Requisitos e práticas recomendadas para Atualização com Suporte a Cluster

Esta seção descreve os requisitos e as dependências necessárias para usar CAU (Atualização com Suporte a Cluster) para aplicar atualizações a um cluster de failover executando o Windows Server.

Instale o recurso de Cluster de failover e as ferramentas de Cluster de failover

O CAU requer uma instalação do recurso de Cluster de failover e as Ferramentas de cluster de failover. As Ferramentas de cluster de failover incluem ferramentas do CAU (clusterawareupdating.dll), os cmdlets de Cluster de failover e outros componentes necessários às operações de CAU. Para saber as etapas de instalação do recurso de Cluster de failover, consulte Installing the Failover Clustering Feature and Tools (Instalando o recurso e as ferramentas de cluster de failover).

Os requisitos exatos de instalação para as Ferramentas de cluster de failover dependem se o CAU coordena atualizações como uma função clusterizada no cluster de failover (usando o modo de autoatualização) ou de um computador remoto. O modo de autoatualização do CAU também requer a instalação da função clusterizada do CAU no cluster de failover usando as ferramentas CAU.

A tabela a seguir resume os requisitos de instalação do recurso CAU para dois modos de atualização do CAU.

Obter uma conta de administrador

Os requisitos de administrador a seguir são necessários para usar recursos de CAU.

• Para examinar ou aplicar ações atualizadas usando a interface de usuário do CAU (UI) ou os cmdlets do Atualização com Suporte a Cluster, você deve usar uma conta de domínio que possui direitos de administrador local e permissões em todos os nós de cluster. Se a conta não tiver privilégios suficientes em cada nó, você será solicitado na janela da Atualização com Suporte a Cluster a fornecer as credenciais necessárias ao executar essas ações. Para usar os cmdlets da Atualização com Suporte a Cluster, você pode fornecer as credenciais necessárias como um parâmetro de cmdlet.

• Se você utiliza CAU no modo de atualização remota quando está conectado em uma conta que não possui direitos de administrador local e permissões nos nós de cluster, deve executar as ferramentas do CAU como um administrador usando uma conta de administrador local no computador de Coordenador de Atualização ou usando uma conta que possua o direito de usuário de Representar um cliente após a autenticação.

• Para executar o Analisador de Práticas Recomendadas do CAU, você deve usar uma conta que possui privilégios administrativos sobre os nós de cluster e privilégios administrativos locais no computador usado para executar o cmdlet Test-CauSetup ou para analisar a preparação de atualização usando a janela da Atualização com Suporte a Cluster. Para mais informações, consulte Testar preparação de atualização do cluster.

Verificar a configuração do cluster

A seguir estão os requisitos gerais de um cluster de failover para suporte de atualizações usando CAU. Os requisitos de configuração adicional para gerenciamento remoto nos nós estão listados em Configurar os nós para gerenciamento remoto mais adiante neste tópico.

• Deve haver nós de cluster suficientes online para que o cluster tenha quorum.

• Todos os nós de cluster devem estar no mesmo domínio do Active Directory.

• O nome do cluster deve ser resolvido na rede usando DNS.

• Se for usado CAU no modo de atualização remota, o computador do Coordenador de Atualização deve ter conectividade de rede para os nós de cluster de failover, e deve estar no mesmo domínio do Active Directory do cluster de failover.

• O serviço de cluster deve estar executando em todos os nós de cluster. Por padrão, esse serviço é instalado em todos os nós de cluster e está configurado para iniciar automaticamente.

• Para usar os scripts de pré-atualização ou pós-atualização do PowerShell durante uma Execução de atualização do CAU, assegure que os scripts sejam instalados em todos os nós de cluster ou que estejam acessíveis a todos os nós, por exemplo, em um compartilhamento de arquivos da rede altamente disponível. Se os scripts forem salvos em um compartilhamento de arquivos de rede, configure a pasta para permissão de Leitura para o grupo Todos.

Configurar os nós para gerenciamento remoto

Para usar a Atualização com Suporte a Cluster, todos os nós do cluster devem ser configurados para gerenciamento remoto. Por padrão, a única tarefa que você deve executar para configurar os nós para gerenciamento remoto é Habilitar uma regra de firewall para permitir reinicializações automáticas.

A tabela a seguir lista os requisitos completos de gerenciamento remoto, caso seu ambiente seja diferente dos padrões.

Esses requisitos são adicionais aos requisitos de instalação para a Instalação do recurso de Cluster de failover e Ferramentas de cluster de failover e os requisitos de cluster gerais descritos nas seções anteriores neste tópico.

Habilitar uma função de firewall para permitir reinícios automáticos

Para permitir reinícios automáticos após serem aplicadas as atualizações (se a instalação de uma atualização requer reinício), se o Firewall do Windows ou um firewall não Microsoft estiver em uso nos nós de cluster, uma regra de firewall deverá ser habilitada em cada nó permitindo o seguinte tráfego:

• Protocolo: TCP

• Direção: entrada

• Programa: wininit.exe

• Portas: Portas Dinâmicas RPC

• Perfil: Domínio

Se o Firewall do Windows for usado nos nós de cluster, você pode fazer isso habilitando o grupo de regras do Firewall do Windows Desligamento Remoto em cada nó de cluster. Quando usar a janela da Atualização com Suporte a Cluster para aplicar atualizações e configurar opções de autoatualização, o grupo de regras do Firewall do Windows Desligamento Remoto é habilitado automaticamente em cada nó de cluster.

