Einführung in Softwareupdates im Konfigurations-Manager

Gilt für: Konfigurations-Manager (Current Branch)

Softwareupdates im Konfigurations-Manager stellen eine Reihe von Tools und Ressourcen bereit, mit denen die komplexe Aufgabe der Verfolgung und Anwendung von Softwareupdates auf Clientcomputern im Unternehmen verwaltet werden kann. Ein effektiver Softwareupdate-Managementprozess ist erforderlich, um die betriebliche Effizienz aufrechtzuerhalten, Sicherheitsprobleme zu überwinden und die Stabilität der Netzwerkinfrastruktur aufrechtzuerhalten. Aufgrund der sich ändernden Natur der Technologie und des ständigen Auftretens neuer Sicherheitsbedrohungen erfordert ein effektives Softwareupdatemanagement jedoch konsistente und kontinuierliche Aufmerksamkeit.

Ein Beispielszenario, das zeigt, wie Sie Softwareupdates in Ihrer Umgebung bereitstellen können, finden Sie unter Beispielszenario zum Bereitstellen von Sicherheitssoftwareupdates.

Synchronisierung von Softwareupdates

Die Synchronisierung von Softwareupdates im Konfigurations-Manager stellt eine Verbindung mit Microsoft Update her, um Metadaten von Softwareupdates abzurufen. Der Standort der obersten Ebene (Standort der zentralen Verwaltung oder eigenständiger primärer Standort) wird mit Microsoft Update nach einem Zeitplan oder beim manuellen Starten der Synchronisierung über die Konfigurations-Manager-Konsole synchronisiert. Wenn der Konfigurations-Manager die Synchronisierung von Softwareupdates am Standort der obersten Ebene abgeschlossen hat, beginnt die Synchronisierung von Softwareupdates an untergeordneten Standorten, sofern diese vorhanden sind. Nach Abschluss der Synchronisierung an jedem primären oder sekundären Standort wird eine standortweite Richtlinie erstellt, die den Clientcomputern den Speicherort der Softwareupdatepunkte bereitstellt.

Nachdem der Client die Richtlinie erhalten hat, startet der Client eine Überprüfung auf Softwareupdatekompatibilität und schreibt die Informationen in die Windows-Verwaltungsinstrumentation (Windows Management Instrumentation, WMI). Die Kompatibilitätsinformationen werden dann an den Verwaltungspunkt gesendet, der die Informationen dann an den Standortserver sendet. Weitere Informationen zur Konformitätsbewertung finden Sie im Abschnitt zur Konformitätsbewertung für Softwareupdates in diesem Thema.

Sie können mehrere Softwareupdatepunkte an einem primären Standort installieren. Der erste Softwareupdatepunkt, den Sie installieren, wird als Synchronisierungsquelle konfiguriert. Dies wird von Microsoft Update oder einem WSUS-Server synchronisiert, der sich nicht in Ihrer Konfigurations-Manager-Hierarchie befindet. Die anderen Softwareupdatepunkte am Standort verwenden den ersten Softwareupdatepunkt als Synchronisierungsquelle.

Synchronisierung auf der Website der obersten Ebene

Der Softwareupdate-Synchronisierungsprozess auf der obersten Ebene ruft von Microsoft Update die Metadaten für die Softwareupdates ab, die den Kriterien entsprechen, die Sie in den Eigenschaften der Softwareupdatepunkt-Komponente angeben. Sie konfigurieren die Kriterien nur auf der obersten Ebene.

In der folgenden Liste werden die grundlegenden Schritte für den Synchronisierungsprozess auf der Website der obersten Ebene beschrieben:

1. Die Synchronisierung der Softwareupdates beginnt.

2. Der WSUS-Synchronisierungs-Manager sendet eine Anforderung an WSUS, das auf dem Softwareupdatepunkt ausgeführt wird, um die Synchronisierung mit Microsoft Update zu starten.

3. Die Metadaten für Softwareupdates werden mit Microsoft Update synchronisiert, und alle Änderungen werden in die WSUS-Datenbank eingefügt bzw. aktualisiert.

4. Wenn WSUS die Synchronisierung abgeschlossen hat, synchronisiert der WSUS-Synchronisierungs-Manager die Metadaten der Softwareupdates aus der WSUS-Datenbank mit der Konfigurations-Manager-Datenbank, und alle Änderungen nach der letzten Synchronisierung werden in die Standortdatenbank eingefügt oder aktualisiert. Die Metadaten für Softwareupdates werden in der Standortdatenbank als Konfigurationselement gespeichert.

5. Die Konfigurationselemente für Softwareupdates werden mithilfe der Datenbankreplikation an untergeordnete Standorte gesendet.

