Installation et configuration d’un serveur WSUS¶
1. Objectif du cours¶
Présenter l'installation, la configuration et le déploiement des mises à jour via WSUS sur un environnement Windows Server (ex. Windows Server 2016) et montrer la mise en place d'une GPO pour diriger les clients vers le serveur WSUS.
2. Notions et définitions essentielles¶
- WSUS (Windows Server Update Services) : rôle Windows Server centralisant la récupération et le déploiement des mises à jour Microsoft.
- Synchronisation : opération par laquelle WSUS récupère les mises à jour depuis Microsoft Update.
- Approbation : action d'autoriser une mise à jour dans WSUS pour qu'elle soit déployée vers un ou plusieurs groupes d'ordinateurs.
- Ciblage côté client (client-side targeting) : méthode permettant d'affecter automatiquement un poste à un groupe WSUS via GPO.
3. Fonctionnement et principes¶
- WSUS centralise les téléchargements : un seul serveur contacte Microsoft Update et stocke les mises à jour; les postes clients récupèrent ensuite depuis WSUS, économisant la bande passante et évitant des appels simultanés vers Internet.
- Contrôle du déploiement : l'administrateur choisit les produits, langues et types de mises à jour à synchroniser, puis approuve manuellement ou automatiquement les mises à jour pour des groupes ciblés.
- Planification et tests : il est recommandé de tester les mises à jour en labo avant déploiement (période d'observation de 1 à 3 semaines) et de planifier l'installation en dehors des heures de travail pour limiter l'impact (redémarrages, baisse de productivité).
- Inventaire et rapports : la console WSUS fournit l'état des ordinateurs et des mises à jour ainsi que des rapports et logs utiles en cas de problème.
4. Commandes et manipulations¶
Installation du rôle WSUS (procédure GUI, résumé) : - Server Manager → Ajouter des rôles et fonctionnalités → Sélectionner WSUS → accepter services additionnels → vérifier IIS (Web Server) → définir emplacement de stockage des mises à jour → finaliser et redémarrer si nécessaire.
Post-installation et configuration WSUS (procédure GUI) : - Cliquer sur le fanion jaune en haut à droite pour lancer les tâches de post-installation. - Outils → Services WSUS → lancer l'outil de configuration WSUS → choisir Microsoft Update comme source → configurer proxy si présent → choisir langues, produits et types de mises à jour → configurer synchronisation (manuelle ou automatique) → démarrer synchronisation initiale.
Déploiement via GPO (procédure GUI) : - Créer groupe d'ordinateurs dans WSUS. - WSUS Options → Ordinateurs → sélectionner "Utiliser les paramètres de stratégie de groupe..." - Sur serveur AD : Gestionnaire de stratégie de groupe → créer/modifier GPO pour l'OU visée → définir : - "Configuration du service de Mises à jour automatiques" (type de téléchargement, horaire), - "Spécifier l'emplacement intranet du service de mise à jour Microsoft" (URL WSUS), - activer le ciblage côté client (nom du groupe WSUS). - Dans WSUS : sélectionner mises à jour → clic-droit → Approuver → choisir groupe(s).
Commandes terminal indiquées dans le cours : - gpudate /force : forcer l'implémentation des GPO sur un poste client (forme donnée dans le document). - gpresult /r : afficher le résultat de l'application des GPO sur le poste.
5. Sécurité et bonnes pratiques¶
- Tester toute nouvelle mise à jour en laboratoire avant diffusion sur le parc (1–3 semaines recommandé).
- Planifier déploiements hors heures de bureau pour minimiser l'impact (éviter ralentissements et redémarrages durant la journée de travail).
- Réserver un disque/chemin dédié pour le stockage des mises à jour et vérifier les permissions (autoriser création/modification dans le dossier).
- Assigner une adresse IP fixe au serveur WSUS.
- Sur environnements VM, prévoir que des problèmes de ressources/latence peuvent affecter la synchronisation ; être patient lors de la première synchronisation qui peut durer plusieurs heures.
6. Points essentiels à retenir pour le TSSR¶
- WSUS évite que tous les postes téléchargent directement depuis Internet, en centralisant les mises à jour.
- Avant déploiement massif, tester les mises à jour en labo.
- La configuration initiale inclut choix de langues, produits, types de mises à jour et mode de synchronisation.
- Les GPO redirigent les clients vers WSUS ; deux GPO clés : configuration des mises à jour automatiques et spécification de l'emplacement intranet WSUS.
- Le ciblage côté client doit être activé si on veut affecter automatiquement les postes aux groupes WSUS.
- L'approbation peut être manuelle ou automatique (Options → Approbations automatiques).
- Vérifier que le dossier de stockage WSUS a les bonnes permissions pour éviter les erreurs post-installation.
- La console WSUS offre deux vues utiles : État des ordinateurs et État des mises à jour.
- Sur VM, prévoir des limites de ressources pouvant impacter la synchronisation WSUS.
- Documenter et nommer clairement la GPO pour faciliter la gestion.
7. Tableau récapitulatif¶
| Élément | Option A | Option B |
|---|---|---|
| Source des mises à jour | Microsoft Update (WSUS synchronise) | Clients → Internet (non recommandé) |
| Synchronisation WSUS | Automatique (planifiée) | Manuelle (contrôle total) |
| Approbation des mises | Manuelle (sélection) | Automatique (Options → Approbations automatiques) |
| Ciblage d'ordinateurs | Ciblage côté client via GPO | Affectation manuelle dans WSUS |
| Tests | Labo préalable (1–3 semaines) | Déploiement direct (risques) |
8. Vérifications pratiques¶
- Vérifier l'achèvement de la synchronisation initiale et les alertes affichées dans le récapitulatif WSUS (fenêtre de progression).
- Contrôler dans la console WSUS la liste des mises à jour en attente d'approbation et l'apparition des téléchargements après approbation.
- Confirmer que les clients reçoivent la GPO et sont affectés au bon groupe WSUS (voir section 4 pour la commande indiquée permettant de forcer et de vérifier).
- Consulter les sections "État des ordinateurs" et "État des mises à jour" dans la console WSUS pour les rapports d'état.
- Vérifier les permissions du dossier de stockage si une erreur apparaît lors des tâches post-installation.
9. Flashcards Anki¶
À quoi sert le serveur WSUS ? :: Déployer des mises à jour sur l'ensemble de l'infrastructure Où trouve-t-on la console de gestion de WSUS ? :: Dans "Outils" / "Services WSUS" Quel bouton lancer après l'installation pour les tâches post-installation ? :: Le fanion avec panneau jaune en haut à droite Que faut-il ajouter à la VM destinée au stockage WSUS ? :: Un disque dur ou un emplacement réservé pour les mises à jour Que faut-il vérifier sur le dossier de stockage si une erreur post-installation survient ? :: Que les permissions permettent la modification et la création dans le dossier Quelle GPO spécifie l'URL du serveur WSUS ? :: "Spécifier l'emplacement intranet du service de mise à jour Microsoft" Quelle GPO permet de définir type de téléchargement et horaire des mises à jour ? :: "Configuration du service de Mises à jour automatiques" Comment affecter automatiquement un poste à un groupe WSUS ? :: Activer "Autoriser le ciblage côté client" et utiliser le nom du groupe Où activer l'approbation automatique des mises à jour dans WSUS ? :: Options → Approbations automatiques Que recommande-t-on avant de déployer une nouvelle mise à jour en production ? :: Tester la mise à jour en labo pendant une période définie (ex. 1 à 3 semaines)