O grupo de regra de firewall Desligamento Remoto também é habilitado especificando o parâmetro –EnableFirewallRules ao executar os seguintes cmdlets do CAU: Add-CauClusterRole, Invoke-CauRun e SetCauClusterRole.

O exemplo a seguir do PowerShell mostra um método adicional para habilitar reinícios automáticos em um nó de cluster.

Set-NetFirewallRule -Group "@firewallapi.dll,-36751" -Profile Domain -Enabled true

Habilitar a WMI (Instrumentação de Gerenciamento do Windows)

Todos os nós de cluster devem ser configurados para gerenciamento remoto usando a WMI (Instrumentação de Gerenciamento do Windows). Isso é habilitado por padrão.

Para habilitar manualmente o gerenciamento remoto, execute o seguinte:

1. No console de Serviços, inicie o serviço Gerenciamento remoto do Windows e defina o tipo de inicialização Automática.

2. Execute o cmdlet Set-WSManQuickConfig , ou execute o seguinte comando em um prompt de comandos com privilégios elevados:

   winrm quickconfig -q
   

Para suporte de WMI remoto, se o Firewall do Windows estiver em uso nos nós de cluster, a regra de firewall de entrada para Gerenciamento Remoto do Windows (HTTP-In) deve ser habilitada em cada nó. Por padrão, essa regra está habilitada.

Habilitar o Windows PowerShell e o Windows PowerShell remotamente

Para habilitar o modo de autoatualização e certos recursos do CAU no modo de atualização remota, o PowerShell deve estar instalado e habilitado para executar comandos remotos em todos os nós de cluster. Por padrão, o PowerShell é instalado e habilitado remotamente.

Para habilitar o PowerShell remotamente, use um dos métodos a seguir:

• Execute o cmdlet Enable-PSRemoting .

• Configure uma definição de Política de grupo de nível de domínio para WinRM (Gerenciamento Remoto do Windows).

Para obter mais informações sobre como habilitar o PowerShell remotamente, consulte Sobre requisitos remotos.

Instalar o .NET Framework 4.6 ou 4.5

Para habilitar o modo de autoatualização e certos recursos do CAU no modo de atualização remota, o .NET Framework 4.6 ou o .NET Framework 4.5 (no Windows Server 2012 R2) deve estar instalado em todos os nós do cluster. Por padrão, o NET Framework é instalado.

Para instalar o .NET Framework 4.6 (ou 4.5) usando o PowerShell se ele ainda não estiver instalado, use o seguinte comando:

Install-WindowsFeature -Name NET-Framework-45-Core

Práticas recomendadas para uso da Atualização com Suporte a Cluster

Recomendações para aplicar atualizações da Microsoft

Recomendamos que quando começar a usar o CAU para aplicar atualizações com o plug-in padrão do Microsoft.WindowsUpdatePlugin em um cluster, você pare de usar outros métodos para instalar atualizações de software da Microsoft nos nós de cluster.

Convém seguir estas diretrizes:

• Para melhores resultados, recomendamos desabilitar as configurações nos nós do cluster para atualização automática, por exemplo, por meio das configurações de Atualizações automáticas no Painel de controle, ou nas configurações definidas usando a Política de Grupo.

  Cuidado

  A instalação automática de atualizações nos nós de cluster pode interferir na instalação de atualizações pelo CAU e causar falhas no CAU.

  Se elas forem necessárias, as seguintes Atualizações automáticas são compatíveis com CAU, porque o administrador pode controlar o sincronismo da instalação da atualização:

  • Configurações para notificar antes do download das atualizações e para notificar antes da instalação

  • Configurações para baixar as atualizações automaticamente e notificar antes da instalação

  No entanto, se as Atualizações Automáticas estiverem baixando atualizações ao mesmo tempo em que é executada uma atualização do CAU, a execução da atualização poderá levar mais tempo para ser concluída.

• Não configure um sistema de atualizações, como o WSUS (Windows Server Update Services) para aplicar atualizações automaticamente (em um agendamento de tempo fixo) aos nós do cluster.

• Todos os nós de cluster devem ser configurados uniformemente para usar a mesma fonte de atualização, por exemplo, um servidor WSUS, Windows Update ou Microsoft Update.

• Se você usar um sistema de gerenciamento de configurações para aplicar atualizações de software a computadores na rede, exclua os nós do cluster de todas as atualizações necessárias ou automáticas. Exemplos de sistemas de gerenciamento de configurações incluem o Microsoft Endpoint Configuration Manager e o Microsoft System Center Virtual Machine Manager 2008.

• Se forem usados servidores internos de distribuição de software (por exemplo, servidores WSUS) para conter e implantar as atualizações, verifique se eles são capazes de identificar corretamente as atualizações aprovadas para os nós do cluster.

