比黑客更快修補安全漏洞：網域電腦的更新管理（1）

繼續回到教學部份，首先請大家請點選展開[電腦設定]\[系統管理範本]\[Windows元件]項目，然後點選[Windows Update]。在此將可以看到一大串有關於 Windows 集中更新控管的原則清單，不過並非是每一個原則項目都是需要設定的，我們只要完成一些必要或適用於現行環境的原則設定即可。

圖 24 Windows Update 原則管理

然後大家必須決定 Windows 自動更新的執行方式，請開啟[設定自動更新]原則內容，如圖 25 所示以下是目前所提供的四種更新方式，您可以根據目前的目標電腦來套用不同的原則配置。

1. 通知下載和安裝：讓擁有用戶端本機管理者權限的使用者登入網域時，自動在桌面的右下角中出現通知下載與通知安裝的訊息，此時使用者只要點選該訊息便可以開始進行更新的處理程序。
2. 自動下載和通知安裝：設定此選項將使更新的下載作業能自動在背景完成，而安裝的通知則會在使用者登入網域之後，才會同樣在桌面右下角出現。這個選項較適用在伺服器的更新管理。
3. 自動下載和排程安裝：設定此選項將使用戶端的系統更新下載與安裝完全在背景自動化完成，並且登入的網域使用者帳戶不需要是本機管理者群組的成員之一，這是因為完全沒有設定通知訊息的緣故，因此若想要強制所有用戶端強制執行定期的系統更新，就必須選擇此項目設定，並且指定更新的日期與時間。
4. 允許本機系統管理員選擇設定：選取此項目設定，將表示網域管理者允許被套用此原則的用戶端電腦的本機管理者，可以自行透過[控制台]中的[自動更新]選項，來自訂排程的系統更新時間，不過他們並無法選取關閉自動更新的功能。這個選項較適用在 Power User 電腦的更新管理。

另外值得注意的是在 Windows 8/8.1 以及未來的更新版本中，如果您有勾選[在自動維護期間安裝]，它將會讓受管理的這一些電腦在未使用中的狀態下安裝更新，而且也會避免正在使用電池電力時安裝更新。萬一發生了連續兩天以上無法安裝更新時，Windows Update 則將會立即安裝更新，然後通知使用者即將重新啟動系統，並且只會在不造成意外遺失資料的情形下重新啟動系統。關於這一項自動維護的原則設定，您可以在[電腦設定]\[系統管理範本] \[Windows元件]\[維護排程器]設定項目來完成。

圖 25 設定自動更新原則

如圖 26 所示接著開啟[指定內部網路 Microsoft 更新服務的位置]項目，然後分別在[設定內部網路更新服務來偵測更新]與[設定內部網路統計數字伺服器]欄位中，輸入內部網路中 WSUS 連線的網址與連接埠。

圖 26 設定內部網路更新位置

如圖 27 所示您可以開啟[啟用用戶端目標鎖定]原則內容來指定所有將被套用該群組原則物件(GPO)的電腦，所要隸屬於的目標群組，以利於在 WSUS 介面中的分類管理，在此建議您可以先將這一些電腦加以分類在每一個不同組織單位中（OU），最後再來加以個別設定與套用，如此一來我們就可以節省許多在 WSUS 管理介面中手動進行分類的操作。

圖 27 啟用用戶端目標鎖定

瀏覽相關文章

比黑客更快修補安全漏洞：活用 SCCM、WSUS 為企業網路安全把關
比黑客更快修補安全漏洞：開始部署及設定 WSUS
比黑客更快修補安全漏洞：開始部署及設定 WSUS (1)
比黑客更快修補安全漏洞：網域電腦的更新管理
比黑客更快修補安全漏洞：網域電腦的更新管理 (1)
比黑客更快修補安全漏洞：網域電腦的更新管理(2)
比黑客更快修補安全漏洞：工作群組電腦的更新管理
在 Windows 中如何徹底控制、禁止用户私自進行系統更新？