Editions ENI Livres | Vidéos | e-Formations
Administrer et maintenir Windows Server 2022
Vue d’ensemble de WSUS
Le rôle WSUS permet à un administrateur de centraliser l’administration des correctifs Microsoft. Seuls les correctifs souhaités sont installés sur les postes de travail ou serveurs.
WSUS est inclus dans les systèmes d’exploitation serveur sous forme de rôle. Il est possible depuis WSUS de déployer des correctifs de type SQL Server, Office, Windows client, Windows Server…
En fonction de la taille de l’entreprise, et du nombre de postes ou serveurs, il est possible de mettre en place un ou plusieurs serveurs WSUS. Dans le cas d’une hiérarchie de serveurs, le serveur-maître pilote les autres serveurs de la hiérarchie. Dans ce cas, le serveur-maître se synchronise sur les serveurs de Microsoft, et les serveurs-fils viennent pour leur part récupérer les mises à jour depuis le serveur-maître. Par la suite, les ordinateurs clients et autres serveurs sont ajoutés au serveur WSUS. Ces derniers sont intégrés dans des groupes d’ordinateurs WSUS. Cela permet d’appliquer des mises à jour différentes en fonction des groupes. Une fois intégré à WSUS, le poste ou serveur transmet un rapport. Cette action permet à l’administrateur d’avoir un état sur les mises à jour installées qui doivent être installées ou celles en erreur.
1. Hiérarchie de serveurs WSUS
Avant d’implémenter le rôle WSUS, il est très important d’étudier l’architecture du projet. Cette étape permet de détailler le nombre de serveurs à installer ainsi que leur emplacement et leurs caractéristiques. Les critères à prendre en compte sont le nombre d’utilisateurs et le débit des lignes. Il est également nécessaire de...
Service WSUS
Le service WSUS, comme d’autres rôles dans Windows Server 2022, doit respecter certains prérequis.
1. Prérequis
Il est dans un premier temps nécessaire d’avoir le rôle IIS installé sur le serveur. Ce dernier est d’ailleurs installé automatiquement s’il n’est pas présent sur le serveur.
Comme pour IIS, .NET Framework est automatiquement installé s’il n’est pas présent. Afin de pouvoir visualiser les rapports (état des mises à jour, état des postes…), le logiciel Microsoft Report Viewer Redistribuable 2012 doit être installé. Ce dernier n’est néanmoins pas un prérequis à l’installation et au fonctionnement de WSUS. S’il n’est pas présent, il n’est pas possible d’accéder aux rapports. SQL 2012 Feature pack est un prérequis pour Microsoft Report Viewer Redistribuable 2012.
Une base de données est nécessaire pour le fonctionnement de WSUS. Elle peut être de type base de données interne (WID - Windows Internal Database) ou SQL Server (2012, 2014, 2016 ou 2017, etc.). Les éditions Standard, Enterprise ou Express peuvent être utilisées.
Concernant la partie matérielle, WSUS possède les mêmes prérequis que Windows Server. Néanmoins, l’espace disque doit lui permettre de stocker l’ensemble des métadonnées. En fonction du nombre de produits, de la classification et des langues, cette taille peut atteindre plus de 100 Go.
2. Configuration du client
Il existe deux manières d’intégrer les postes clients à une hiérarchie WSUS. Le ciblage côté client va consister à configurer le client Windows Update présent sur l’ensemble des serveurs et postes de travail...
Paramètres de stratégies de groupe
Afin de configurer le client Windows Update des postes de travail et serveurs, il est nécessaire d’utiliser les stratégies de groupe. La liste ci-dessous est une partie des paramètres configurables pour WSUS.
-
Fréquence de détection des mises à jour : ce paramètre permet de définir quand la détection est effectuée.
-
Configuration de mise à jour : ce paramètre configure le client Windows Update. Il permet d’indiquer l’option d’installation souhaitée (option 3 : installation manuelle, option 4 : installation automatique et redémarrage si besoin…). Il est également possible de déterminer le jour et l’heure d’installation.
-
Autoriser le ciblage côté client : ce paramètre permet d’indiquer le groupe d’ordinateurs WSUS dans lequel le poste de travail ou serveur doit être ajouté.
-
Spécifier l’emplacement intranet du service de mise à jour Microsoft : avec ce paramètre, l’administrateur détermine le serveur WSUS qu’il est nécessaire de contacter. L’URL est de la forme http://FQDN:8530.
D’autres paramètres sont configurables par l’intermédiaire de GPO.
Maintenance de WSUS
La maintenance est un point important dans une infrastructure WSUS.
1. Rapports WSUS
Après avoir joint l’infrastructure WSUS, le poste de travail ou le serveur envoie son rapport d’état à son serveur WSUS. Cette opération est renouvelée à intervalles réguliers. Il est possible de trouver trois types de catégories différentes. Les rapports de mise à jour permettent à l’administrateur de simplifier la gestion quotidienne des mises à jour.
Il est ainsi aisé d’avoir un résumé sur le statut des mises à jour (en erreur, mise à jour nécessaire, utile pour des ordinateurs). Le statut détaillé des mises à jour permet à l’administrateur d’avoir un rapport détaillé. Chaque page du rapport permet de lister une mise à jour ainsi que les ordinateurs concernés.
