Planification des mises à jour logicielles dans Configuration Manager

Le nombre de clients pris en charge dépend de la version de Windows Server Update Services (WSUS) qui s'exécute sur le point de mise à jour logicielle et de la coexistence ou non du rôle de système de site du point de mise à jour logicielle avec un autre rôle de système de site.

• Le point de mise à jour logicielle peut prendre en charge jusqu'à 25 000 clients1 lorsque WSUS 3.0 Service Pack 2 (SP2) s'exécute sur l'ordinateur du point de mise à jour logicielle et lorsque le point de mise à jour logicielle coexiste avec un autre rôle de système de site.

• Le point de mise à jour logicielle peut prendre en charge jusqu'à 100 000 clients2 lorsque WSUS 3.0 SP2 s'exécute sur l'ordinateur du point de mise à jour logicielle et lorsque le point de mise à jour logicielle ne coexiste pas avec un autre rôle de système de site.

1Pour permettre la prise en charge de plus de 25 000 clients, le point de mise à jour logicielle peut être configuré pour utiliser l'équilibrage de la charge réseau.

2Pour prendre en charge jusqu'à 100 000 clients, le point de mise à jour logicielle doit satisfaire le serveur WSUS. Pour plus d'informations, voir Déterminer la capacité requise pour WSUS.

Utilisez les informations de capacité suivantes pour planifier les objets des mises à jour logicielles.

• Limite de 1 000 mises à jour logicielles dans un déploiement

  Vous devez limiter le nombre de mises à jour logicielles à 1 000 pour chaque déploiement de mises à jour logicielles. Lorsque vous créez une règle de déploiement automatique, spécifiez un critère qui limite le nombre de mises à jour logicielles retournées. La règle de déploiement automatique échoue lorsque les critères que vous spécifiez renvoient plus de 1 000 mises à jour logicielles. Vous pouvez vérifier l'état de la règle de déploiement automatique depuis le nœud Règles de déploiement automatique dans la console Configuration Manager. Lorsque vous déployez manuellement des mises à jour logicielles, ne sélectionnez pas plus de 1 000 mises à jour à déployer.

À compter de Configuration Manager SP1, vous pouvez ajouter plusieurs points de mise à jour logicielle sur un site principal Configuration Manager. La possibilité d'avoir plusieurs points de mise à jour logicielle sur un site offre une tolérance de panne sans impliquer la complexité de l'équilibrage de la charge réseau (NLB). Toutefois, le basculement dont vous bénéficiez avec plusieurs points de mise à jour logicielle n'est pas aussi robuste qu'un équilibrage de la charge pur, mais plutôt conçu pour la tolérance de panne. En outre, la conception du basculement du point de mise à jour logicielle est différente de celle du modèle de randomisation pur utilisé dans la conception des points de gestion. Contrairement à la conception des points de gestion, dans les points de mise à jour logicielle, il existe des coûts en termes de performances du client et du réseau, associés au basculement vers un nouveau point de mise à jour logicielle. Lorsque le client bascule vers un nouveau serveur WSUS pour rechercher des mises à jour logicielles, la taille du catalogue augmente, tout comme les exigences de performance réseau et côté client associées. Par conséquent, le client conserve l'affinité avec le dernier point de mise à jour logicielle qu'il a correctement analysé.

Le premier point de mise à jour logicielle que vous installez sur un site principal est la source de synchronisation de tous les points de mise à jour logicielle supplémentaires que vous ajoutez sur le site principal. Une fois que vous avez ajouté vos points de mise à jour logicielle et lancé la synchronisation des mises à jour logicielles, vous pouvez afficher l'état des points de mise à jour logicielle et la source de synchronisation depuis le nœud État de la synchronisation du point de mise à jour logicielle dans l'espace de travail Surveillance.

Quand un point de mise à jour logicielle échoue, et qu'il est configuré en tant que source de synchronisation pour les autres points de mise à jour logicielle sur le site, vous devez supprimer manuellement ce point de mise à jour logicielle en échec et en sélectionner un nouveau à utiliser en tant que source de synchronisation. Pour plus d'informations sur la suppression d'un point de mise à jour logicielle, consultez la section Supprimer le rôle de système de site du point de mise à jour logicielle dans la rubrique Configuration des mises à jour dans Configuration Manager.