6. Wenn die Synchronisierung erfolgreich abgeschlossen wurde, erstellt der WSUS-Synchronisierungs-Manager die Statusmeldung 6702.

7. Der WSUS-Synchronisierungs-Manager sendet eine Synchronisierungsanforderung an alle untergeordneten Standorte.

8. Der WSUS-Synchronisierungs-Manager sendet eine Anforderung einzeln an WSUS, die auf anderen Softwareupdatepunkten am Standort ausgeführt wird. Die WSUS-Server an den anderen Softwareupdatepunkten sind als Replikate von WSUS konfiguriert, die auf dem Softwareupdate-Standardpunkt am Standort ausgeführt werden.

Synchronisierung an untergeordneten primären und sekundären Standorten

Während des Synchronisierungsprozesses von Softwareupdates am Standort der obersten Ebene werden die Konfigurationselemente für die Softwareupdates mithilfe der Datenbankreplikation an untergeordnete Standorte repliziert. Am Ende des Vorgangs sendet der Standort der obersten Ebene eine Synchronisierungsanforderung an den untergeordneten Standort, und der untergeordnete Standort startet die WSUS-Synchronisierung. Die folgende Liste enthält die grundlegenden Schritte für den Synchronisierungsprozess an einem untergeordneten primären oder sekundären Standort:

1. Der WSUS-Synchronisierungs-Manager empfängt eine Synchronisierungsanforderung von der obersten Website.

2. Die Synchronisierung der Softwareupdates beginnt.

3. Der WSUS-Synchronisierungs-Manager fordert WSUS, das auf dem Softwareupdatepunkt ausgeführt wird, an, um die Synchronisierung zu starten.

4. WSUS, das auf dem Softwareupdatepunkt auf dem untergeordneten Standort ausgeführt wird, synchronisiert Softwareupdatemetadaten von WSUS, das auf dem Softwareupdatepunkt auf dem übergeordneten Standort ausgeführt wird.

5. Wenn die Synchronisierung erfolgreich abgeschlossen wurde, erstellt der WSUS-Synchronisierungs-Manager die Statusmeldung 6702.

6. Von einem primären Standort aus sendet der WSUS-Synchronisierungs-Manager eine Synchronisierungsanforderung an alle untergeordneten sekundären Standorte. Der sekundäre Standort startet die Synchronisierung von Softwareupdates mit dem übergeordneten primären Standort. Der sekundäre Standort ist als Replikat von WSUS konfiguriert, das auf dem übergeordneten Standort ausgeführt wird.

7. Der WSUS-Synchronisierungs-Manager sendet eine Anforderung einzeln an WSUS, die auf anderen Softwareupdatepunkten am Standort ausgeführt wird. Die WSUS-Server an den anderen Softwareupdatepunkten sind als Replikate von WSUS konfiguriert, die auf dem Softwareupdate-Standardpunkt am Standort ausgeführt werden.

Bewertung der Softwareupdatecompliance

Bevor Sie Softwareupdates auf Clientcomputern im Konfigurations-Manager bereitstellen, starten Sie eine Überprüfung auf Softwareupdatekonformität auf Clientcomputern. Für jedes Softwareupdate wird eine Statusmeldung erstellt, die den Konformitätsstatus für das Update enthält. Die Statusmeldungen werden in großen Mengen an den Verwaltungspunkt und dann an den Standortserver gesendet, wo der Konformitätsstatus in die Standortdatenbank eingefügt wird. Der Konformitätsstatus für Softwareupdates wird in der Konfigurations-Manager-Konsole angezeigt. Sie können Softwareupdates auf Computern bereitstellen und installieren, die die Updates benötigen. Die folgenden Abschnitte enthalten Informationen zu den Konformitätszuständen und beschreiben den Prozess zum Überprüfen der Kompatibilität von Softwareupdates.

Konformitätszustände von Softwareupdates

Im Folgenden werden die einzelnen Konformitätsstatus aufgeführt und beschrieben, die in der Konfigurations-Manager-Konsole für Softwareupdates angezeigt werden.

• Erforderlich

  Gibt an, dass das Softwareupdate auf dem Clientcomputer anwendbar und erforderlich ist. Jede der folgenden Bedingungen kann erfüllt sein, wenn der Status "Softwareupdate" erforderlich ist:

  • Das Softwareupdate wurde nicht auf dem Clientcomputer bereitgestellt.

  • Das Softwareupdate wurde auf dem Clientcomputer installiert. Die neueste Statusmeldung wurde jedoch noch nicht in die Datenbank auf dem Standortserver eingefügt. Der Clientcomputer sucht nach Abschluss der Installation erneut nach dem Update. Es kann eine Verzögerung von bis zu zwei Minuten eintreten, bevor der Client den aktualisierten Status an den Verwaltungspunkt sendet, der den aktualisierten Status an den Standortserver weiterleitet.

