Prise en main de la console WSUS

La console WSUS, c’est désormais votre centre de contrôle pour gérer les mises à jour des produits Microsoft. Ne soyez pas effrayé, nous allons découvrir cette console étape par étape.

Tout d’abord, lorsque l’on se positionne sur le nom du serveur, en haut à gauche, cela permet d’afficher un tableau de bord qui offre une vue d’ensemble. Cette vue d’ensemble permet d’afficher l’état de la dernière synchronisation, ainsi que la date et l’heure de la dernière synchronisation, mais également l’état des ordinateurs rattachés au serveur WSUS, et l’état des mises à jour. Quelques statistiques viennent compléter la vue d’ensemble.

Dans la partie de gauche, sous le nom du serveur, nous avons accès à différents sous-menus que vous pouvez voir sur la copie d’écran suivante :

À quoi servent ces différents sous-menus ? C’est ce que nous allons voir sans plus attendre.

I. Menu « Mises à jour »

La section « Mises à jour » (« Updates ») offre la possibilité de visualiser l’ensemble des mises à jour synchronisées, avec pour chacune d’elle, diverses informations (nom, classification, pourcentage d’installation, approuvé ou non approuvé, etc.). C’est sans doute la section la plus complète de la console. C’est également ici que l’on approuve et refuse des mises à jour.

Par défaut, plusieurs vues sont créées afin de permettre de filtrer les mises à jour :

• All Updates / Toutes les mises à jour: l’intégralité des mises à jour synchronisées, sans filtre
• Critical Updates / Mises à jour critiques: les mises à jour critiques uniquement
• Security Updates / Mises à jour de sécurité: les mises à jour de sécurité uniquement
• WSUS Updates / Mises à jour WSUS: les mises à jour de WSUS en lui-même

Il est possible de créer ses propres vues personnalisées correspondantes à des critères spécifiques. Par exemple, on peut créer une vue pour lister les mises à jour Windows 10 uniquement. Pour créer une vue, c’est facile : clic droit sur « New update view », on choisit ses critères et on valide !

Maintenant, on va regarder d’un peu plus près ce qu’il se passe lorsque l’on sélectionne une vue. La partie de droite de la console affiche une liste de mises à jour, et nous pouvons voir qu’en haut de la console, nous avons deux filtres supplémentaires :

• Approval / Approbation : permets d’afficher toutes les mises à jour non approuvées, approuvées ou refusées
• Status / État : Permets d’afficher toutes les mises à jour en échec, installées, non applicables, ou encore nécessaires

Au-delà d’afficher les mises à jour d’un ou plusieurs produits spécifiques, nous pouvons filtrer selon l’état de la mise à jour. C’est particulièrement intéressant, car on peut filtrer pour sélectionner l’état « Nécessaire » (« Needed ») ou « Échec ou nécessaire » (« Failed or Needed ») afin de visualiser les mises à jour dont ont réellement besoin nos machines !

À chaque fois que l’on modifie ces deux filtres, il faut cliquer sur le bouton « Actualiser » (« Refresh ») pour rafraîchir la liste.

Nous pouvons voir que la console affiche différentes colonnes par défaut dans le but d’afficher le titre, la classification de la mise à jour, l’état d’approbation et le pourcentage d’installations effectuées par rapport au nombre d’installations nécessaires.

Cette vue peut être améliorée en ajoutant des colonnes supplémentaires afin qu’elle soit plus pertinente. Pour ajouter ou retirer des colonnes, il suffit d’effectuer un clic droit sur l’en-tête des colonnes puis de faire son choix.

Personnellement, je vous recommande de sélectionner les colonnes suivantes :

• Installation Status / État d’installation : la mise à jour est-elle installée ou non sur les machines
• File Status / État du fichier : le fichier est-il téléchargé en local ou non ? La mise à jour peut être synchronisée sur le serveur, mais les sources d’installation pas encore téléchargées en local. De la même façon, si une mise à jour est en cours de téléchargement, ce sera précisé ici.
• Supersedence / Remplacement : permet de savoir si cette mise à jour est remplacée par une autre mise à jour plus récente, ou si cette mise à jour remplace une autre mise à jour, ou ni l’un ni l’autre
• Arrival date / Date d’arrivée : date à laquelle le serveur a synchronisé cette mise à jour

Grâce à ces colonnes supplémentaires, enfin surtout les trois premières, on peut connaître rapidement l’état d’une mise à jour grâce aux icônes. En fait, en passant la souris sur un icône, on peut voir sa signification au sein d’une infobulle.

Nous allons passer au sous-menu suivant et laisser de côté la section « Mises à jour » pour le moment. Rassurez-vous, nous aurons l’occasion d’y revenir par la suite.

II. Menu « Ordinateurs »

La section « Ordinateurs » (« Computers ») permet de visualiser les ordinateurs rattachés au serveur WSUS, et pour chaque machine nous pouvons visualiser son état, ainsi que les mises à jour dont il a besoin. Que ce soit les postes de travail ou les serveurs, ils seront visibles dans la section « Ordinateurs » de la console WSUS.

Par défaut, une machine qui se connecte au serveur WSUS pour la première fois va être intégrée au groupe « Ordinateurs non attribués ».

Par la suite, nous verrons que l’on peut créer nos propres groupes et affecter automatiquement les ordinateurs à un groupe spécifique grâce à une stratégie de groupe. Pour le moment, la liste des ordinateurs est vide, mais ce n’est qu’une question de temps avant que la situation évolue.

La section « Ordinateurs » est utile pour visualiser l’état des machines rattachées au serveur WSUS grâce aux différents filtres sur l’état inclus dans la console.