Utilisez les sections suivantes pour déterminer l'infrastructure du point de mise à jour logicielle dans Configuration Manager sans Service Pack.

Le rôle de système de site du point de mise à jour logicielle doit être installé sur un système de site qui satisfait la configuration minimale requise pour WSUS et les configurations prises en charge pour les systèmes de site Configuration Manager.

1. Pour plus d'informations sur la configuration minimale requise pour WSUS 3.0 SP2, voir Confirmer la configuration requise de l'installation de WSUS 3.0 SP2 dans la bibliothèque de documentation de Windows Server Update Services 3.0 SP2.

2. Pour plus d'informations sur la configuration minimale requise pour le rôle de serveur WSUS dans Windows Server 2012, consultez Étape 1 : préparer votre déploiement de WSUS dans la bibliothèque de documentation de Windows Server 2012.

3. Pour plus d'informations sur les configurations prises en charge pour les systèmes de site Configuration Manager, consultez la section Configuration requise pour le système de site dans la rubrique Configurations prises en charge pour Configuration Manager.

Les mises à jour logicielles exigent qu'une version prise en charge de WSUS soit installée sur tous les serveurs de système de site que vous configurez pour le rôle de système de site du point de mise à jour logicielle. De plus, lorsque vous n'installez pas le point de mise à jour logicielle sur le serveur de site, vous devez installer la console d'administration WSUS sur le serveur de site si elle n'est pas encore installée. Cela permet au serveur de site de communiquer avec le serveur WSUS qui est exécuté sur le point de mise à jour logicielle.

Lorsque vous utilisez WSUS sur Windows Server 2012, vous devez configurer des autorisations supplémentaires pour permettre au gestionnaire de configuration WSUS dans Configuration Manager de se connecter au serveur WSUS afin d'effectuer des contrôles d'intégrité réguliers. Choisissez l'une des options suivantes pour configurer ces autorisations :

• Ajouter le compte SYSTEM au groupe Administrateurs WSUS

• Ajouter le compte NT AUTHORITY\SYSTEM en tant qu'utilisateur de la base de données WSUS (SUSDB) et configurer un minimum de l'appartenance au rôle de base de données webService

Pour plus d'informations sur la manière d'installer WSUS 3.0 SP2, voir Installer la console serveur ou d'administration de WSUS dans la bibliothèque de documentation de Windows Server Update Services 3.0 SP2.

Pour plus d'informations sur la manière d'installer WSUS sur Windows Server 2012, voir Installer le rôle serveur WSUS dans la bibliothèque de documentation de Windows Server 2012.

Pour System Center 2012 Configuration Manager SP1 et ultérieur :

Lorsque vous installez plusieurs points de mise à jour logicielle sur un site principal, utilisez la même base de données WSUS pour chaque point de mise à jour logicielle d'une même forêt Active Directory. Si vous partagez la même base de données, cela permet d'atténuer considérablement, sans l'éliminer entièrement, l'impact sur les performances du client et du réseau, lequel impact peut se produire quand les clients basculent vers un nouveau point de mise à jour logicielle. Une analyse delta se produit quand même lorsqu'un client bascule vers un nouveau point de mise à jour logicielle qui partage une base de données avec l'ancien point de mise à jour logicielle, mais il s'agit d'une analyse beaucoup plus petite que celle qui se produirait si le serveur WSUS possédait sa propre base de données.

Les mises à jour logicielles présentes sur un site d'administration centrale Configuration Manager communiquent avec le serveur WSUS qui s'exécute sur le point de mise à jour logicielle qui, à son tour, communique avec la source de synchronisation afin de synchroniser les métadonnées des mises à jour logicielles. Les points de mise à jour logicielle sur un site enfant communiquent avec le point de mise à jour logicielle sur le site parent. Lorsqu'un site Configuration Manager sans Service Pack comporte un point de mise à jour logicielle actif distant basé sur Internet, le serveur de site doit communiquer avec le point de mise à jour logicielle actif basé sur Internet, et le point de mise à jour logicielle basé sur Internet doit communiquer avec le point de mise à jour logicielle actif du site afin que la synchronisation se termine correctement. À compter de Configuration Manager SP1, lorsqu'il existe plusieurs points de mise à jour logicielle sur un site principal, les points supplémentaires doivent communiquer avec le premier point de mise à jour logicielle installé sur le site, lequel est le point de mise à jour logicielle par défaut.

