Installer et configurer un point de mise à jour logicielle

S’applique à : Configuration Manager (branche actuelle)

Importante

Avant d’installer le rôle de système de site de point de mise à jour logicielle (SUP), vous devez vérifier que le serveur répond aux dépendances requises et détermine l’infrastructure du point de mise à jour logicielle sur le site. Pour plus d’informations sur la planification des mises à jour logicielles et l’identification de l’infrastructure de votre point de mise à jour logicielle, consultez Planifier les mises à jour logicielles.

Le point de mise à jour logicielle est requis sur le site d’administration centrale et sur les sites principaux pour permettre l’évaluation de la conformité des mises à jour logicielles et déployer les mises à jour logicielles sur les clients. Le point de mise à jour logicielle est facultatif sur les sites secondaires. Le rôle de système de site de point de mise à jour logicielle doit être créé sur un serveur sur lequel WSUS est installé. Le point de mise à jour logicielle interagit avec les services WSUS pour configurer les paramètres de mise à jour logicielle et demander la synchronisation des métadonnées de mises à jour logicielles. Lorsque vous disposez d’une hiérarchie Configuration Manager, installez et configurez le point de mise à jour du logiciel sur le site d’administration centrale d’abord, puis sur les sites principaux enfants, et éventuellement sur les sites secondaires. Si vous disposez d’un site principal autonome et non d’un site d’administration centrale, installez et configurez d’abord le point de mise à jour logicielle sur le site principal, puis éventuellement sur les sites secondaires. Certains paramètres ne sont disponibles que lorsque vous configurez le point de mise à jour logicielle sur un site de niveau supérieur. Il existe différentes options que vous devez prendre en compte selon l’emplacement où vous avez installé le point de mise à jour logicielle.

Importante

  • Vous pouvez installer plusieurs points de mise à jour logicielle sur un site. Le premier point de mise à jour logicielle que vous installez est configuré en tant que source de synchronisation, qui synchronise les mises à jour à partir de Microsoft Update ou de la source de synchronisation en amont. Les autres points de mise à jour logicielle du site sont configurés comme des répliques du premier point de mise à jour logicielle. Par conséquent, certains paramètres ne sont pas disponibles après l’installation et la configuration du point de mise à jour logicielle initial.
  • Il n’est pas pris en charge d’installer le rôle de système de site de point de mise à jour logicielle sur un serveur qui a été configuré et utilisé comme serveur WSUS autonome ou d’utiliser un point de mise à jour logicielle pour gérer directement les clients WSUS. Les serveurs WSUS existants sont uniquement pris en charge comme sources de synchronisation en amont pour le point de mise à jour logicielle actif. Voir Synchroniser à partir d’un emplacement de source de données en amont

Vous pouvez ajouter le rôle de système de site Point de mise à jour logicielle à un serveur de système de sites existant ou en créer un nouveau. Sur la page Sélection du rôle système de l’Assistant Créer un serveur de système de site ou de l’Assistant Ajouter des rôles de système de site, selon que vous ajoutez le rôle de système de site à un serveur de site nouveau ou existant, sélectionnez Point de mise à jour logicielle, puis configurez les paramètres de point de mise à jour logicielle dans l’Assistant. Les paramètres diffèrent selon la version du Configuration Manager que vous utilisez. Pour plus d’informations sur l’installation des rôles de système de site, consultez Installation des rôles de système de site.

Utilisez les sections suivantes pour plus d’informations sur les paramètres de point de mise à jour logicielle sur un site.

Les paramètres du serveur proxy

Vous pouvez configurer les paramètres du serveur proxy sur différentes pages de l’Assistant Créer un serveur de système de sites ou de l’Assistant Ajouter des rôles de système de site selon la version du Configuration Manager que vous utilisez.

  • Vous devez configurer le serveur proxy, puis spécifier quand utiliser le serveur proxy pour les mises à jour logicielles. Configurez les paramètres suivants :

    • Configurez les paramètres du serveur proxy sur la page Proxy de l’Assistant ou sous l’onglet Proxy dans Propriétés du système de site. Les paramètres du serveur proxy sont spécifiques au système de site, ce qui signifie que tous les rôles de système de site utilisent les paramètres de serveur proxy que vous spécifiez.