Aplicar as atualizações da Microsoft em cenários de filiais

Para baixar atualizações da Microsoft do Microsoft Update ou Windows Update para nós de cluster em determinados cenários de filiais, pode ser necessário configurar definições de proxy para a conta de Sistema Local em cada nó. Por exemplo, isso pode ser necessário se os clusters da filial acessarem o Microsoft Update ou o Windows Update para baixar atualizações usando um servidor de proxy local.

Se necessário, configure as definições de proxy WinHTTP em cada nó para especificar um servidor de proxy local e configurar as exceções de endereço local (ou seja, uma lista de bypass para os endereços locais). Para isso, você pode executar o seguinte comando em cada nó de cluster em um prompt de comandos com privilégios elevados:

netsh winhttp set proxy <ProxyServerFQDN >:<port> "<local>"

em que <ProxyServerFQDN> é o nome de domínio totalmente qualificado para o servidor proxy e a <porta> é a porta de comunicação (geralmente a porta 443).

Por exemplo, para configurar as definições de proxy WinHTTP para a conta do Sistema Local especificando o servidor de proxy MyProxy.CONTOSO.com, com exceções de endereço local e da porta 443, digite o seguinte comando:

netsh winhttp set proxy MyProxy.CONTOSO.com:443 "<local>"

Recomendações para usar o Microsoft.HotfixPlugin

• Recomendamos configurar permissões na pasta raiz de hotfix e o arquivo de configuração de hotfix para restringir o acesso de Gravação aos administradores locais somente nos computadores que são usados para armazenar esses arquivos. Isso ajuda a evitar possíveis violações desses arquivos por usuários não autorizados que poderiam comprometer a funcionalidade do cluster de failover quando os hotfixes forem aplicados.

• Para ajudar a garantir a integridade dos dados das conexões SMB (Bloco de Mensagens de Servidor) usados para acessar a pasta raiz de hotfix, você deve configurar a Criptografia SMB na pasta compartilhada SMB, se for possível configurá-la. O Microsoft.HotfixPlugin requer que a assinatura SMB ou Criptografia SMB seja configurada para ajudar a garantir a integridade dos dados para as conexões SMB.

  Para mais informações, consulte Restringir acesso à pasta raiz de hotfix e ao arquivo de configuração de hotfix.

Recomendações adicionais

• Para evitar interferir em uma Execução de atualização CAU que pode estar agendada ao mesmo tempo, não agende alterações de senha para objetos de nome de cluster durante as janelas de manutenção agendadas.

• Você deve definir as permissões apropriadas nos scripts pré-atualização e pós-atualização que são salvos nas pastas compartilhadas de rede para evitar possíveis violações nesses arquivos por usuários não autorizados.

• Para configurar o CAU no modo de autoatualização, um objeto VCO (objeto de computador virtual) para a função clusterizada de CAU deve ser criado no Active Directory. O CAU pode criar esse objeto automaticamente no momento em que a função clusterizada do CAU for adicionada e o cluster de failover tiver permissões suficientes. Entretanto, por causa das políticas de segurança em certas organizações, pode ser necessário pré-configurar o objeto no Active Directory. Para obter um procedimento para isso, consulte Etapas para pré-preparar a conta para uma função em cluster.

• Para salvar e reutilizar as configurações de Executar atualização nos clusters de failover com necessidades de atualização similar na organização de TI, você pode criar Perfis de Execução de Atualização. Além disso, dependendo do modo de atualização, você pode salvar e gerenciar os Perfis de Execução de Atualização em um compartilhamento de arquivo que está acessível a todos os computadores do Coordenador de Atualização remoto ou clusters de failover. Para obter mais informações, consulte Opções avançadas e perfis de execução de atualização da CAU.

Teste de preparação de atualização do cluster

Você pode executar o modelo BPA (Analisador de Práticas Recomendadas) do CAU para testar se um cluster de failover e o ambiente de rede atenderam aos diversos requisitos para que as atualizações de software fossem aplicadas pelo CAU. Vários testes verificam a preparação do ambiente para aplicar as atualizações da Microsoft, usando o plug-in padrão, Microsoft.WindowsUpdatePlugin.

É possível executar o BPA nas duas seguintes maneiras:

1. Selecione Analisar preparação da atualização do cluster no console de CAU. Após o BPA ter concluído seus testes de preparação, é exibido um relatório de testes. Se forem detectados problemas nos nós de cluster, os problemas específicos e os nós nos quais os problemas aparecem são identificados, para que você possa executar a ação corretiva. Os testes podem levar vários minutos para serem concluídos.

2. Execute o cmdlet Test-CauSetup . Você pode executar o cmdlet em um computador local ou remoto no qual o Módulo de clustering de failover para Windows PowerShell (parte das Ferramentas de clustering de failover) está instalado. Também é possível executar o cmdlet em um nó do cluster de failover.

Testes para preparação de atualização do cluster

A tabela a seguir lista os testes de preparação de atualização do cluster, alguns problemas comuns e etapas de resolução.

Referências adicionais

• Visão geral da Atualização com Suporte a Cluster