Il peut être nécessaire de configurer le pare-feu pour qu'il accepte les ports HTTP ou HTTPS qui sont utilisés par WSUS dans les scénarios suivants : quand vous avez un pare-feu d'entreprise entre le point de mise à jour logicielle Configuration Manager et Internet, quand vous avez un point de mise à jour logicielle et sa source de synchronisation en amont, quand vous avez un point de mise à jour logiciel actif basé sur Internet et le point de mise à jour logicielle actif pour le site Configuration Manager sans site de Service Pack ou quand vous avez les points de mise à jour logicielle supplémentaires et le point de mise à jour logicielle par défaut sur un site Configuration Manager SP1. La connexion à Microsoft Update est toujours configurée pour utiliser le port 80 pour HTTP et le port 443 pour HTTPS. Vous pouvez utiliser un port personnalisé pour la connexion à partir de WSUS fonctionnant sur le point de mise à jour logicielle sur un site enfant vers WSUS fonctionnant sur le point de mise à jour logicielle sur le site parent. Lors de la synchronisation des mises à jour logicielles, WSUS fonctionnant sur le point de mise à jour logicielle basé sur Internet se connecte toujours à WSUS fonctionnant sur le point de mise à jour logicielle actif en utilisant le protocole HTTPS. Lorsque votre stratégie de sécurité ne permet pas une connexion HTTPS, vous devez utiliser la méthode de synchronisation d'exportation et d'importation. Pour plus d'informations, voir la section Source de synchronisation de cette rubrique. Pour plus d'informations sur les ports qui sont utilisés par WSUS, voir Comment déterminer les paramètres de port utilisés par WSUS.

Les paramètres de la source de synchronisation du point de mise à jour logicielle spécifient l'emplacement auquel le point de mise à jour logicielle récupère les métadonnées des mises à jour logicielles et indiquent si les événements de rapports WSUS sont créés au cours du processus de synchronisation.

• Source de synchronisation : Le point de mise à jour logicielle sur le site de plus haut niveau configure la source de synchronisation pour Microsoft Update par défaut. À compter de Configuration Manager SP1, vous avez la possibilité de synchroniser le site de niveau supérieur avec un serveur WSUS existant. Le point de mise à jour logicielle sur un site principal enfant configure la source de synchronisation en tant que point de mise à jour logicielle sur le site d'administration centrale par défaut.

  Notes

  Si vous disposez d'un point de mise à jour logicielle distant basé sur Internet, le serveur de mise à jour en amont est le point de mise à jour logicielle pour le même site.

  Notes

  À compter de Configuration Manager SP1, le premier point de mise à jour logicielle que vous installez sur un site principal, qui est le point de mise à jour logicielle par défaut, se synchronise avec le site d'administration centrale. Les points de mise à jour logicielle supplémentaires sur le site principal se synchronisent avec le point de mise à jour logicielle par défaut sur le site principal.

  Lorsqu'un point de mise à jour logicielle est déconnecté de Microsoft Update ou du serveur de mise à jour en amont, vous pouvez configurer la source de synchronisation pour qu'elle ne soit pas synchronisée avec une source de synchronisation configurée mais qu'elle utilise la fonction d'exportation et d'importation de l'outil WSUSUtil pour synchroniser les mises à jour logicielles. Pour plus d'informations, voir la section Synchroniser les mises à jour logicielles à partir d'un point de mise à jour logicielle déconnecté dans la rubrique Configuration des mises à jour dans Configuration Manager.