III. Menu « Serveurs en aval »

La section « Serveurs en aval » (« Downstream Servers ») est relative à la hiérarchie de serveurs WSUS puisqu’il est possible d’avoir plusieurs serveurs WSUS qui se synchronisent, ou d’instaurer des relations hiérarchiques. Nous pouvons imaginer une infrastructure avec un serveur WSUS central puis des serveurs WSUS « secondaires » qui sont présents sur les différents sites de l’entreprise.

Avec une telle architecture, les mises à jour sont gérées sur le serveur WSUS en aval (central / maître), qui lui-même se synchronise sur les serveurs Microsoft Update, puis les serveurs WSUS en amont (secondaire) se synchronise sur ce serveur de niveau supérieur. Un chapitre sera dédié à cette notion.

Pour en revenir à la section « Serveurs en aval », elle permet de visualiser les fameux serveurs WSUS sur lesquels s’appuie notre serveur local, ainsi que le mode de synchronisation et la date de la dernière synchronisation.

IV. Menu « Synchronisations »

La section « Synchronisations » (« Synchronizations ») permet de visualiser l’historique des synchronisations avec plusieurs informations associées à chaque tâche :

• La date et l’heure de démarrage de la tâche
• Le type de tâche (planifiée ou manuelle)
• Le résultat de la tâche (succès, en cours, échec)
• Le nombre de nouvelles mises à jour synchronisées
• Le nombre de mises à jour révisées
• Le nombre de mises à jour expirées

Bien sûr, il n’y aura pas de nouvelles mises à jour tous les jours puisqu’en temps normal, Microsoft publie des mises à jour une fois par mois, à l’occasion du Patch Tuesday. Ces nouvelles mises à jour sont publiées le deuxième mardi de chaque mois.

L’exemple ci-dessus illustre bien mes propos puisqu’il n’y a qu’une tâche de synchronisation qui a permis de récupérer de nouvelles mises à jour.

V. Menu « Rapports »

La section « Rapports » (« Reports ») va permettre, sans surprise, de générer des rapports sur l’état global de votre serveur WSUS. Plus précisément, vous pouvez générer des rapports pour obtenir l’état des mises à jour, mais aussi l’état des ordinateurs, avec plus ou moins de détails. En fait, il y a le choix entre des rapports de synthèse et des rapports détaillés.

Si vous cliquez sur l’un des rapports de la liste, vous allez obtenir une erreur : « The Microsoft Report Viewer 2012 Redistributable is required for this feature. Please close the console before installing this package ».

Vous l’aurez compris, nous devons installer le package « Microsoft Report Viewer 2012 Runtime » sur le serveur afin de pouvoir utiliser la fonctionnalité de rapports. Sauf qu’avant d’installer ce package, nous devons en installer un autre « Microsoft System CLR Types pour SQL Server 2012 » (même si vous n’utilisez pas SQL Server ou que vous l’utilisez dans une version plus récente).

Téléchargez et installez les deux packages dans l’ordre :

• Microsoft System CLR Types pour SQL Server

http://go.microsoft.com/fwlink/?LinkID=239644&clcid=0x409

• Microsoft Report Viewer 2012 Runtime

https://www.microsoft.com/fr-fr/download/details.aspx?id=35747

Note : le lien de téléchargement de « Microsoft System CLR Types pour SQL Server » est également disponible sur la page de téléchargement de « Microsoft Report Viewer 2012 Runtime » au sein de la section « Related Resources » en bas de page.

Avant de réaliser les installations, fermez la console WSUS.

Une fois que c’est fait, vous pouvez rouvrir la console et tenter de générer un rapport : cela doit fonctionner. Pour le moment, les rapports sont vides, car nous n’exploitons pas le WSUS réellement.

VI. Menu « Options »

Le menu « Options » est très complet puisqu’il va permettre de paramétrer le serveur WSUS en lui-même, et notamment réviser les paramètres définis lors de la configuration initiale. Autrement dit, cette section va permettre de gérer les produits à synchroniser, mais aussi les langues et les types de mises à jour, ainsi que les règles d’approbations automatiques (par exemple : « approuver automatiquement toutes les mises à jour de sécurité pour Windows 10 »).

Lorsque l’on cherche à faire du nettoyage dans la base WSUS, c’est également ici qu’il faut se rendre grâce à l’ « Assistant de nettoyage du serveur » (« Server Cleanup Wizard ») même si l’on peut s’appuyer sur PowerShell pour cette tâche qui n’est pas si évidente.

Puisque nous venons d’évoquer la notion de rapports, sachez que la catégorie d’options « Notifications par courrier électronique » (« E-Mail Notifications ») va permettre de configurer l’envoi de rapports par e-mail via votre serveur de messagerie.

La liste des options est relativement longue, comme nous pouvons le constater :

Dès à présent, j’attire votre attention sur la section « Automatic Approvals » / « Approbations automatiques », car elle sert à créer des règles pour approuver des mises à jour correspondantes à certains critères.

Par défaut, il y a une règle qui est configurée pour approuver automatiquement toutes les mises à jour critiques et toutes les mises à jour de sécurité, pour le groupe « Tous les ordinateurs ». Pour activer cette règle, il faut cocher la case et cliquer sur le bouton « Run Rule » / « Exécuter la règle ».

Vous pouvez créer vos propres règles pour approuver les mises à jour correspondant à certains produits spécifiques ou uniquement certains groupes.

C’est une fonctionnalité très intéressante, car elle facilite le processus d’approbation des mises à jour grâce à l’approbation automatique selon certains critères.

D’autres sections du menu « Options » de WSUS seront étudiées par la suite, au fur et à mesure que l’on va découvrir WSUS.

Passons au prochain module de ce cours où nous allons apprendre à « connecter » des machines à notre serveur WSUS afin de commencer à gérer et déployer les mises à jour.