適用於：設定管理員 (目前的分支)
設定管理員 中的軟體更新提供一組工具和資源，有助於管理追蹤軟體更新並將其套用至企業中用戶端電腦的複雜工作。 有效的軟體更新管理流程對於保持營運效率、克服安全問題和維護網路基礎設施的穩定性是必要的。 然而，由於技術的性質不斷變化，以及新的安全性威脅不斷出現，有效的軟體更新管理需要持續且持續的關注。
如需示範如何在環境中部署軟體更新的範例案例，請參閱 部署安全性軟體更新的範例案例。
軟體更新同步處理
設定管理員 中的軟體更新同步會連線到 Microsoft Update 以擷取軟體更新中繼資料。 按排程或當您從 設定管理員 主控台手動啟動同步處理時，最上層網站 (管理中心網站或獨立主要網站) 與 Microsoft Update 同步。 當 設定管理員 在頂級站台完成軟體更新同步處理時，如果子站台存在，軟體更新同步處理就會在子站台開始。 在每個主要月臺或次要月臺完成同步處理時，會建立全網站原則，提供軟體更新點的位置給用戶端電腦。
注意事項
軟體更新預設會在用戶端設定中啟用。 不過，如果您將 [啟用用戶端上的軟體更新] 用戶端設定設為 [否 ] 以停用集合上或預設設定中的軟體更新，則軟體更新點的位置不會傳送至相關聯的用戶端。 如需詳細資訊，請參閱 軟體更新用戶端設定。
用戶端收到原則之後，會開始掃描軟體更新合規性，並將資訊寫入 Windows Management Instrumentation (WMI) 。 然後，合規性資訊會傳送到管理點，再由管理點將資訊傳送至網站伺服器。 如需合規性評估的詳細資訊，請參閱本主題中的軟體 更新合規性評估 一節。
您可以在主站台安裝多個軟體更新點。 您安裝的第一個軟體更新點設定為同步處理來源。 這將從 Microsoft Update 或不在 設定管理員 階層中的 WSUS 伺服器同步。 站台的其他軟體更新點會使用第一個軟體更新點作為同步處理來源。
注意事項
當軟體更新同步處理程序在頂層網站完成時，軟體更新中繼資料會使用資料庫複寫複寫到子網站。 將 設定管理員 主控台連線到子站台時，設定管理員 會顯示軟體更新中繼資料。 不過，在您於站台安裝並設定軟體更新點之前，用戶端將不會掃描軟體更新合規性，用戶端將不會向 設定管理員 報告合規性資訊，而且您將無法成功部署軟體更新。
在頂層網站同步處理
最上層網站的軟體更新同步處理程序會從 Microsoft Update 擷取符合您在 [軟體更新點元件屬性] 中所指定準則的軟體更新中繼資料。 您只能在頂層網站設定準則。
注意事項
您可以指定不在 設定管理員 階層中的現有 WSUS 伺服器，而不是 Microsoft 匯報作為同步源。
下列清單描述了在頂層網站同步處理程序的基本步驟：
軟體更新同步處理隨即開始。
WSUS 同步處理管理員會傳送要求給軟體更新點上執行的 WSUS，以開始與 Microsoft Update 同步。
軟體更新中繼資料會從 Microsoft Update 同步，任何變更都會在 WSUS 資料庫中插入或更新。
當 WSUS 完成同步時，WSUS 同步管理員會將軟體更新中繼資料從 WSUS 資料庫同步至 設定管理員 資料庫，並在網站資料庫中插入或更新上次同步之後的任何變更。 軟體更新中繼資料會以設定項目的形式儲存在網站資料庫中。
軟體更新組態項目會使用資料庫複寫傳送到子站台。
同步成功完成後，WSUS 同步管理員將創建狀態消息 6702。
WSUS 同步管理員會傳送同步要求至所有子網站。
WSUS 同步處理管理員會一次傳送一個請求給在站台其他軟體更新點上執行的 WSUS。 其他軟體更新點上的 WSUS 伺服器設定為在網站的預設軟體更新點上執行的 WSUS 的副本。