  • Das Softwareupdate wurde auf dem Clientcomputer installiert. Die Installation von Softwareupdates erfordert jedoch einen Neustart des Computers, bevor das Update abgeschlossen ist.

  • Das Softwareupdate wurde auf dem Clientcomputer bereitgestellt, aber noch nicht installiert.

• Nicht erforderlich

  Gibt an, dass das Softwareupdate auf dem Clientcomputer nicht anwendbar ist. Daher ist das Softwareupdate nicht erforderlich.

• Installed

  Gibt an, dass das Softwareupdate auf dem Clientcomputer anwendbar ist und dass das Softwareupdate auf dem Clientcomputer bereits installiert ist.

• Unknown

  Gibt an, dass der Standortserver keine Statusmeldung vom Clientcomputer empfangen hat, in der Regel aufgrund einer der folgenden Ursachen:

  • Der Clientcomputer konnte nicht erfolgreich nach Softwareupdatekonformität suchen.

  • Die Überprüfung wurde auf dem Clientcomputer erfolgreich abgeschlossen. Die Statusnachricht wurde jedoch noch nicht auf dem Standortserver verarbeitet, möglicherweise aufgrund eines Rückstands für Zustandsnachrichten.

  • Der Scan wurde auf dem Clientcomputer erfolgreich abgeschlossen, aber die Statusmeldung wurde nicht vom untergeordneten Standort empfangen.

  • Die Überprüfung auf dem Clientcomputer wurde erfolgreich abgeschlossen, aber die Statusmeldungsdatei war in irgendeiner Weise beschädigt und konnte nicht verarbeitet werden.

Überprüfen des Kompatibilitätsprozesses für Softwareupdates

Wenn der Softwareupdatepunkt installiert und synchronisiert wird, wird eine standortweite Computerrichtlinie erstellt, die Clientcomputer informiert, dass Konfigurations-Manager-Softwareupdates für den Standort aktiviert wurden. Wenn ein Client die Computerrichtlinie empfängt, wird eine Konformitätsbewertungsüberprüfung innerhalb der nächsten zwei Stunden nach dem Zufallsprinzip gestartet. Wenn der Scan gestartet wird, löscht ein Prozess des Software-Updates-Client-Agenten den Scanverlauf, sendet eine Anforderung zum Suchen des WSUS-Servers, der für den Scan verwendet werden soll, und aktualisiert die lokale Gruppenrichtlinie mit dem WSUS-Serverspeicherort.

Eine Scananforderung wird an den Windows Update Agent (WUA) übergeben. Der WUA stellt dann eine Verbindung mit dem in der lokalen Richtlinie aufgeführten WSUS-Serverstandort her, ruft die Metadaten für Softwareupdates ab, die auf dem WSUS-Server synchronisiert wurden, und überprüft den Clientcomputer auf die Updates. Ein Software-Updates-Client-Agent-Prozess erkennt, dass die Überprüfung auf Konformität abgeschlossen ist, und erstellt Statusmeldungen für jedes Softwareupdate, dessen Konformitätsstatus sich nach der letzten Überprüfung geändert hat. Die Statusmeldungen werden alle 15 Minuten in einem Massenvorgang an den Verwaltungspunkt gesendet. Der Verwaltungspunkt leitet dann die Zustandsmeldungen an den Standortserver weiter, wo die Zustandsmeldungen in die Standortserverdatenbank eingefügt werden.

Nach der ersten Überprüfung auf Softwareupdatekonformität wird die Überprüfung gemäß dem konfigurierten Überprüfungszeitplan gestartet. Wenn der Client jedoch in dem durch den TTL-Wert (Time to Live) angegebenen Zeitrahmen nach Softwareupdates gesucht hat, verwendet der Client die lokal gespeicherten Metadaten für Softwareupdates. Wenn sich der letzte Scan außerhalb der TTL befindet, muss der Client eine Verbindung mit WSUS herstellen, der auf dem Softwareupdatepunkt ausgeführt wird, und die auf dem Client gespeicherten Metadaten für Softwareupdates aktualisieren.

Einschließlich des Scanzeitplans kann die Überprüfung der Softwareupdatekompatibilität auf folgende Weise gestartet werden:

• Zeitplan für Softwareupdates-Scan: Der Scanvorgang für Softwareupdate-Compliance beginnt mit dem konfigurierten Scanzeitplan, der in den Einstellungen des Software-Updates-Client-Agenten konfiguriert ist. Weitere Informationen zum Konfigurieren der Software- Updates Clienteinstellungen finden Sie unter Clienteinstellungen für Softwareupdates.