• Événements de rapports WSUS : L'agent Windows Update sur les ordinateurs clients crée des messages d'événement utilisés pour les rapports WSUS. Ces événements ne sont pas utilisés par la mise à jour logicielle dans Configuration Manager et, par conséquent, l'option Ne pas créer les événements de rapports WSUS est sélectionnée par défaut. Si ces événements ne sont pas créés, l'ordinateur client peut se connecter au serveur WSUS uniquement lors de l'évaluation des mises à jour logicielles et des analyses de conformité. Si ces événements sont nécessaires à la génération de rapports en dehors des mises à jour logicielles dans Configuration Manager, vous devez modifier ce paramètre pour créer des événements de génération de rapports WSUS.

Vous pouvez configurer le calendrier de synchronisation uniquement sur le point de mise à jour logicielle du site de niveau supérieur dans la hiérarchie Configuration Manager. Lorsque vous configurez le calendrier de synchronisation, le point de mise à jour logicielle se synchronise avec la source de synchronisation à la date et à l'heure que vous avez spécifiées. Le calendrier personnalisé vous permet de synchroniser les mises à jour logicielles à une date et une heure spécifiques si le nombre de demandes provenant du serveur WSUS, du serveur de site et du réseau est faible (par exemple, à 2 h 00 une fois par semaine). Sinon, vous pouvez lancer la synchronisation sur le site de niveau supérieur à l'aide de l'action Mises à jour logicielles de synchronisation à partir du nœud Toutes les mises à jour logicielles ou Groupes de mises à jour logicielles dans la console Configuration Manager.

Conseil

Planifiez la synchronisation des mises à jour logicielles pour qu'elle s'exécute selon une plage de temps adaptée à votre environnement. Un scénario courant consiste à définir le calendrier de synchronisation des mises à jour logicielles pour qu'elle soit exécutée peu après la publication d'une mise à jour de sécurité normale de Microsoft le deuxième mardi de chaque mois, généralement appelé Patch Tuesday (Mardi correctif). Un autre scénario courant consiste à définir le calendrier de synchronisation des mises à jour logicielles pour qu'elle soit exécutée tous les jours lorsque vous utilisez des mises à jour logicielles afin de fournir des mises à jour du moteur et des définitions Endpoint Protection.

Une fois que le point de mise à jour logicielle a correctement terminé la synchronisation, une demande de synchronisation est envoyée aux sites enfants. À compter de Configuration Manager SP1, si vous avez des points de mise à jour logicielle supplémentaires sur un site principal, une demande de synchronisation est envoyée à chaque point de mise à jour logicielle. Dans Configuration Manager sans Service Pack, une demande de synchronisation est envoyée au point de mise à jour logicielle actif basé sur Internet, s'il est installé. Ce processus se répète sur chaque site de la hiérarchie.

Chaque mise à jour logicielle fait partie d'une classification particulière qui permet d'organiser les différents types de mises à jour. Pendant le processus de synchronisation, les métadonnées des mises à jour logicielles pour les classifications spécifiées seront synchronisées.Configuration Manager vous permet de synchroniser les mises à jour logicielles avec les classifications de mise à jour suivantes :

• Mises à jour critiques : spécifie des mises à jour distribuées en grand nombre, répondant à un problème spécifique qui concerne un bogue critique non lié à la sécurité.

• Mises à jour de définitions : spécifie des mises à jour pour des virus ou d'autres fichiers de définition.

• Packs de fonctionnalités : spécifie de nouvelles fonctionnalités du produit, distribuées en dehors d'une version et d'une fonctionnalité de produit qui sont généralement incluses dans la version suivante du produit.

• Mises à jour de sécurité : spécifie des mises à jour distribuées en grand nombre, répondant à un problème de sécurité spécifique à un produit.

• Service Packs : spécifie des ensembles cumulés de correctifs rattachés à une application. Ces correctifs peuvent comprendre des mises à jour de sécurité, des mises à jour critiques, des mises à jour logicielles, etc.

• Outils : spécifie des utilitaires ou des fonctionnalités permettant d'effectuer une ou plusieurs tâches.

• Correctifs cumulatifs : spécifie des ensembles cumulés de correctifs, assemblés pour faciliter leur déploiement. Ces correctifs peuvent comprendre des mises à jour de sécurité, des mises à jour critiques, des mises à jour, etc. Les correctifs cumulatifs concernent généralement un domaine particulier, tel que la sécurité ou un composant de produit.