子主要和次要網站的同步處理
在頂級站台上的軟體更新同步處理程序期間，軟體更新組態項目會使用資料庫複寫複寫到子站台。 在過程的結尾，頂級網站將同步請求傳送到子網站，子網站開始 WSUS 同步。 下列清單提供子主要網站或次要網站同步處理程序的基本步驟：
WSUS 同步管理員會收到來自頂級網站的同步處理要求。
軟體更新同步處理隨即開始。
WSUS 同步處理管理員會要求在軟體更新點上執行的 WSUS 開始同步處理。
在子站台的軟體更新點上執行的 WSUS 會從在上站台的軟體更新點上執行的 WSUS 同步軟體更新中繼資料。
同步成功完成後，WSUS 同步管理員將創建狀態消息 6702。
WSUS 同步管理員從主網站向任何子次要網站發送同步請求。 次要站台會啟動軟體更新與父主要站台同步處理。 輔助站台配置為在父站台上執行的 WSUS 副本。
WSUS 同步處理管理員會一次傳送一個請求給在站台其他軟體更新點上執行的 WSUS。 其他軟體更新點上的 WSUS 伺服器設定為在網站的預設軟體更新點上執行的 WSUS 的副本。
軟體更新合規性評估
在將軟體更新部署到 設定管理員 中的用戶端電腦之前，請在用戶端電腦上開始掃描軟體更新合規性。 針對每個軟體更新，都會建立包含更新合規性狀態的狀態訊息。 狀態訊息會大量傳送至管理點，然後傳送至月臺伺服器，其中合規性狀態會插入月臺資料庫。 軟體更新的合規性狀態會顯示在 設定管理員 主控台中。 您可以在需要更新的電腦上部署和安裝軟體更新。 下列各節提供合規性狀態的相關資訊，並說明掃描軟體更新合規性的程序。
軟體更新合規性狀態
下列列出並說明 設定管理員 主控台中顯示的軟體更新每個合規性狀態。
Required
指定軟體更新適用於用戶端電腦且為必要。 當軟體更新狀態為 [必要] 時，下列任一條件可能成立：
軟體更新尚未部署至用戶端電腦。
用戶端電腦上已安裝軟體更新。 但是，最新的狀態訊息尚未插入網站伺服器上的資料庫。 安裝完成後，用戶端電腦會重新掃描更新。 在用戶端將更新狀態傳送至管理點之前，可能會有最多兩分鐘的延遲，再將更新狀態轉送至網站伺服器。
用戶端電腦上已安裝軟體更新。 不過，軟體更新安裝需要重新啟動電腦，更新才完成。
軟體更新已部署到用戶端電腦，但尚未安裝。
不需要
指定軟體更新不適用於用戶端電腦。 因此，不需要軟體更新。
Installed
指定軟體更新適用於用戶端電腦，且用戶端電腦已安裝軟體更新。
Unknown
指定網站伺服器尚未收到來自用戶端電腦的狀態訊息，通常是因為下列其中一項：
用戶端電腦未能成功掃描軟體更新合規性。
用戶端電腦上的掃描已成功完成。 不過，狀態訊息尚未在網站伺服器上處理，可能是因為狀態訊息積壓。
掃描在用戶端電腦上成功完成，但尚未從子站台收到狀態訊息。
用戶端電腦上的掃描成功完成，但狀態訊息檔案以某種方式損毀，無法處理。
掃描軟體更新合規性流程
安裝並同步軟體更新點時，會建立全網站的電腦原則，通知用戶端電腦該網站已啟用 設定管理員 軟體更新。 當用戶端收到電腦原則時，合規性評估掃描將排定在接下來的兩小時內隨機啟動。 掃描啟動時，軟體匯報用戶端代理程式處理序會清除掃描歷程記錄、提交要求以尋找應用於掃描的 WSUS 伺服器，以及使用 WSUS 伺服器位置更新本機群組原則。
注意事項
網際網路用戶端必須使用 SSL 連線到 WSUS 伺服器。