    • Indiquez s’il faut utiliser le serveur proxy lorsque le Gestionnaire de Configuration Manager synchronise les mises à jour logicielles et lorsqu’il télécharge du contenu à l’aide d’une règle de déploiement automatique. Configurez les paramètres du serveur proxy du point de mise à jour logicielle sur la page Paramètres du proxy et du compte de l’Assistant ou sous l’onglet Paramètres du proxy et du compte dans les propriétés du point de mise à jour logicielle.

    • Le paramètre Utiliser un proxy lors du téléchargement de contenu à l’aide des règles de déploiement automatique est disponible, mais il n’est pas utilisé pour un point de mise à jour logicielle sur un site secondaire. Seul le point de mise à jour logicielle sur le site d’administration centrale et le site principal télécharge le contenu de la page Microsoft Update.

    • Par défaut, le compte système local du serveur sur lequel une règle de déploiement automatique a été créée est utilisé pour se connecter à Internet et télécharger les mises à jour logicielles lorsque les règles de déploiement automatique sont exécutées. Lorsque ce compte n’a pas accès à Internet, le téléchargement des mises à jour logicielles échoue et l’entrée suivante est enregistrée dans ruleengine.log : Échec du téléchargement de la mise à jour à partir d’Internet. Erreur = 12007. Configurez les informations d’identification pour vous connecter au serveur proxy lorsque le compte système local n’a pas accès à Internet.

Paramètres WSUS

Vous devez configurer les paramètres WSUS sur différentes pages de l’Assistant Créer un serveur de système de site ou de l’Assistant Ajouter des rôles de système de site en fonction de la version de Configuration Manager que vous utilisez, et dans certains cas, uniquement dans les propriétés du point de mise à jour logicielle, également appelées propriétés du composant de point de mise à jour logicielle. Utilisez les informations des sections suivantes pour configurer les paramètres WSUS.

Importante

Pour vous assurer que les meilleurs protocoles de sécurité sont en place, nous vous recommandons vivement d’utiliser le protocole TLS/SSL pour sécuriser votre infrastructure de mise à jour logicielle. À partir de la mise à jour cumulative de septembre 2020, les serveurs WSUS basés sur HTTP seront sécurisés par défaut. Un client qui recherche des mises à jour par rapport à un serveur WSUS basé sur HTTP ne sera plus autorisé à utiliser un proxy d’utilisateur par défaut. Si vous avez toujours besoin d’un proxy utilisateur malgré les compromis de sécurité, un nouveau paramètre client de mises à jour logicielles est disponible pour autoriser ces connexions. Pour plus d’informations sur les modifications apportées à l’analyse de WSUS, consultez Modifications de septembre 2020 pour améliorer la sécurité des appareils Windows qui analysent WSUS.

Paramètres de port WSUS

Vous devez configurer les paramètres de port WSUS sur la page Point de mise à jour logicielle de l’Assistant ou dans les propriétés du point de mise à jour logicielle. Utilisez la procédure suivante pour déterminer les paramètres de port utilisés par WSUS :

Déterminer les paramètres de port utilisés dans IIS

  1. Sur le serveur WSUS, ouvrez le Gestionnaire des services IIS.
  2. Développez Sites, sélectionnez le site Administration WSUS , puis sélectionnez Liaisons dans le volet Actions . Dans la boîte de dialogue Liaisons de site , les valeurs des ports HTTP et HTTPS s’affichent dans la colonne Port .

Configurer les communications SSL vers WSUS

Pour vous assurer que les meilleurs protocoles de sécurité sont en place, nous vous recommandons vivement d’utiliser le protocole TLS/SSL pour sécuriser votre infrastructure de mise à jour logicielle. Vous pouvez configurer la communication SSL sur la page Point de mise à jour logicielle de l’Assistant ou sur l’onglet Général dans les propriétés du point de mise à jour logicielle. Avant de sélectionner l’option Exiger une communication SSL avec le serveur WSUS pour votre SUP, assurez-vous que vous avez activé la communication SSL sur les serveurs WSUS.

Pour plus d’informations sur l’utilisation de SSL, consultez Décider s’il faut configurer WSUS pour utiliser SSL et Configurer un point de mise à jour logicielle pour utiliser TLS/SSL avec un certificat PKI.

