Planear atualizações de software no Configuration Manager

O número de clientes suportados depende da versão do Windows Server Update Services (WSUS) que é executada no ponto de atualização de software, além de depender também da possibilidade de o sistema de sites do ponto de atualização de software coexistir com uma outra função do sistema de sites.

• O ponto de atualização de software consegue suportar até 25.000 clientes1 quando o WSUS 3.0 Service Pack 2 (SP2) é executado no computador do ponto de atualização de software e o ponto de atualização de software coexiste com uma outra função do sistema de sites.

• O ponto de atualização de software consegue suportar até 100.000 clientes2 quando o WSUS 3.0 SP2 é executado no computador do ponto de atualização de software e o ponto de atualização de software não coexiste com uma outra função do sistema de sites.

1para suportar mais de 25.000 clientes, o ponto de atualização de software pode ser configurado para utilizar o Balanceamento de Carga na Rede (NLB).

2para suportar até 100.000 clientes, o ponto de atualização de software deve satisfazer o WSUS. Para mais informações, consulte Determinar Necessidades de Capacidade do WSUS.

Utilize as seguintes informações de capacidade para planear os objetos de atualizações de software.

• Limite de 1000 atualizações de software numa implementação

  Tem de limitar o número de atualizações de software a 1000 para cada implementação de atualização de software. Quando cria uma regra de implementação automática, especifique um critério que limita o número de atualizações de software que são devolvidas. A regra de implementação automática falha quando os critérios que especificar devolverem mais de 1000 atualizações de software. Pode verificar o estado da regra de implementação automática no nó Regras de Implementação Automática na consola do Gestor de configuração. Ao implementar manualmente atualizações de software, não selecione mais de 1000 atualizações para implementar.

Importante
As informações nesta secção aplicam-se apenas ao Gestor de configuração SP1 e ao System Center 2012 R2 Configuration Manager.

A partir do Gestor de configuração SP1, é possível adicionar vários pontos de atualização de software num site principal do Gestor de configuração. A capacidade para ter vários pontos de atualização de software num site fornece tolerância a falhas, sem requerer a complexidade do NLB. No entanto, a ativação pós-falha que recebe com vários pontos de atualização de software não é tão sólida quanto o NLB para o balanceamento de carga puro sendo, ao invés disso, concebida para a tolerância a falhas. Além disso, a conceção de ativação pós-falha do ponto de atualização de software é diferente do modelo de aleatoriedade puro que é utilizado na conceção para pontos de gestão. Ao contrário do que sucede na conceção de pontos de gestão, nos pontos de atualização de software existem custos de desempenho para o cliente e para a rede que estão associados a uma mudança para um novo ponto de atualização de software. Quando o cliente muda para um novo servidor WSUS para analisar a existência de atualizações de software, o resultado é um aumento do tamanho do catálogo e exigências associadas do lado do cliente e a nível do desempenho da rede. Por conseguinte, o cliente preserva a afinidade com o último ponto de atualização de software para o qual foi analisado com êxito.

O primeiro ponto de atualização de software que instalar num site principal é a origem de sincronização para todos os pontos de atualização de software adicionais que adicionar no site primário. Depois de adicionar os seus pontos de atualização de software e iniciar a sincronização das atualizações de software, pode ver o estado dos pontos de atualização de software e da origem de sincronização no nó Estado de Sincronização do Ponto de Atualização de Software da área de trabalho Monitorização.

Quando um ponto de atualização de software falha e esse ponto de atualização de software está configurado como a origem de sincronização para os outros pontos de atualização de software no site, terá de remover manualmente o ponto de atualização de software em falha e selecionar um novo ponto de atualização de software para utilizar como a origem de sincronização. Para mais informações sobre como remover um ponto de atualização de software, consulte a secção Remover a função de sistema de sites de ponto de atualização de software no tópico Configurar Atualizações de Software no Configuration Manager.

Importante
As informações deste tópico aplicam-se exclusivamente ao Gestor de configuração sem service packs.