掃描要求會傳遞給 Windows Update 代理程式 (WUA) 。 然後，WUA 連接到本機策略中列出的 WSUS 伺服器位置，擷取已在 WSUS 伺服器上同步的軟體更新中繼資料，並掃描用戶端電腦以尋找更新。 軟體匯報用戶端代理程式處理程序會偵測到合規性掃描已完成，並為上次掃描後變更為合規性狀態的每個軟體更新建立狀態訊息。 狀態訊息會每隔 15 分鐘大量傳送至管理點。 然後，管理點會將狀態訊息轉寄至網站伺服器，從這裡將狀態訊息插入網站伺服器資料庫。
在軟體更新合規性的初始掃描之後，掃描會依照設定的掃描排程開始。 不過，如果用戶端已在存留時間 (TTL) 值所指出的時間範圍內掃描軟體更新符合性，用戶端就會使用儲存在本機的軟體更新中繼資料。 當上次掃描在 TTL 之外時，用戶端必須連接到在軟體更新點上執行的 WSUS，並更新儲存在用戶端上的軟體更新中繼資料。
包括掃描排程在內，軟體更新合規性的掃描可以透過下列方式開始：
軟體更新掃描排程：軟體更新合規性掃描從軟體匯報用戶端代理程式設定中設定的已設定掃描排程開始。 如需如何設定軟體匯報用戶端設定的詳細資訊，請參閱軟體更新用戶端設定。
設定管理員 屬性動作：使用者可以在用戶端電腦上 [匯報] 內容對話方塊的 [動作] 索引標籤上啟動 [軟體匯報掃描週期] 或 [軟體匯報] 部署評估週期動作。
部署重新評估排程：部署評估和軟體更新合規性掃描從已設定的部署重新評估排程開始，該排程是在軟體匯報用戶端代理程式設定中設定。 如需有關軟體匯報用戶端設定的詳細資訊，請參閱軟體更新用戶端設定。
下載更新檔案之前： 當用戶端電腦收到新的必要部署的指派原則時，軟體匯報用戶端代理程式會將軟體更新檔案下載到本機用戶端快取。 下載軟體更新檔案之前，用戶端代理程式會開始掃描，以確認仍需要軟體更新。
在軟體更新安裝之前： 就在安裝軟體更新之前，軟體匯報用戶端代理程式會開始掃描，以確認仍需要軟體更新。
軟體更新安裝之後： 軟體更新安裝完成後，軟體匯報用戶端代理程式會開始掃描以確認不再需要軟體更新，並建立指出軟體更新已安裝的新狀態訊息。 當安裝完成但必須重新啟動時，狀態訊息指出用戶端電腦正在等待重新啟動。
系統重新啟動之後：當用戶端電腦擱置系統重新啟動以完成軟體更新安裝時，軟體匯報用戶端代理程式會在重新啟動後開始掃描，以確認不再需要軟體更新，並建立指出軟體更新已安裝的狀態訊息。
存留時間值
掃描軟體更新合規性所需的軟體更新中繼資料會儲存在本機用戶端電腦上，而且預設情況下，其相關時間最多為 24 小時。 這個值稱為存留時間 (TTL) 。
掃描軟體更新合規性類型
用戶端會根據軟體更新合規性掃描的啟動方式，使用線上或離線掃描以及強制或非強制掃描來掃描軟體更新合規性。 用戶端是否真的連線到 WSUS 是由兩個獨立決策所組成：
強制或非強制決定用戶端是否重複使用其快取的掃描結果。 非強制掃描會在上次掃描的結果仍為最新且在 TTL 內時重複使用，而且只有在快取過時才會執行新的掃描。 強制掃描一律會執行新的掃描，並忽略快取。
線上或離線 可決定執行的掃描取得其中繼資料的位置。 線上掃描會連線到軟體更新點上的 WSUS，以在評估用戶端之前重新整理中繼資料。 離線掃描會使用已儲存在本機的中繼資料來評估用戶端，而不連線到 WSUS。
注意事項
[線上 ] 描述掃描允許執行的動作，而不是掃描一直執行的動作。 只有當快取的結果在 TTL 之外時，非強制線上掃描才會連線到 WSUS。 當上次掃描仍在 TTL 內時，用戶端會從其本機快取進行回應，而不會連線至 WSUS，即使掃描類型為 線上也是如此。 這也是為什麼 強制離線 並不矛盾的原因： 強制 表示快取不會重複使用， 而離線 表示結果掃描使用本機中繼資料而不是 WSUS。 不存在非強制離線掃描。