Autoriser le trafic de la passerelle de gestion cloud

Vous pouvez activer un point de mise à jour logicielle pour accepter les communications des clients sur Internet via une passerelle de gestion cloud (CMG). Pour plus d’informations sur ce paramètre, consultez Configurer les rôles en contact avec les clients pour le trafic de la GCM.

Régler la vitesse de téléchargement pour utiliser la bande passante réseau inutilisée (Windows LEDBAT)

(Introduit dans la version 2203)

À partir de la version 2203 du Configuration Manager, vous pouvez activer le transport en arrière-plan Windows Low Extra Delay (LEDBAT) pour vos points de mise à jour logicielle qui exécutent Windows Server 2016 ou version ultérieure. LEDBAT ajuste les vitesses de téléchargement pendant les analyses du client par rapport à WSUS pour aider à contrôler la congestion du réseau.

Si un système de site a à la fois les rôles de point de distribution et de point de mise à jour logicielle, vous pouvez configurer LEDBAT indépendamment sur les rôles. Par exemple, si vous activez uniquement LEDBAT sur le rôle de point de distribution, le rôle de point de mise à jour logicielle n’hérite pas de la même configuration.

Pour utiliser LEDBAT pour vos SUP qui exécutent Windows Server 2016 ou version ultérieure, activez le paramètre Ajuster la vitesse de téléchargement pour utiliser la bande passante réseau inutilisée (Windows LEDBAT) à partir de l’un des emplacements suivants :

  • Sur la page Point de mise à jour logicielle de l’Assistant Installer le point de mise à jour logicielle
  • Dans l’onglet Général des propriétés du point de mise à jour logicielle

Pour des informations plus générales sur Windows LEDBAT, voir Concepts fondamentaux de la gestion de contenu.

Compte de connexion au serveur WSUS

Vous pouvez configurer un compte à utiliser par le serveur de site lorsqu’il se connecte à WSUS qui s’exécute sur le point de mise à jour logicielle. Lorsque vous ne configurez pas ce compte, le Configuration Manager utilise le compte d’ordinateur du serveur de site pour se connecter à WSUS. Configurez le compte de connexion au serveur WSUS sur la page Paramètres du proxy et du compte de l’Assistant, ou sous l’onglet Paramètres du proxy et du compte dans les propriétés du point de mise à jour logicielle. Vous pouvez configurer le compte à différents emplacements de l’Assistant en fonction de la version du Configuration Manager que vous utilisez.

Pour plus d’informations sur les comptes Configuration Manager, consultez Comptes utilisés.

Source de synchronisation

Vous pouvez configurer la source de synchronisation en amont pour la synchronisation des mises à jour logicielles sur la page Source de synchronisation de l’Assistant ou sous l’onglet Paramètres de synchronisation dans les propriétés du composant de point de mise à jour logicielle. Les options relatives à la source de synchronisation varient en fonction du site.

Utilisez le tableau suivant pour connaître les options disponibles lorsque vous configurez le point de mise à jour logicielle sur un site.

Site Options de source de synchronisation disponibles
- Site de l’administration centrale
- Site principal autonome		 - Synchroniser à partir du site Web Microsoft Update
- Synchroniser à partir d’un emplacement de source de données en amont
- Ne pas synchroniser à partir de Microsoft Update ou d’une source de données en amont
- Points de mise à jour logicielle supplémentaires sur un site
- Site primaire de l’enfant
- Site secondaire		 - Synchroniser à partir d’un emplacement de source de données en amont

La liste suivante fournit plus d’informations sur chaque option que vous pouvez utiliser comme source de synchronisation :

  • Synchroniser à partir de Microsoft Update : utilisez ce paramètre pour synchroniser les métadonnées des mises à jour logicielles à partir de Microsoft Update. Le site de l’administration centrale doit disposer d’un accès à Internet ; Sinon, la synchronisation échoue. Ce paramètre est disponible uniquement lorsque vous configurez le point de mise à jour logicielle sur le site de niveau supérieur.