• Aktion "Konfigurations-Manager-Eigenschaften": Der Benutzer kann auf dem Clientcomputer auf der Registerkarte "Aktion" im Dialogfeld "Konfigurations-Manager-Eigenschaften" auf dem Clientcomputer die Aktion "Software-Updates-Scanzyklus" oder "Evaluierungszyklus der Software-Updates-Bereitstellung" starten.

• Zeitplan für die Neubewertung der Bereitstellung: Die Evaluierung der Bereitstellung und die Überprüfung der Softwareupdate-Konformität beginnen mit dem konfigurierten Zeitplan für die Neubewertung der Bereitstellung, der in den Einstellungen des Software-Updates-Client-Agenten konfiguriert wird. Weitere Informationen zu den Clienteinstellungen für Softwareupdates finden Sie unter Updates für Clienteinstellungen.

• Vor dem Herunterladen von Updatedateien: Wenn ein Clientcomputer eine Zuweisungsrichtlinie für eine neue erforderliche Bereitstellung empfängt, lädt der Software- Updates Client-Agent die Softwareupdatedateien in den lokalen Clientcache herunter. Vor dem Herunterladen der Softwareupdatedateien startet der Client-Agent eine Überprüfung, um sicherzustellen, dass das Softwareupdate weiterhin erforderlich ist.

• Vor der Installation von Softwareupdates: Unmittelbar vor der Installation von Softwareupdates startet der Software-Updates Client-Agent eine Überprüfung, um sicherzustellen, dass die Softwareupdates weiterhin erforderlich sind.

• Nach der Installation von Softwareupdates: Unmittelbar nach Abschluss der Installation eines Softwareupdates startet der Software-Updates Client-Agent eine Überprüfung, um sicherzustellen, dass die Softwareupdates nicht mehr benötigt werden, und erstellt eine neue Statusmeldung, die besagt, dass das Softwareupdate installiert ist. Wenn die Installation abgeschlossen ist, aber ein Neustart erforderlich ist, weist die Statusmeldung darauf hin, dass ein Neustart des Clientcomputers aussteht.

• Nach dem Systemneustart: Wenn auf einem Clientcomputer ein Systemneustart aussteht, um die Installation des Softwareupdates abzuschließen, startet der Software-Updates Client-Agent nach dem Neustart einen Scan, um sicherzustellen, dass das Softwareupdate nicht mehr erforderlich ist, und erstellt eine Statusmeldung, die besagt, dass das Softwareupdate installiert ist.

Wert der Nutzungszeit

Die Metadaten für Softwareupdates, die für die Überprüfung auf Softwareupdatekompatibilität erforderlich sind, werden auf dem lokalen Clientcomputer gespeichert und sind standardmäßig bis zu 24 Stunden relevant. Dieser Wert wird als Gültigkeitsdauer (Time to Live, TTL) bezeichnet.

Suchen nach Kompatibilitätstypen für Softwareupdates

Der Client prüft die Kompatibilität von Softwareupdates, indem er einen Online- oder Offlinescan und einen erzwungenen oder nicht erzwungenen Scan verwendet, je nachdem, auf welche Weise der Scan auf Softwareupdatekonformität gestartet wird. Ob der Client tatsächlich eine Verbindung mit WSUS herstellt, ist das Ergebnis zweier unabhängiger Entscheidungen:

• Erzwungen oder nicht erzwungene Überprüfungen bestimmen, ob der Client die zwischengespeicherten Scanergebnisse wiederverwendet. Ein nicht erzwungener Scan verwendet die Ergebnisse des letzten Scans wieder, wenn sie noch aktuell sind und innerhalb der TTL liegen, und es wird nur dann ein neuer Scan ausgeführt, wenn der Cache veraltet ist. Ein erzwungener Scan führt immer einen neuen Scan aus und ignoriert den Cache.

• Online oder offline bestimmt, woher eine Überprüfung, die ausgeführt wird, ihre Metadaten abruft. Ein Onlinescan stellt eine Verbindung mit WSUS am Softwareupdatepunkt her, um die Metadaten zu aktualisieren, bevor der Client ausgewertet wird. Ein Offlinescan wertet den Client anhand bereits lokal gespeicherter Metadaten aus, ohne eine Verbindung mit WSUS herzustellen.

Das folgende Diagramm zeigt, wie die beiden Entscheidungen kombiniert werden:

In der folgenden Tabelle sind die Kombinationen zusammengefasst:

Im Folgenden wird beschrieben, welche Methoden zum Starten der Überprüfung online oder offline sind und ob die Überprüfung erzwungen oder nicht erzwungen wird.

• Zeitplan für die Überprüfung von Softwareupdates (nicht erzwungener Online-Scan)

  Nach dem konfigurierten Scanzeitplan stellt der Client eine Verbindung mit WSUS her, das auf dem Softwareupdatepunkt ausgeführt wird, um die Metadaten der Softwareupdates nur dann abzurufen, wenn die letzte Überprüfung außerhalb der TTL lag.