Utilize as secções seguintes para determinar a infraestrutura de ponto de atualização de software do Gestor de configuração sem pacote de serviço.

A função de sistema de sites de ponto de atualização de software tem de ser instalada num sistema de sites que cumpra os requisitos mínimos do WSUS e as configurações suportadas dos sistemas de sites do Gestor de configuração.

1. Para mais informações sobre os requisitos mínimos do WSUS 3.0 SP2, consulte Confirmar os requisitos de instalação do WSUS 3.0 SP2 na biblioteca de documentação do Windows Server Update Services 3.0 SP2.

2. Para mais informações sobre os requisitos mínimos da função de servidor do WSUS no Windows Server 2012, consulte o Passo 1: Preparar a sua Implementação do WSUS na biblioteca de documentação do Windows Server 2012.

3. Para mais informações sobre as configurações suportadas para sistemas de sites do Gestor de configuração, consulte a secção no tópico .No text is shown for link 'c1e93ef9-761f-4f60-8372-df9bf5009be0'. The title of the linked topic might be empty.c1e93ef9-761f-4f60-8372-df9bf5009be0#BKMK_SupConfigSiteSystemReq

As atualizações de software necessitam que esteja instalada uma versão suportada do WSUS em todos os servidores de sistemas de sites que estejam configurados para a função de sistema de sites de ponto de atualização de software. Além disso, se não instalar o ponto de atualização de software no servidor do site, necessitará de instalar a Consola de Administração do WSUS no computador do servidor do site, caso ainda não esteja instalada. Tal permitirá ao servidor do site comunicar com o WSUS que está a ser executado no ponto de atualização de software.

Se utilizar o WSUS no Windows Server 2012, necessitará de configurar permissões adicionais para permitir que o WSUS Configuration Manager do Gestor de configuração estabeleça a ligação ao WSUS para efetuar as verificações periódicas de integridade. Escolha uma das seguintes opções para configurar as permissões:

• Adicionar a conta SYSTEM ao grupo Administradores WSUS

• Adicionar a conta NT AUTHORITY\SYSTEM como utilizador da base de dados WSUS (SUSDB) e configurar uma associação mínima à função de base de dados webService

Para mais informações sobre como instalar o WSUS 3.0 SP2, consulte Instalar o Servidor WSUS ou a Consola de Administração na biblioteca de documentação do Windows Server Update Services 3.0 SP2.

Para mais informações sobre como instalar o WSUS no Windows Server 2012, consulte Instalar a Função de Servidor WSUS na biblioteca de documentação do Windows Server 2012.

Para o System Center 2012 Configuration Manager SP1 e posterior:

Se instalar mais do que um ponto de atualização de software num site primário, utilize a mesma base de dados do WSUS para cada ponto de atualização de software localizado na mesma floresta do Active Directory. A partilha da mesma base de dados reduzirá significativamente, embora não elimine completamente o impacto ao nível do cliente e do desempenho de rede que poderá ocorrer quando os clientes mudarem para um novo ponto de atualização de software. A análise de diferenças continuará a ser executada quando um cliente mudar para um novo ponto de atualização de software que partilhe uma base de dados com o ponto de atualização de software antigo, embora a análise seja muito mais rápida do que seria se o WSUS tivesse uma base de dados própria.

As atualizações de software num site de administração central do Gestor de configuração comunicam com o WSUS que é executado no ponto de atualização de software que, por sua vez, comunica com a origem da sincronização para sincronizar metadados de atualizações de software. Os pontos de atualização de software num site subordinado comunicam com o ponto de atualização de software no site principal. Quando existe um ponto de atualização de software remoto ativo baseado na Internet num Gestor de configuração sem nenhum Service Pack, o servidor de sites terá de comunicar com o ponto de atualização de software ativo do site, de modo a que a sincronização seja concluída com êxito. A partir do Gestor de configuração SP1, quando existe mais do que um ponto de atualização de software num site primário, os pontos adicionais de atualização de software têm de comunicar com o primeiro ponto de atualização de software que está instalado no site e que é o ponto de atualização de software predefinido.