    • Lorsqu’il existe un pare-feu entre le point de mise à jour logicielle et Internet, le pare-feu peut nécessiter une configuration pour accepter les ports HTTP et HTTPS utilisés pour le site Web WSUS. Vous pouvez également choisir de restreindre l’accès sur le pare-feu à des domaines limités. Pour plus d’informations sur la planification d’un pare-feu prenant en charge les mises à jour logicielles, consultez la section Configurer les pare-feu.

    • Si vous partagez la base de données WSUS, n’oubliez pas que le Configuration Manager choisit de façon aléatoire le point de mise à jour logicielle entre les serveurs WSUS frontaux. Assurez-vous que les exigences d’accès à Internet sont respectées pour chacun des serveurs WSUS. Si les conditions d’accès à Internet ne sont pas respectées, des échecs de synchronisation peuvent se produire. Vous pouvez voir différents points de mise à jour logicielle sur le site de niveau supérieur synchronisé avec Microsoft.

  • Synchronisation à partir d’un emplacement de source de données en amont : utilisez ce paramètre pour synchroniser les métadonnées de mises à jour logicielles à partir de la source de synchronisation en amont. Les sites principaux et secondaires enfants sont automatiquement configurés pour utiliser l’URL du site parent pour ce paramètre. Vous avez la possibilité de synchroniser les mises à jour logicielles à partir d’un serveur WSUS existant. Spécifiez une URL, telle que https://WSUSServer:8531, où 8531 est le port utilisé pour se connecter au serveur WSUS.

  • Ne pas synchroniser à partir de Microsoft Update ou d’une source de données en amont : Utilisez ce paramètre pour synchroniser manuellement les mises à jour logicielles lorsque le point de mise à jour logicielle du site de niveau supérieur est déconnecté d’Internet. Pour plus d’informations, consultez Synchroniser les mises à jour logicielles à partir d’un point de mise à jour logicielle déconnecté.

Vous pouvez également configurer la création d’événements de rapport WSUS sur la page Source de synchronisation de l’Assistant ou dans l’onglet Paramètres de synchronisation des propriétés du composant de point de mise à jour logicielle. Configuration Manager n’utilise pas ces événements ; par conséquent, vous allez normalement choisir le paramètre par défaut Ne pas créer d’événements de création de rapports WSUS.

Planification de la synchronisation

Configurez la planification de la synchronisation sur la page Planification de la synchronisation de l’Assistant ou dans les propriétés du composant Point de mise à jour logicielle. Ce paramètre est configuré uniquement sur le point de mise à jour logicielle sur le site de niveau supérieur.

Si vous activez la planification, vous pouvez configurer une planification de synchronisation récurrente simple ou personnalisée. Lorsque vous configurez une planification simple, l’heure de début est basée sur l’heure locale de l’ordinateur qui exécute la console Configuration Manager au moment où vous créez la planification. Lorsque vous configurez l’heure de début d’une planification personnalisée, celle-ci est basée sur l’heure locale de l’ordinateur qui exécute la console Configuration Manager.

Conseil

  • Planifiez l’exécution de la synchronisation des mises à jour logicielles en utilisant un délai adapté à votre environnement. Un scénario classique consiste à définir la synchronisation des mises à jour logicielles pour qu’elle s’exécute peu de temps après la publication régulière des mises à jour de sécurité Microsoft le deuxième mardi de chaque mois, communément appelé Patch Tuesday. Un autre scénario classique consiste à définir la planification de synchronisation des mises à jour logicielles pour exécuter quotidiennement lorsque vous utilisez des mises à jour logicielles pour fournir la définition Endpoint Protection et les mises à jour du moteur.
  • Lorsque vous choisissez de ne pas activer la synchronisation des mises à jour logicielles selon une planification, vous pouvez synchroniser manuellement les mises à jour logicielles à partir du nœud Tous les Mises à jour logiciels ou Groupes de mises à jour logicielles de l’espace de travail Bibliothèque logicielle. Pour plus d’informations, consultez Synchroniser les mises à jour logicielles.

Règles de remplacement

Configurez les paramètres de remplacement sur la page Règles de remplacement de l’Assistant ou sur l’onglet Règles de remplacement dans les propriétés du composant de point de mise à jour logicielle. Vous pouvez configurer les règles de remplacement uniquement sur le site de niveau supérieur. Vous pouvez également spécifier le comportement des règles de remplacement pour les mises à jour de fonctionnalité séparément des mises à jour non fonctionnelles.