• Software-Updates-Scan-Zyklus oder Software-Updates-Bereitstellungszyklus (erzwungener Online-Scan)

  Der Clientcomputer stellt immer eine Verbindung zu WSUS her, das auf dem Softwareupdatepunkt ausgeführt wird, um die Metadaten der Softwareupdates abzurufen, bevor der Clientcomputer nach Softwareupdates sucht. Nach Abschluss der Überprüfung wird der TTL-Zähler zurückgesetzt. Wenn die TTL beispielsweise 24 Stunden beträgt, wird sie nach dem Starten einer Überprüfung auf Softwareupdatekonformität auf 24 Stunden zurückgesetzt.

• Zeitplan für die Neubewertung der Bereitstellung (nicht erzwungener Online-Scan)

  Nach dem konfigurierten Zeitplan für die Neubewertung der Bereitstellung stellt der Client eine Verbindung mit WSUS her, der auf dem Softwareupdatepunkt ausgeführt wird, um die Metadaten der Softwareupdates nur dann abzurufen, wenn die letzte Überprüfung außerhalb der TTL lag.

• Vor dem Herunterladen von Updatedateien (nicht erzwungene Onlineüberprüfung)

  Bevor der Client Updatedateien in erforderlichen Bereitstellungen herunterladen kann, stellt der Client eine Verbindung zu WSUS her, das auf dem Softwareupdatepunkt ausgeführt wird, um die Metadaten der Softwareupdates nur dann abzurufen, wenn die letzte Überprüfung außerhalb der TTL erfolgte.

• Vor der Installation von Softwareupdates (nicht erzwungener Onlinescan)

  Bevor der Client Softwareupdates in erforderlichen Bereitstellungen installiert, stellt der Client eine Verbindung zu WSUS her, das auf dem Softwareupdatepunkt ausgeführt wird, um die Metadaten der Softwareupdates nur dann abzurufen, wenn die letzte Überprüfung außerhalb der TTL erfolgte.

• Nach der Installation von Softwareupdates (erzwungener Offlinescan)

  Nach der Installation eines Softwareupdates startet der Software-Updates-Client-Agent eine Überprüfung mithilfe der lokalen Metadaten. Der Client stellt keine Verbindung zu WSUS her, das auf dem Softwareupdatepunkt ausgeführt wird, um Metadaten von Softwareupdates abzurufen.

• Nach dem Neustart des Systems (erzwungener Offline-Scan)

  Nachdem ein Softwareupdate installiert und der Computer neu gestartet wurde, startet der Software-Updates-Client-Agent eine Überprüfung mithilfe der lokalen Metadaten. Der Client stellt keine Verbindung zu WSUS her, das auf dem Softwareupdatepunkt ausgeführt wird, um Metadaten von Softwareupdates abzurufen.

Eine Überprüfung wertet den gesamten Katalog aus, nicht eine einzelne Bereitstellung

Eine Überprüfung bewertet den Client anhand aller Updatemetadaten, die auf dem Softwareupdatepunkt synchronisiert werden, und nicht anhand einer einzelnen Bereitstellung. Ein Scan erzeugt in einem einzigen Durchgang die Konformität für Updates in neuen Bereitstellungen, Updates in vorhandenen Bereitstellungen und Updates, die überhaupt nicht bereitgestellt werden.

Infolgedessen ändert die Anzahl der Bereitstellungen nichts an der Anzahl der Scans. Unabhängig davon, ob ein Client von 1 oder 10 Bereitstellungen betroffen ist, wird der Client mit einem einzelnen Scan anhand des Softwareupdatepunkts auf alle gleichzeitig überprüft.

Ein Scan aktualisiert die Compliance, aber die Installation erfordert weiterhin eine Bereitstellungsrichtlinie

Durch das Ausführen eines Software-Updates-Scanzyklus wird die Kompatibilität für alle Updates aktualisiert, die dem Softwareupdatepunkt bekannt sind. Der Client kann jedoch erst ein neu hinzugefügtes Update installieren, nachdem er auch die Bereitstellungsrichtlinie (Computer) für dieses Update erhalten hat. Das Aktualisieren der Kompatibilität und das Ausführen einer Bereitstellung sind separate Schritte:

• Verwenden Sie den Software-Updates-Scanzyklus, um die Konformität für alle Updates zu aktualisieren.

• Um den Client bei einer neuen oder geänderten Bereitstellung handeln zu lassen, verwenden Sie den Machine Policy Retrieval & Evaluation Cycle gefolgt vom Software Updates Deployment Evaluation Cycle.