• Mises à jour : spécifie une mise à jour d'une application ou d'un fichier déjà installé.

Les paramètres de classification des mises à jour sont configurés uniquement sur le site de niveau supérieur. Ils ne sont pas configurés sur le point de mise à jour logicielle des sites enfants, car les métadonnées des mises à jour logicielles du site de niveau supérieur sont répliquées sur les sites principaux enfants. Lorsque vous sélectionnez des classifications de mises à jour, n'oubliez pas que plus vous en sélectionnez, plus la synchronisation des métadonnées des mises à jour logicielles prendra du temps.

Avertissement
Il est recommandé d'effacer toutes les classifications avant de synchroniser les mises à jour logicielles pour la première fois. Après la synchronisation initiale, sélectionnez les classifications à partir des Propriétés du composant du point de mise à jour logicielle, puis relancez la synchronisation.

Les métadonnées de chaque mise à jour logicielle définissent un ou plusieurs produits auxquels elles s'appliquent. Un produit est une édition spécifique d'un système d'exploitation ou d'une application. Un exemple d'un produit est Microsoft Windows Server 2008. Une famille de produits est le système de d'exploitation ou l'application de base d'où sont issus les produits individuels. Par exemple, Microsoft Windows est une famille de produits dont Microsoft Windows Server 2008 fait partie. Vous pouvez spécifier une famille de produits ou des produits distincts au sein d'une famille de produits.

Lorsque des mises à jour logicielles s'appliquent à plusieurs produits et qu'au moins l'un de ces produits a été sélectionné en vue de la synchronisation, tous les autres produits apparaissent dans la console Configuration Manager, même s'ils n'ont pas été sélectionnés. Par exemple, si Windows Server 2008 est le seul système d'exploitation auquel vous êtes inscrit et si une mise à jour logicielle s'applique à Windows Server 2008 et Windows Server 2008 Datacenter Edition, ces deux produits apparaîtront dans la base de données du site.

Les paramètres de produit sont configurés uniquement sur le site de niveau supérieur. Ils ne sont pas configurés sur le point de mise à jour logicielle des sites enfants, car les métadonnées des mises à jour logicielles du site de niveau supérieur sont répliquées sur les sites principaux enfants. Lorsque vous sélectionnez des produits, n'oubliez pas que plus vous en sélectionnez, plus la synchronisation des métadonnées des mises à jour logicielles prendra du temps.

En règle générale, une mise à jour logicielle qui en remplace une autre effectue une ou plusieurs des opérations suivantes :

• Elle optimise, améliore ou met à jour le correctif fourni par une ou plusieurs mises à jour précédemment publiées.

• Elle améliore l'efficacité de son package de fichiers de mise à jour, qui est installé sur les ordinateurs clients si la mise à jour est approuvée pour l'installation. Par exemple, la mise à jour remplacée peut contenir des fichiers qui ne sont plus pertinents pour le correctif ou pour les systèmes d'exploitation pris en charge par la nouvelle mise à jour. Ainsi, ces fichiers ne sont pas inclus dans le package de fichiers de la mise à jour de remplacement.

• Elle met à jour un produit vers les versions les plus récentes. En d'autres termes, elle met à jour les versions qui ne concernent plus d'anciennes versions ou configurations d'un produit. Les mises à jour peuvent également remplacer d'autres mises à jour si des modifications ont été apportées pour étendre la prise en charge des langues. Par exemple, une révision récente d'une mise à jour de produit pour Microsoft Office peut supprimer la prise en charge d'un ancien système d'exploitation, mais ajouter la prise en charge de langues supplémentaires dans la version de mise à jour initiale.