Remarque

La page Règles de remplacement de l’Assistant est disponible uniquement lorsque vous configurez le premier point de mise à jour logicielle sur le site. Cette page ne s’affiche pas lorsque vous installez des points de mise à jour logicielle supplémentaires.

Sur cette page, vous pouvez spécifier quand les mises à jour logicielles remplacées ont expiré dans Configuration Manager, ce qui les empêche d’être incluses dans les nouveaux déploiements et signale les déploiements existants pour indiquer que les mises à jour logicielles remplacées contiennent une ou plusieurs mises à jour logicielles expirées. Vous pouvez spécifier une période avant l’expiration des mises à jour logicielles remplacées, ce qui vous permet de continuer à les déployer. Pour plus d’informations, voir Règles de remplacement.

Le paramètre par défaut est d’attendre 3 mois avant d’expirer une mise à jour remplacée. La valeur par défaut de 3 mois sert à vous donner le temps de vérifier que la mise à jour n’est plus nécessaire pour vos ordinateurs clients. Il est recommandé de ne pas supposer que les mises à jour remplacées doivent immédiatement expirer au profit de la nouvelle mise à jour remplacée. Vous pouvez afficher la liste des mises à jour logicielles qui remplacent la mise à jour logicielle sous l’onglet Informations de remplacement dans les propriétés de mise à jour logicielle.

WSUS Maintenance

Configuration Manager peut exécuter automatiquement les tâches de maintenance WSUS les plus courantes pour vous. Pour plus d’informations sur ces tâches, voir Maintenance des mises à jour logicielles.

Durée d’exécution maximale

Vous pouvez spécifier le temps maximal nécessaire à l’installation d’une mise à jour logicielle. Vous pouvez spécifier la durée d’exécution maximale pour les éléments suivants :

  • Durée d’exécution maximale des mises à jour des fonctionnalités Windows (minutes)

    • Mises à jour de fonctionnalités : mise à jour qui appartient à l’une des trois classifications suivantes :
      • Mises à niveau
      • Correctifs cumulatifs
      • Service Packs ;

  • Durée d’exécution maximale des mises à jour d’Office 365 et des mises à jour sans fonctionnalités pour Windows (minutes)

    • Mises à jour non fonctionnelles : mise à jour qui n’est pas une mise à niveau des fonctionnalités et dont le produit est répertorié comme l’un des suivants :
      • Windows 11
      • Windows 10 (toutes les versions)
      • Windows Server 2012 R2
      • Windows Server 2016
      • Windows Server 2019
      • Office 365

  • Durée d’exécution maximale de toutes les autres mises à jour logicielles en dehors de ces catégories, telles que les mises à jour tierces (minutes) : La durée d’exécution maximale par défaut de ces mises à jour varie en fonction du moment où la mise à jour a été synchronisée pour la première fois dans l’environnement et de la version du Configuration Manager. Utilisez le panier ci-dessous pour déterminer la valeur d’exécution maximale pour ces mises à jour :

    2203 ou ultérieure 2103, 2107 ou 2111 2010
    La durée maximale d’exécution de toutes les autres mises à jour logicielles est personnalisable. La valeur par défaut est de 60 minutes. 60 minutes de film 10 minutes

    Importante

    • Ce paramètre modifie uniquement le runtime maximal pour les nouvelles mises à jour synchronisées par SUP. Elle ne modifie pas l’heure d’exécution des mises à jour existantes qui se sont synchronisées avant la modification de l’heure d’exécution. Par instance, s’il Update 1 a été synchronisé pour la première fois dans un environnement 2111, sa durée d’exécution maximale est de 60 minutes. Vous mettez ensuite à niveau l’environnement vers la version 2203 et configurez la durée d’exécution maximale à 30 minutes. Update 1 conserve son autonomie de 60 minutes. Toutefois, lorsqu’une nouvelle mise à jour, Update 2, est synchronisée, elle reçoit la nouvelle durée d’exécution de 30 minutes.
    • Si vous devez modifier manuellement la durée maximale d’exécution d’une mise à jour, vous pouvez configurer les paramètres de mise à jour logicielle correspondants.