Bereitstellungspakete für Softwareupdates

Ein Softwareupdatebereitstellungspaket ist das Vehikel, das zum Herunterladen von Softwareupdates in einen freigegebenen Netzwerkordner und zum Kopieren der Softwareupdatequelldateien in die Inhaltsbibliothek auf Standortservern und auf Verteilungspunkten verwendet wird, die in der Bereitstellung definiert werden. Mithilfe des Assistenten zum Herunterladen von Updates können Sie Softwareupdates herunterladen und Bereitstellungspaketen hinzufügen, bevor Sie sie bereitstellen. Mit diesem Assistenten können Sie Softwareupdates auf Verteilungspunkten bereitstellen und überprüfen, ob dieser Teil des Bereitstellungsprozesses erfolgreich war, bevor Sie die Softwareupdates auf Clients bereitstellen.

Wenn Sie heruntergeladene Softwareupdates mithilfe des Assistenten zum Bereitstellen von Software Updates bereitstellen, wird automatisch das Bereitstellungspaket verwendet, das die Softwareupdates enthält. Wenn Softwareupdates, die nicht heruntergeladen wurden, bereitgestellt werden, müssen Sie im Assistenten zum Bereitstellen von Software Updates ein neues oder vorhandenes Bereitstellungspaket angeben, und die Softwareupdates werden heruntergeladen, wenn der Assistent abgeschlossen ist.

Wenn ein neues Bereitstellungspaket erstellt wird, wird die Inhaltsversion auf 1 festgelegt, bevor Softwareupdates heruntergeladen werden. Wenn die Softwareupdatedateien mithilfe des Pakets heruntergeladen werden, wird die Inhaltsversion auf 2 erhöht. Daher beginnen alle neuen Bereitstellungspakete mit der Inhaltsversion 2. Jedes Mal, wenn sich der Inhalt eines Bereitstellungspakets ändert, wird die Inhaltsversion um 1 erhöht. Weitere Informationen finden Sie unter Grundlegende Konzepte für die Inhaltsverwaltung.

Clients installieren Softwareupdates in einer Bereitstellung unter Verwendung eines beliebigen Verteilungspunkts, über den die Softwareupdates verfügbar sind, unabhängig vom Bereitstellungspaket. Selbst wenn ein Bereitstellungspaket für eine aktive Bereitstellung gelöscht wird, können Clients die Softwareupdates weiterhin in der Bereitstellung installieren, solange jedes Update auf mindestens ein anderes Bereitstellungspaket heruntergeladen wurde und auf einem Verteilungspunkt verfügbar ist, auf den vom Client aus zugegriffen werden kann. Wenn das letzte Bereitstellungspaket, das ein Softwareupdate enthält, gelöscht wird, können Clientcomputer das Softwareupdate erst abrufen, wenn das Update erneut in ein Bereitstellungspaket heruntergeladen wird. Softwareupdates werden in der Konfigurations-Manager-Konsole mit einem roten Pfeil angezeigt, wenn die Updatedateien nicht in Bereitstellungspaketen enthalten sind. Bereitstellungen werden mit einem doppelten roten Pfeil angezeigt, wenn sie Updates in dieser Bedingung enthalten.

Workflows für die Bereitstellung von Softwareupdates

Es gibt zwei Hauptszenarien für die Bereitstellung von Softwareupdates in Ihrer Umgebung: die manuelle Bereitstellung und die automatische Bereitstellung. In der Regel stellen Sie Softwareupdates manuell bereit, um eine Baseline für Clientcomputer zu erstellen, und verwalten dann Softwareupdates auf Clients mithilfe der automatischen Bereitstellung. In den folgenden Abschnitten finden Sie eine Zusammenfassung des Workflows für die manuelle und automatische Bereitstellung von Softwareupdates.

Manuelle Bereitstellung von Softwareupdates

Die manuelle Bereitstellung von Softwareupdates umfasst das Auswählen von Softwareupdates in der Konfigurations-Manager-Konsole und das manuelle Starten des Bereitstellungsprozesses. In der Regel verwenden Sie diese Bereitstellungsmethode, um die Clientcomputer mit erforderlichen Softwareupdates auf den neuesten Stand zu bringen, bevor Sie automatische Bereitstellungsregeln erstellen, die laufende monatliche Softwareupdatebereitstellungen verwalten, und um Out-of-Band-Softwareupdateanforderungen bereitzustellen. Die folgende Liste enthält den allgemeinen Workflow für die manuelle Bereitstellung von Softwareupdates:

1. Filtern Sie nach Softwareupdates, die bestimmte Anforderungen verwenden. Sie können z. B. Kriterien angeben, nach denen alle Sicherheitsupdates oder kritische Softwareupdates abgerufen werden, die auf mehr als 50 Clientcomputern erforderlich sind.