Dans les propriétés du point de mise à jour logicielle, vous pouvez indiquer si vous souhaitez faire expirer immédiatement les mises à jour logicielles remplacées. Dans ce cas, elles ne seront pas incluses dans les nouveaux déploiements et un indicateur sera ajouté aux déploiements existants pour indiquer qu'ils contiennent une ou plusieurs mises à jour logicielles expirées. Ou bien, vous pouvez spécifier une période avant l'expiration des mises à jour logicielles remplacées, ce qui vous permet de continuer à les déployer. Examinez les scénarios suivants, dans lesquels vous devrez peut-être déployer une mise à jour logicielle remplacée :

• une mise à jour logicielle de remplacement prend en charge uniquement les versions les plus récentes du système d'exploitation, mais certains de vos ordinateurs clients exécutent des versions antérieures du système d'exploitation ;

• une mise à jour logicielle de remplacement présente des conditions d'applications plus restreintes que la mise à jour qu'elle remplace, ce qui peut la rendre inadaptée à certains ordinateurs clients ;

• une mise à jour logicielle de remplacement n'a pas été approuvée pour le déploiement dans votre environnement de production.

Les paramètres de langue du point de mise à jour logicielle permettent de configurer les langues pour lesquelles les détails du résumé (métadonnées des mises à jour logicielles) sont synchronisés pour les mises à jour logicielles, ainsi que les langues des fichiers de mise à jour logicielle qui seront téléchargés pour les mises à jour.

Après l'installation du point de mise à jour logicielle, l'agent client des mises à jour logicielles est activé par défaut, et vous n'avez pas besoin de configurer des paramètres de client spécifiques ; toutefois, il est recommandé de passer en revue les paramètres pour vous assurer que les valeurs par défaut répondent à vos besoins. Vous configurez les mises à jour logicielles et les paramètres de client NAP dans Paramètres du client dans l'espace de travail Administration. Pour plus d'informations sur la configuration des paramètres associés aux mises à jour logicielles, consultez la section Paramètres client pour les mises à jour logicielles dans la rubrique Configuration des mises à jour dans Configuration Manager.

Des paramètres de stratégie de groupe spécifiques sont utilisés par l'agent Windows Update (WUA) sur les ordinateurs clients pour se connecter au serveur WSUS exécuté sur le point de mise à jour logicielle actif, pour analyser correctement la compatibilité des mises à jour logicielles et pour mettre à jour automatiquement les mises à jour logicielles et WUA.

Avertissement

Si un objet de stratégie de groupe Active Directory est attribué aux clients et qu'il spécifie un serveur WSUS qui ne correspond pas à leur point de mise à jour logicielle Configuration Manager, il remplace le paramètre de stratégie de groupe local configuré par Configuration Manager. Pour accéder à la conformité des mises à jour logicielles et gérer les déploiements des mises à jour logicielles sur ces clients, vous devez reconfigurer le paramètre de stratégie de groupe Active Directory ou déplacer les ordinateurs clients vers une unité d'organisation à laquelle ce paramètre de stratégie de groupe n'est pas attribué.

Pour plus d'informations sur la configuration des paramètres associés aux mises à jour logicielles, consultez la section Paramètres de stratégie de groupe pour les mises à jour logicielles dans la rubrique Configuration des mises à jour dans Configuration Manager.

Le client Configuration Manager télécharge le contenu des mises à jour logicielles requises vers le cache du client local dès qu'il reçoit le déploiement. Toutefois, pour télécharger le contenu, le client attend pendant une durée définie par le paramètre Temps disponible du logiciel du déploiement. Le client ne télécharge pas de mises à jour logicielles dans les déploiements facultatifs (déploiements qui n'ont pas d'échéance d'installation planifiée) jusqu'à ce que l'utilisateur lance l'installation manuellement. Lorsque l'échéance configurée arrive, l'agent client des mises à jour logicielles initie une analyse pour vérifier que la mise à jour logicielle est toujours requise. Il vérifie ensuite le cache local de l'ordinateur client pour déterminer si le fichier source de la mise à jour logicielle est toujours disponible, avant d'installer la mise à jour logicielle. Si le contenu a été supprimé du cache client pour créer de la place pour un autre déploiement, le client télécharge les mises à jour logicielles dans le cache. Les mises à jour logicielles sont toujours téléchargées sur la mémoire cache du client indépendamment de la taille maximale de la mémoire cache configurée pour le client. Pour les autres déploiements, tels que des applications ou des packages, le client télécharge uniquement le contenu qui respecte la taille de cache maximale configurée pour le client. Le contenu mis en cache n'est pas automatiquement supprimé : il reste en cache pendant au moins un jour après son utilisation par le client.