下圖顯示這兩種決策如何結合：
下表摘要說明這些組合：
| 掃描行為 | 代表的意義 | 連絡人 WSUS？ |
|---|---|---|
| 非強制線上 | 如果快取的結果仍在最新且在 TTL 內，請重複使用;否則，請從 WSUS 重新整理中繼資料。 | 只有當最後一次掃描在 TTL 之外時才有。 |
| 強制上線 | 無論 TTL 如何，一律從 WSUS 重新整理中繼資料。 | 永遠。 |
| 強制離線 | 一律執行掃描，但使用本機中繼資料進行評估。 | 永不。 |
以下說明哪些啟動掃描方法是線上或離線，以及掃描是強制還是非強制。
軟體更新掃描排程 (非強制線上掃描)
依照設定的掃描排程，只有在上次掃描超出 TTL 時，用戶端才會連線到軟體更新點上執行的 WSUS，以擷取軟體更新中繼資料。
軟體匯報掃描週期或軟體匯報部署評估週期 (強制線上掃描)
用戶端電腦始終連接到軟體更新點上執行的 WSUS，以在用戶端電腦掃描軟體更新合規性之前擷取軟體更新中繼資料。 掃描完成後，TTL 計數器隨即重設。 例如，如果 TTL 為 24 小時，則在使用者開始掃描軟體更新合規性之後，TTL 會重設為 24 小時。
非強制線上掃描 (部署重新評估排程)
依照已設定的部署重新評估排程，只有在上次掃描在 TTL 之外時，用戶端才會連線到軟體更新點上執行的 WSUS，以擷取軟體更新中繼資料。
下載更新檔案之前 ( 非強制線上掃描)
用戶端必須先連接到軟體更新點上執行的 WSUS，以便僅在上次掃描超出 TTL 時才會連線到軟體更新點上執行的 WSUS，以擷取軟體更新中繼資料。
安裝軟體更新前 ( 非強制線上掃描)
在用戶端在必要部署中安裝軟體更新之前，用戶端會連線到軟體更新點上執行的 WSUS，以便僅在上次掃描在 TTL 之外時才擷取軟體更新中繼資料。
安裝軟體更新後 (強制離線掃描)
安裝軟體更新之後，軟體匯報用戶端代理程式會使用本機中繼資料開始掃描。 用戶端從未連線到在軟體更新點上執行的 WSUS 來擷取軟體更新中繼資料。
系統重新啟動後 ( 強制離線掃描)
安裝軟體更新並重新啟動電腦之後，軟體匯報用戶端代理程式會使用本機中繼資料開始掃描。 用戶端從未連線到在軟體更新點上執行的 WSUS 來擷取軟體更新中繼資料。
掃描會評估整個目錄，而不是單一部署
掃描會根據軟體更新點上同步的所有更新中繼資料評估用戶端，而不是針對單一部署。 一次掃描可對新部署中的更新、現有部署中的更新，以及完全未部署的更新產生合規性，一次通過。
因此，部署數不會變更掃描數。 無論用戶端是 1 個部署或 10 個部署的目標，針對軟體更新點進行的單一掃描都會一次評估用戶端的所有部署。
掃描更新合規性，但安裝仍需要部署原則
執行軟體匯報掃描週期會重新整理軟體更新點知道的所有更新的合規性。 不過，用戶端只有在收到該更新的部署 (電腦) 原則之後，才能安裝新新增的更新。 重新整理合規性和對部署採取行動是不同的步驟：
若要重新整理所有更新的合規性，請使用軟體匯報掃描週期。
若要讓用戶端對新的或變更的部署採取行動，請使用「電腦原則擷取 & 評估週期」，然後使用「軟體匯報部署評估週期」。
軟體更新部署套件
軟體更新部署套件是一種工具，用來將軟體更新下載到網路共用資料夾，並將軟體更新來源檔案複製到部署中定義的網站伺服器和發佈點上的內容庫。 您可以使用下載匯報精靈下載軟體更新，並在部署之前將其新增至部署套件。 此精靈可讓您在發佈點上佈建軟體更新，並在將軟體更新部署到用戶端之前確認這部分部署程序是否成功。