2. Erstellen Sie eine Softwareupdategruppe, die die Softwareupdates enthält.

3. Laden Sie die Inhalte für die Softwareupdates in der Softwareupdategruppe herunter.

4. Stellen Sie die Softwareupdategruppe manuell bereit.

Automatische Bereitstellung von Softwareupdates

Die automatische Bereitstellung von Softwareupdates wird mithilfe einer automatischen Bereitstellungsregel (ADR) konfiguriert. In der Regel verwenden Sie diese Bereitstellungsmethode für Ihre monatlichen Softwareupdates (allgemein als Patch-Dienstag bezeichnet) und für die Verwaltung von Definitionsupdates. Wenn die Regel ausgeführt wird, werden Softwareupdates aus der Softwareupdategruppe entfernt (wenn eine vorhandene Gruppe verwendet wird), Softwareupdates, die ein bestimmtes Kriterium erfüllen (z. B. alle Sicherheitssoftwareupdates, die in der letzten Woche veröffentlicht wurden) werden einer Softwareupdategruppe hinzugefügt, die Inhaltsdateien für die Softwareupdates werden heruntergeladen und an Verteilungspunkte kopiert. und die Softwareupdates werden auf Clientcomputern in der Zielsammlung bereitgestellt. Die folgende Liste enthält den allgemeinen Workflow für die automatische Bereitstellung von Softwareupdates:

1. Erstellen Sie eine ADR, in der Bereitstellungseinstellungen wie die folgenden angegeben sind:

   • Target collection

   • Entscheiden Sie, ob die Bereitstellung aktiviert werden soll, oder einen Bericht über die Softwareupdatekompatibilität für die Clientcomputer in der Zielsammlung erstellen möchten.

   • Kriterien für Softwareupdates

   • Evaluierungs- und Bereitstellungszeitpläne

   • Verwendung durch den Benutzer

   • Eigenschaften herunterladen

2. Die Softwareupdates werden einer Softwareupdategruppe hinzugefügt.

3. Die Softwareupdategruppe wird auf den Clientcomputern in der Zielsammlung bereitgestellt, sofern sie angegeben ist.

   Sie müssen festlegen, welche Bereitstellungsstrategie in Ihrer Umgebung verwendet werden soll. Sie können beispielsweise die ADR erstellen und eine Sammlung von Testclients als Ziel verwenden. Nachdem Sie überprüft haben, ob die Softwareupdates in der Testgruppe installiert sind, können Sie der Regel eine neue Bereitstellung hinzufügen oder die Sammlung in der vorhandenen Bereitstellung in eine Zielsammlung ändern, die einen größeren Satz von Clients umfasst. Die von den ADRs erstellten Softwareupdateobjekte sind interaktiv.

• Softwareupdates, die mithilfe eines ADR bereitgestellt wurden, werden automatisch auf neuen Clients bereitgestellt, die der Zielsammlung hinzugefügt werden.

• Neue Softwareupdates, die einer Softwareupdategruppe hinzugefügt werden, werden automatisch auf den Clients in der Zielsammlung bereitgestellt.

• Sie können Bereitstellungen jederzeit für das ADR aktivieren oder deaktivieren.

  Nachdem Sie einen ADR erstellt haben, können Sie der Regel weitere Bereitstellungen hinzufügen. Dies kann Ihnen helfen, die Komplexität der Bereitstellung verschiedener Updates für verschiedene Sammlungen zu bewältigen. Jede neue Bereitstellung verfügt über den vollständigen Funktionsumfang und die Überwachung der Bereitstellung, und jede neue Bereitstellung, die Sie hinzufügen, gilt Folgendes:

• Verwendet die gleiche Updategruppe und das gleiche Updatepaket, die bei der ersten Ausführung des ADR erstellt werden

• Andere Auflistung kann angegeben werden

• Unterstützt einzigartige Bereitstellungseigenschaften, einschließlich:

  • Aktivierungszeit

  • Deadline

  • Ein- oder Ausblenden der Endbenutzererfahrung

  • Separate Warnungen für diese Bereitstellung

Bereitstellungsprozess für Softwareupdates

Nachdem Sie Softwareupdates bereitgestellt haben oder wenn eine automatische Bereitstellungsregel ausgeführt und Softwareupdates bereitgestellt hat, wird der Computerrichtlinie für den Standort eine Bereitstellungszuweisungsrichtlinie hinzugefügt. Die Softwareupdates werden aus dem Downloadspeicherort, dem Internet oder dem freigegebenen Netzwerkordner zur Paketquelle heruntergeladen. Die Softwareupdates werden aus der Paketquelle in die Inhaltsbibliothek auf dem Standortserver und dann in die Inhaltsbibliothek auf dem Verteilungspunkt kopiert.