Classifications

Configurez les paramètres de classification sur la page Classifications de l’Assistant ou sur l’onglet Classifications dans les propriétés du composant Point de mise à jour logicielle. Pour plus d’informations sur les classifications de mise à jour logicielle, voir Classifications de mise à jour.

Conseil

  • La page Classifications de l’Assistant est disponible uniquement lorsque vous configurez le premier point de mise à jour logicielle sur le site. Cette page ne s’affiche pas lorsque vous installez des points de mise à jour logicielle supplémentaires.
  • Lorsque vous installez le point de mise à jour logicielle pour la première fois sur le site de niveau supérieur, effacez toutes les classifications des mises à jour logicielles. Après la synchronisation des mises à jour logicielles initiales, configurez les classifications à partir d’une liste mise à jour, puis relancez la synchronisation. Ce paramètre est configuré uniquement sur le point de mise à jour logicielle sur le site de niveau supérieur.

Produits

Configurez les paramètres du produit sur la page Produits de l’Assistant ou sur l’onglet Produits dans les propriétés du composant Point de mise à jour logicielle.

Conseil

  • La page Produits de l’Assistant est disponible uniquement lorsque vous configurez le premier point de mise à jour logicielle sur le site. Cette page ne s’affiche pas lorsque vous installez des points de mise à jour logicielle supplémentaires.
  • Lorsque vous installez la mise à jour logicielle pour la première fois sur le site de niveau supérieur, effacez tous les produits. Après la synchronisation des mises à jour logicielles initiales, configurez les produits à partir d’une liste mise à jour, puis relancez la synchronisation. Ce paramètre est configuré uniquement sur le point de mise à jour logicielle sur le site de niveau supérieur.

Avertissement

Sélectionnez uniquement les produits requis dans votre environnement. La sélection de produits inutiles augmente la taille du catalogue de métadonnées WSUS et peut nuire aux performances d’analyse des mises à jour logicielles. Les clients Configuration Manager évaluent les métadonnées de mise à jour à chaque analyse, même pour les mises à jour qui ne sont pas déployées.

Pour réduire le temps d’analyse et améliorer les performances :

  • Supprimez les produits hérités qui ne sont plus utilisés dans votre environnement, tels que les versions non prises en charge de Windows et Office.
  • Évitez de sélectionner des produits de mise à jour que Configuration Manager ne peut pas déployer. Ces produits sont destinés uniquement aux scénarios WSUS autonomes (par exemple, Mises à jour dynamique et les pilotes de maintenance).

Langages

Configurez les paramètres de langue sur la page Langues de l’Assistant ou sur l’onglet Langues dans les propriétés du composant Point de mise à jour logicielle. Spécifiez les langues pour lesquelles vous souhaitez synchroniser les fichiers de mise à jour logicielle et les détails du résumé. Le paramètre Fichier de mise à jour logicielle est configuré à chaque point de mise à jour logicielle dans la hiérarchie du Configuration Manager. Les paramètres Détails du résumé sont configurés uniquement sur le point de mise à jour logicielle de niveau supérieur. Pour plus d’informations, voir Langues.

Remarque

La page Langues de l’Assistant est disponible uniquement lorsque vous installez le point de mise à jour du logiciel sur le site Administration centrale. Vous pouvez configurer les langues des fichiers de mise à jour logicielle sur les sites enfants à partir de l’onglet Langues des propriétés du composant de point de mise à jour logicielle.

Mises à jour tierces

Vous pouvez activer les mises à jour tierces pour les clients de Configuration Manager. Lorsque vous activez des mises à jour logicielles tierces dans les propriétés du composant SUP, le SUP télécharge le certificat de signature utilisé par WSUS pour les mises à jour tierces. Cette option n’est pas disponible pendant l’installation du point de mise à jour logicielle et doit être configurée après l’installation du SUP. Pour activer les paramètres client pour les mises à jour tierces, consultez l’article À propos des paramètres client .

Étapes suivantes

Vous avez installé le point de mise à jour du logiciel en commençant par le site le plus haut dans votre hiérarchie Configuration Manager. Répétez les procédures décrites dans cet article pour installer le point de mise à jour logicielle sur les sites enfants.

Une fois que vos points de mise à jour logicielle sont installés, accédez à Synchroniser les mises à jour logicielles.

  • Last updated on