Les rapports d’ordinateur permettent, eux, d’obtenir des informations sur les postes présents dans WSUS. Un résumé est disponible afin de valider très rapidement l’état des postes. Il est possible d’avoir des rapports plus détaillés. Le rapport représente pour chaque ordinateur l’état des mises à jour.
Enfin, le troisième type de rapports concerne la synchronisation.
2. Dépannage de l’infrastructure WSUS
Comme toute solution, l’infrastructure WSUS peut subir un dysfonctionnement. Il peut arriver que l’ordinateur client ne s’affiche pas dans la console WSUS. Cela provient généralement d’un problème de stratégie de groupe. En effet, c’est ce dernier composant qui procède à la configuration du client Windows Update. Il est donc nécessaire de vérifier que la stratégie...
Mise en place de WSUS avec SSL
La mise en place du protocole SSL nécessite d’avoir une autorité de certification d’entreprise sur le réseau local. Un certificat autosigné peut également fonctionner. Il est néanmoins préférable d’utiliser une autorité de certification.
Une fois le certificat obtenu, il est nécessaire de procéder à la configuration du serveur à l’aide de la commande wsusutil.
L’installation de l’autorité de certification va dans un premier temps être effectuée. Le serveur qui aura ce rôle est SV1. En production, il est fortement recommandé de ne pas installer ce rôle sur un contrôleur de domaine.
1. Installation et configuration de l’autorité de certification
Sur le serveur SV1, accédez à la console Gestionnaire de serveur puis cliquez sur Ajouter des rôles et des fonctionnalités.
Dans la fenêtre Avant de commencer, cliquez sur Suivant.
Laissez cochée Installation basée sur un rôle ou une fonctionnalité dans la fenêtre Sélectionner le type d’installation.
Cliquez sur Suivant pour valider la destination.
Cochez le rôle Services de certificats Active Directory puis cliquez sur le bouton Ajouter les fonctionnalités dans la fenêtre qui s’affiche.
Laissez les Services de rôles par défaut et cliquez sur Suivant.
Cliquez sur Suivant puis sur Installer.
Depuis la console Gestionnaire de serveur, cliquez sur la zone de notification puis sur Lancer les tâches de post-installation. Pour cela, cliquez sur la notification (point d’exclamation noir dans triangle jaune).
Un assistant se lance, cliquez sur Suivant.
Cochez Autorité de certification puis cliquez sur Suivant.
L’autorité...
Vue d’ensemble de Windows PowerShell DSC
Windows PowerShell DSC (Desired State Configuration) est un composant du Windows Management Framework. PowerShell 4.0. Les systèmes d’exploitation Windows Server 2012 R2 et Windows 8.1 ont été les premiers à introduire cette fonctionnalité. Cette dernière peut être utilisée pour administrer et maintenir un système, ceci en utilisant des configurations déclaratives. Ainsi, au lieu de créer le script qui exécute des actions de manière séquentielle, on déclare à PowerShell ce que l’on souhaite faire. Par la suite, l’infrastructure d’automatisation sous-jacente va prendre en charge la demande.
La différence entre les deux se situe au niveau de l’approche. Avec PowerShell, l’approche est impérative. Avec PowerShell DSC, elle est déclarative.
À l’aide d’un script, il est possible d’effectuer la définition de comment une tâche doit être exécutée. Avec DSC, on définit ce qui doit être fait. La lecture d’un script peut être assez complexe alors que DSC permet une compréhension plus aisée.
La réexécution d’un script n’est pas automatique et doit être effectuée manuellement ou par le biais d’un outil. DSC réapplique la configuration si besoin.
Plusieurs prérequis sont nécessaires pour PowerShell DSC. Il est dans un premier temps nécessaire d’activer Windows Remote Management. En effet, il est nécessaire que les listeners WinRM soient correctement configurés sur les équipements qui doivent être gérés par DSC.
Attention, par défaut, WinRM est actif sur les systèmes 2012 R2 et versions supérieures, mais désactivé...
Surveillance et dépannage des serveurs
Comme pour les versions précédentes, Windows Server 2022 contient nativement des outils pour la surveillance et le dépannage du système d’exploitation.
1. Gestionnaire de tâches
Le Gestionnaire de tâches est un outil qui permet d’obtenir des informations sur un éventuel problème de performance. L’onglet Processus liste l’ensemble des programmes en cours d’exécution sur le serveur. Pour chacun des processus, l’administrateur a la possibilité de voir l’utilisation en mémoire et processeur. De plus, un résumé est fourni et concerne cette fois l’utilisation mémoire/processeur de l’ensemble des processus. Il est possible de mettre fin à un programme posant problème depuis cet onglet.
L’onglet Performance affiche un graphique sur l’utilisation des différents composants du serveur (mémoire, processeur, carte Ethernet). Des données (utilisation, temps de réponse moyen…) sont fournies à l’administrateur. Ces données sont utiles en cas de problème de performance.
L’onglet Utilisateurs est très pratique car il permet d’avoir un résumé des ressources (mémoire, processeur…) utilisées par l’utilisateur connecté. Il est également possible d’avoir une liste de l’ensemble des processus exécutés et l’utilisation des ressources pour chacun.
L’onglet Détails offre une liste de l’ensemble des processus en cours d’exécution. Pour chacun de ces processus, un lot d’information est fourni, comme le pourcentage d’utilisation du processeur, la mémoire ainsi que le nom d’utilisateur utilisé par le processus (nom de l’utilisateur...