[решено] Как настроить установку без участия пользователей только для одной группы компов?

victor111 · Отправлено: **18:47, 29-07-2009** | #2

нужны две политики
например в первой указываешь чтобы обновления ставились в определенное время т.е. днем
а во второй указываешь чтобы обновления только скачивались
и применяешь их соответсвенно на Comp и Server

mr.R · Отправлено: **09:23, 03-08-2009** | #3

Мысль хорошая, но не катит.
Чтоб ее реализовать нужно 2 OU в домене, а у меня все в одном.

U-russia · Отправлено: **20:40, 03-08-2009** | #4

Логичнее разделить их, вот вам уже и первый прецидент для этого, ну и политики безопасности для серверов всётаки отличаются от пользователей, да и другие...

В вашем случае может быть помогут фильтры...

mr.R · Отправлено: **16:42, 04-08-2009** | #5

Проблема в том, что у меня куча OU. В кажой куче и обычные компы, и сервера.
Разделение идет не по назначению, а по географии. 1 OU - 1 филиал.
Согласен, что тогда было бы логичнее ввести разделение на сервер/комп в каждом OU. Но так уже исторически сложилось
Буду копать дальше.

victor111 · Отправлено: **06:31, 05-08-2009** | #6

ну тогда сделай две политики на один OU а в безопасности каждой политики пропиши права кому можно а кому нет

U-russia · Отправлено: **16:09, 11-08-2009** | #7

Хотя это и не рекомендуется, но можешь сделать автоматическое одобрение обновлений для comp(можешь их еще разбить по группам на всус), а на server соответственно одобрять вручную...

verna · Отправлено: **16:22, 17-08-2009** | #8

логически правильное решение - внутри региональной OU создать отдельные OU для компов и серверов, и уже на эти ОУшки дать свои политики по WSUSу.
Правильно сказали выше, делить нужно. Прецендент необходимости разных политик уже есть, дальше будет только сложнее.

mr.R · Отправлено: **10:16, 25-08-2009** | #9

U-russia,
Сделал так. Работаить...

Естественно, нормальное разделение на OU является очень желательным для гибкого управления правами.
Но в нашей конторе это кривое разделение сложилось года так за 3 до моего прихода. Я с ним имею удовольствие, привести все это в божеский вид задача вполне осуществимая, но на это нужно немало времени и много совместной работы (админов у нас много), чтоб определить какому OU принадлежат конкретные компьютеры и заодно учетки. У меня такие идеи были, но поддержки они не нашли.
Так что будем соблюдать традицию: "Пое....сь мы, пое...сь и вы".

U-russia · Отправлено: **20:51, 25-08-2009** | #10

Цитата U-russia:

В вашем случае может быть помогут фильтры... »

а всётаки через GP тоже можно...
как уже предлагалось выше можно создать группу безопасности и задать применение GP только для неё, но фильтры "тоньше"
http://technet.microsoft.com/ru-ru/l...8WS.10%29.aspx

GP применяется только если запрос возвращает true
Допустим если во вкладке gpmc создать wmi фильтр для пространства имен Root\CimV2 содержащий запрос Select * from Win32_OperatingSystem where Caption = "Microsoft Windows XP Professional"
то политика, к которой привязать данный фильтр, примениться только к компьютерам под управлением соответствующей ОС.
Вы даже можете применять разные политики к серверам находящимся в разных часовых поясах, или в зависимости от того какой у них монитор : ) такого не достигнешь используя только группы..

за экзотическими и не очень классами wmi сюда http://msdn.microsoft.com/en-us/libr...8VS.85%29.aspx

Так что может ваше разделение на OU по территориальному признаку и правельнее....
а вот автоодобрение не очень, а то подхватите какой нибудь свежий IE...

ps
Вот это запрос может пригодиться для отката специфического обновления
Root\cimv2 ; Select * from Win32_QuickFixEngineering where HotFixID = 'q147222'
выбирает компьютеры с установленным q147222
вот только надо ещё политику отката правильно сконфигурировать...