr als einen Softwareupdatepunkt an einem primären Standort installieren, verwenden Sie dieselbe WSUS-Datenbank für jeden Softwareupdatepunkt in derselben Active Directory-Gesamtstruktur. Wenn Sie dieselbe Datenbank gemeinsam nutzen, werden die Auswirkungen auf die Client- und Netzwerkleistung, die beim Wechsel von Clients zu einem neuen Softwareupdatepunkt auftreten können, erheblich verringert, aber nicht vollständig eliminiert. Ein Delta-Scan findet weiterhin statt, wenn ein Client zu einem neuen Softwareupdatepunkt wechselt, der eine Datenbank mit dem alten Softwareupdatepunkt teilt, aber der Scan ist viel kleiner, als wenn der WSUS-Server über eine eigene Datenbank verfügen würde. Weitere Informationen zum Wechseln von Softwareupdatepunkten finden Sie unter Wechseln von Softwareupdatepunkten.
Wichtig
Geben Sie auch die lokalen WSUS-Inhaltsordner frei, wenn Sie eine freigegebene WSUS-Datenbank für Softwareupdatepunkte verwenden.
Weitere Informationen zum Freigeben der WSUS-Datenbank finden Sie in den folgenden Blogbeiträgen:
Wenn Configuration Manager und WSUS denselben SQL Server verwenden, konfigurieren Sie eine für die Verwendung einer benannten Instance und die andere für die Verwendung der Standard-Instance
Wenn die Configuration Manager- und WSUS-Datenbanken dieselbe Instanz von SQL Server verwenden, können Sie die Ressourcennutzung zwischen den beiden Anwendungen nicht einfach ermitteln. Verwenden Sie unterschiedliche SQL Server-Instanzen für Configuration Manager und WSUS. Diese Konfiguration erleichtert die Fehlerbehandlung und Diagnose von Ressourcennutzungsproblemen, die für jede Anwendung auftreten können.
Die Einstellung "Updates lokal speichern" angeben
Wählen Sie bei der Installation von WSUS die Einstellung zum lokalen Speichern von Updates aus. Diese Einstellung veranlasst WSUS, die Lizenzbedingungen herunterzuladen, die mit Softwareupdates verknüpft sind. Es lädt die Terme während des Synchronisationsprozesses herunter und speichert sie auf der lokalen Festplatte für den WSUS-Server. Wenn Sie diese Einstellung nicht auswählen, schlagen Clientcomputer möglicherweise Kompatibilitätsüberprüfungen für Softwareupdates mit Lizenzbedingungen fehl. Die WSUS-Synchronisierungs-Manager-Komponente des Softwareupdatepunkts überprüft, ob diese Einstellung standardmäßig alle 60 Minuten aktiviert ist.
Konfigurieren Ihrer Softwareupdatepunkte für die Verwendung von TLS/SSL
Die Konfiguration Windows Server Update Services Server (WSUS) und der zugehörigen Softwareupdatepunkte für die Verwendung von TLS/SSL kann die Möglichkeiten eines potenziellen Angreifers verringern, einen Client remote zu kompromittieren und Berechtigungen zu erhöhen. Um sicherzustellen, dass die besten Sicherheitsprotokolle vorhanden sind, wird dringend empfohlen, das TLS/SSL-Protokoll zum Schutz Ihrer Softwareupdate-Infrastruktur zu verwenden. Weitere Informationen finden Sie im Tutorial Konfigurieren eines Softwareupdatepunkts für die Verwendung von TLS/SSL mit einem PKI-Zertifikat.
Betriebliche bewährte Methoden
Verwenden Sie die folgenden bewährten Methoden, wenn Sie Softwareupdates verwenden:
Begrenzen von Softwareupdates auf 1000 in einer einzigen Softwareupdatebereitstellung
Begrenzen Sie die Anzahl der Softwareupdates in jeder Softwareupdatebereitstellung auf 1000. Wenn Sie eine automatische Bereitstellungsregel erstellen, stellen Sie sicher, dass die angegebenen Kriterien nicht zu mehr als 1000 Softwareupdates führen. Wenn Sie Softwareupdates manuell bereitstellen, wählen Sie nicht mehr als 1000 Updates aus.
Erstellen Sie eine neue Softwareupdategruppe, wenn ein ADR für den "Patch Tuesday" und für allgemeine Bereitstellungen ausgeführt wird
Es gibt einen Grenzwert von 1000 Softwareupdates in einer Bereitstellung. Wenn Sie eine Regel für die automatische Bereitstellung (ADR) erstellen, geben Sie an, ob eine vorhandene Updategruppe verwendet werden soll oder ob bei jeder Ausführung der Regel eine neue Updategruppe erstellt werden soll. Wenn Sie Kriterien in einem ADR angeben, die zu mehreren Softwareupdates führen, und die Regel nach einem wiederkehrenden Zeitplan ausgeführt wird, erstellen Sie bei jeder Ausführung der Regel eine neue Softwareupdategruppe. Dieses Verhalten verhindert, dass die Bereitstellung das Limit von 1000 Softwareupdates pro Bereitstellung überschreitet.
Verwenden einer vorhandenen Softwareupdategruppe für ADRs für Endpoint Protection-Definitionsupdates
Wenn Sie eine ADR verwenden, um Endpoint Protection-Definitionsupdates regelmäßig bereitzustellen, verwenden Sie immer eine vorhandene Softwareupdategruppe. Andernfalls erstellt die ADR im Laufe der Zeit möglicherweise Hunderte von Softwareupdategruppen. Herausgeber von Definitionsupdates legen in der Regel fest, dass Definitionsupdates ablaufen, wenn sie durch vier neuere Updates ersetzt werden. Daher enthält die von der ADR erstellte Softwareupdategruppe nie mehr als vier Definitionsupdates für den Herausgeber: ein aktives und drei ersetzte.