當您使用 [部署軟體更新精靈] 部署下載的軟體匯報時，部署會自動使用包含軟體更新的部署套件。 部署尚未下載的軟體更新時，您必須在部署軟體匯報精靈中指定新的或現有的部署套件，並在精靈完成後下載軟體更新。
重要事項
您必須先手動建立部署套件來源檔案的共用網路資料夾，然後才能在精靈中指定。 每個部署套件必須使用不同的共用網路資料夾。
重要事項
SMS 提供者電腦帳戶和實際下載軟體更新的系統管理使用者都需要套件來源的 寫入 權限。 限制對套件來源的存取權，以降低攻擊者篡改套件來源中的軟體更新來源檔案的風險。
建立新的部署套件時，在下載任何軟體更新之前，內容版本會設定為 1。 使用套件下載軟體更新檔案時，內容版本會遞增為 2。 因此，所有新的部署套件都是從內容版本 2 開始。 每次部署套件中的內容變更時，內容版本都會遞增 1。 如需詳細資訊，請參閱內容 管理的基本概念。
用戶端會使用具有可用軟體更新的任何發佈點，在部署中安裝軟體更新，而不論部署套件為何。 即使刪除了作用中部署的部署套件，只要每個更新都已下載到至少一個其他部署套件，並且可在可從用戶端存取的發佈點上使用，用戶端仍然可以在部署中安裝軟體更新。 刪除包含軟體更新的最後一個部署套件時，用戶端電腦無法擷取軟體更新，直到更新再次下載至部署套件。 當更新檔案不在任何部署套件中時，軟體更新會在 設定管理員 主控台中顯示紅色箭號。 如果部署包含此條件下的任何更新，則會顯示雙紅色箭號。
軟體更新部署工作流程
在您的環境中部署軟體更新有兩個主要案例：手動部署和自動部署。 一般而言，您會手動部署軟體更新以建立用戶端電腦的基準，然後使用自動部署來管理用戶端上的軟體更新。 下列各節提供軟體更新之手動和自動部署的工作流程摘要。
手動部署軟體更新
軟體更新的手動部署是在 設定管理員 主控台中選取軟體更新，然後手動啟動部署程序的程序。 通常使用此部署方法，在建立管理正在進行的每月軟體更新部署的自動部署規則之前，先讓用戶端電腦取得必要的軟體更新，以及部署頻外軟體更新需求。 下列清單提供手動部署軟體更新的一般工作流程：
篩選使用特定需求的軟體更新。 例如，您可以提供準則來擷取超過 50 部用戶端電腦上所需的所有安全性或重要軟體更新。
建立包含軟體更新的軟體更新群組。
下載軟體更新群組中的軟體更新內容。
手動部署軟體更新群組。
自動部署軟體更新
自動軟體更新部署是使用自動部署規則 (ADR) 來設定。 您通常會使用此部署方法來進行每月軟體更新 (通常稱為星期二修補程式) ，以及管理定義更新。 當規則執行時，軟體更新會從軟體更新群組中移除， (如果使用現有的群組) ，則符合指定準則的軟體更新 (例如，上週發行的所有安全性軟體更新都會新增至軟體更新群組) 軟體更新的內容檔案會下載並複製到發佈點， 軟體更新也會部署至目標集合中的用戶端電腦。 下列清單提供自動部署軟體更新的一般工作流程：
建立指定部署設定的 ADR，例如：
目標集合
決定是否要為目標集合中的用戶端電腦啟用部署或軟體更新合規性報告
軟體更新準則
評估和部署排程
使用者體驗
下載屬性
軟體更新會新增至軟體更新群組。
軟體更新群組如果已指定，則會部署至目標集合中的用戶端電腦。
您必須決定要在您的環境中使用的部署策略。 例如，您可以建立 ADR 並鎖定測試用戶端集合。 確認軟體更新已安裝在測試群組上之後，您可以將新的部署新增至規則，或將現有部署中的集合變更為包含較大用戶端集合的目標集合。 ADR 建立的軟體更新物件是互動式的。
使用 ADR 部署的軟體更新會自動部署至新增至目標集合的新用戶端。
新增至軟體更新群組的新軟體更新會自動部署至目標集合中的用戶端。
您隨時都可以啟用或停用 ADR 的部署。