Wenn ein Clientcomputer in der Zielsammlung für die Bereitstellung die Computerrichtlinie empfängt, startet der Softwareupdate-Client-Agent einen Auswertungsscan. Der Client-Agent lädt den Inhalt für erforderliche Softwareupdates von einem Verteilungspunkt in den lokalen Clientcache bei der Einstellung "Software available time " für die Bereitstellung herunter, und dann sind die Softwareupdates zur Installation verfügbar. Die Softwareupdates in optionalen Bereitstellungen (Bereitstellungen ohne Installationsstichtag) werden erst heruntergeladen, wenn ein Benutzer die Installation manuell startet.

Wenn der konfigurierte Stichtag verstrichen ist, führt der Software-Updates-Client-Agent eine Überprüfung durch, um sicherzustellen, dass die Softwareupdates weiterhin erforderlich sind. Anschließend wird der lokale Cache auf dem Clientcomputer überprüft, um sicherzustellen, dass die Softwareupdate-Quelldateien noch verfügbar sind. Schließlich installiert der Client die Softwareupdates. Wenn der Inhalt aus dem Clientcache gelöscht wurde, um Platz für eine andere Bereitstellung zu schaffen, lädt der Client die Softwareupdates erneut vom Verteilungspunkt in den Clientcache herunter. Softwareupdates werden unabhängig von der konfigurierten maximalen Größe des Clientcaches immer in den Clientcache heruntergeladen. Nach Abschluss der Installation überprüft der Client-Agent, ob die Softwareupdates nicht mehr benötigt werden, und sendet dann eine Statusmeldung an den Verwaltungspunkt, um anzugeben, dass die Softwareupdates jetzt auf dem Client installiert sind.

Erforderlicher Systemneustart

Wenn Softwareupdates aus einer erforderlichen Bereitstellung auf einem Clientcomputer installiert sind und ein Systemneustart erforderlich ist, damit die Installation abgeschlossen werden kann, wird der Systemneustart standardmäßig gestartet. Bei Softwareupdates, die vor Ablauf des Stichtags installiert wurden, wird der automatische Systemneustart bis zum Stichtag verschoben, es sei denn, der Computer wird vorher aus einem anderen Grund neu gestartet. Der Systemneustart kann für Server und Workstations unterdrückt werden. Diese Einstellungen werden auf der Seite "User Experience" des Assistenten zum Bereitstellen von Software-Updates oder zum Erstellen von Regel-Assistenten für automatische Updates konfiguriert.

Zyklus der erneuten Bewertung der Bereitstellung

Standardmäßig starten Clientcomputer alle 7 Tage einen Neubewertungszyklus für die Bereitstellung. Während dieses Auswertungszyklus sucht der Clientcomputer nach Softwareupdates, die zuvor bereitgestellt und installiert wurden. Wenn Softwareupdates fehlen, werden die Softwareupdates aus dem lokalen Cache neu installiert. Wenn ein Softwareupdate nicht mehr im lokalen Cache verfügbar ist, wird es von einem Verteilungspunkt heruntergeladen und dann installiert. Sie können den Zeitplan für die Neubewertung auf der Seite Software-Updates in den Clienteinstellungen für die Website konfigurieren.

Unterstützung für Windows Embedded-Geräte, die Schreibfilter verwenden

Wenn Sie Softwareupdates auf Windows Embedded-Geräten bereitstellen, die schreibfilterfähig sind, können Sie angeben, ob der Schreibfilter während der Bereitstellung auf dem Gerät deaktiviert werden soll, und das Gerät nach der Bereitstellung neu starten. Wenn der Schreibfilter nicht deaktiviert ist, wird die Software in einem temporären Overlay bereitgestellt und die Software wird beim Neustart des Geräts nicht mehr installiert, es sei denn, eine andere Bereitstellung erzwingt das Beibehalten von Änderungen.

Die Benutzerumgebungseinstellung, die das Verhalten des Schreibfilters steuert, ist ein Kontrollkästchen mit dem Namen "Änderungen zum Stichtag oder während eines Wartungsfensters committen (erfordert Neustarts)".

Weitere Informationen dazu, wie Konfigurations-Manager eingebettete Geräte verwaltet, die Schreibfilter verwenden, finden Sie unter Planen der Clientbereitstellung auf Windows Embedded-Geräten.

Erweitern von Softwareupdates im Konfigurations-Manager

Verwenden Sie System Center Updates Publisher, um Softwareupdates zu verwalten, die nicht über Microsoft Update verfügbar sind. Nachdem Sie die Softwareupdates auf dem Updateserver veröffentlicht und die Softwareupdates in Konfigurations-Manager synchronisiert haben, können Sie die Softwareupdates auf Konfigurations-Manager-Clients bereitstellen. Weitere Informationen zu Updates Publisher finden Sie unter Updates Publisher 2011.

Nächste Schritte

Planen von Softwareupdates