建立 ADR 之後，您可以將其他部署新增至規則。 這可協助您管理將不同更新部署至不同集合的複雜度。 每個新部署都有完整的功能和部署監視體驗，以及您新增的每個新部署：
使用首次執行 ADR 時所建立的相同更新群組與套件
可以指定不同的集合
支援唯一的部署屬性，包括：
啟用時間
Deadline
顯示或隱藏使用者體驗
此部署的個別警示
軟體更新部署程序
部署軟體更新之後，或自動部署規則執行並部署軟體更新後，部署指派原則會新增至網站的電腦原則。 軟體更新會從下載位置、網際網路或網路共用資料夾下載至套件來源。 軟體更新會從套件來源複製到網站伺服器上的內容庫，然後複製到發佈點上的內容庫。
當部署目標集合中的用戶端電腦收到電腦原則時，軟體更新用戶端代理程式會開始評估掃描。 用戶端代理程式會在部署的 [ 軟體可用時間 ] 設定中，將發佈點所需軟體更新的內容下載到本機用戶端快取，然後軟體更新即可安裝。 選擇性部署 (沒有安裝期限的部署中的軟體更新) 在使用者手動開始安裝之前不會下載。
當設定的期限過後，軟體匯報用戶端代理程式會執行掃描，以確認仍需要軟體更新。 然後會檢查用戶端電腦上的本機快取，以確認軟體更新來源檔案仍然可用。 最後，用戶端安裝軟體更新。 如果已從用戶端快取刪除內容，以取得空間進行其他部署，則用戶端會將軟體更新從發佈點重新下載至用戶端快取。 不論設定的用戶端快取大小上限為何，軟體更新一律會下載至用戶端快取。 安裝完成後，用戶端代理程式會驗證不再需要軟體更新，然後傳送狀態訊息至管理點，指出用戶端上現已安裝軟體更新。
需要重新啟動系統
根據預設，當用戶端電腦上已安裝來自必要部署的軟體更新，且需要重新啟動系統才能完成安裝時，隨即啟動系統重新啟動。 對於在期限之前安裝的軟體更新，除非電腦因為其他原因而在此之前重新啟動電腦，否則自動系統重新啟動會延後到期限。 可以抑制伺服器及工作站的系統重新啟動。 這些設定是在部署軟體匯報精靈或建立自動匯報規則精靈的使用者體驗頁面中進行設定。
部署重新評估週期
預設情況下，用戶端電腦每隔 7 天會開始部署重新評估週期。 在此評估週期期間，用戶端電腦會掃描先前部署並安裝的軟體更新。 如果缺少任何軟體更新，則會從本機快取重新安裝軟體更新。 如果軟體更新已不再在本機快取中可用，則會從發佈點下載然後安裝。 您可以在網站用戶端設定的 [軟體匯報] 頁面上設定重新評估排程。
支援使用寫入篩選器的 Windows Embedded 裝置
當您將軟體更新部署到啟用寫入篩選器的 Windows Embedded 裝置時，您可以指定是否在部署期間停用裝置上的寫入篩選器，然後在部署後重新啟動裝置。 如果未停用寫入篩選器，則軟體會部署到暫時覆寫，並且當裝置重新啟動時將不再安裝軟體，除非其他部署強制保留變更。
注意事項
當您將軟體更新部署到 Windows Embedded 裝置時，請確定該裝置是具有設定維護視窗的集合成員。 這可讓您管理何時停用和啟用寫入篩選器，以及裝置何時重新啟動。
控制寫入篩選行為的使用者體驗設定是一個名為 [ 在期限或維護期間認可變更 ] 的核取方塊 (需要重新啟動) 。
如需有關 設定管理員 如何管理使用寫入篩選器的內嵌裝置的詳細資訊，請參閱 規劃用戶端部署至 Windows Embedded 裝置。
在 設定管理員 中延長軟體更新
使用 System Center 匯報發行者來管理無法從 Microsoft Update 取得的軟體更新。 發佈軟體更新至更新伺服器並在 設定管理員 中同步處理軟體更新之後，您可以將軟體更新部署至 設定管理員 用戶端。 如需有關 匯報發行者的詳細資訊，請參閱 匯報發行者 2011。