A firewall poderá ter de ser configurada para aceitar as portas HTTP ou HTTPS que são utilizadas pelo WSUS nos seguintes cenários: quando possui uma firewall empresarial entre o ponto de atualização de software do Gestor de configuração e a Internet; quando possui um ponto de atualização de software e a respetiva origem de sincronização a montante; quando possui um ponto de atualização de software ativo baseado na Internet e o ponto de atualização de software para o Gestor de configuração sem site do service pack ou quando possui os pontos adicionais de atualização de software e o ponto de atualização de software predefinido num site do Gestor de configuração SP1. A ligação ao Microsoft Update é sempre configurada para utilizar a porta 80 para HTTP e a porta 443 para HTTPS. Pode utilizar uma porta personalizada para a ligação do WSUS que é executado no ponto de atualização de software num site subordinado ao WSUS que é executado no ponto de atualização de software no site principal. Durante a sincronização de atualizações de software, o WSUS que é executado no ponto de atualização de software baseado na Internet liga-se sempre ao WSUS que é executado no ponto de atualização de software ativo utilizando HTTPS. Quando a política de segurança não permite uma ligação HTTPS, terá de utilizar o método de sincronização de exportação e importação. Para obter mais informações, consulte a secção Origem de Sincronização neste tópico. Para mais informações sobre as portas que são utilizadas pelo WSUS, consulte Como determinar as definições de porta utilizadas pelo WSUS.

As definições da origem de sincronização para o ponto de atualização de software especificam a localização sobre onde o ponto de atualização de software obtém metadados de atualizações de software e se os eventos de relatório WSUS são criados durante o processo de sincronização.

• Origem de sincronização: Por predefinição, o ponto de atualização de software no site de nível superior configura a origem de sincronização para o Microsoft Update. A partir do Gestor de configuração SP1, poderá optar por sincronizar o site de nível superior com um servidor WSUS existente. O ponto de atualização de software num site subordinado principal configura a origem de sincronização bem como o ponto de atualização de software no site de administração central por predefinição.

  Nota

  Quando tiver um ponto de atualização de software remoto baseado na Internet, o servidor de atualização a montante é o ponto de atualização de software para o mesmo site.

  Nota

  A partir do Gestor de configuração SP1, o primeiro ponto de atualização de software que instalar num site primário, que é o ponto de atualização de software predefinido, sincroniza-se com o site de administração central. Os pontos de atualização de software adicionais no site primário sincronizam-se com o ponto de atualização de software predefinido no site primário.

  Quando um ponto de atualização de software é desligado do Microsoft Update ou do servidor de atualização a montante, pode configurar a origem de sincronização para não se sincronizar com uma origem de sincronização configurada mas, ao invés, utilizar a função de exportação e importação da ferramenta WSUSUtil para sincronizar as atualizações de software. Para obter mais informações, consulte a secção Sincronizar Atualizações de Software a Partir de um Ponto de Atualização de Software Desligado do tópico Configurar Atualizações de Software no Configuration Manager.

• Eventos de relatório WSUS: O Windows Update Agent nos computadores cliente pode criar mensagens de eventos que são utilizadas para os relatórios do WSUS. Estes eventos não são utilizados por atualização de software no Gestor de configuração e, por conseguinte, a opção Não criar eventos de relatório WSUS está selecionada por predefinição. Quando estes eventos não são criados, o único momento em que o computador cliente se deve ligar ao servidor WSUS é durante a avaliação de atualização de software e análises de compatibilidade. Se estes eventos forem necessários para relatórios fora das atualizações de software no Gestor de configuração, terá de modificar esta definição para criar eventos de relatório WSUS.

Só pode configurar a agenda de sincronização no ponto de atualização de software no site de nível superior na hierarquia do Gestor de configuração. Quando configura a agenda de sincronização, o ponto de atualização de software sincroniza-se com a origem de sincronização à data e à hora que especificar. A agenda personalizada permite-lhe sincronizar atualizações de software a uma data e hora em que os pedidos do servidor WSUS, servidor de sites e rede são baixos, como às 2:00 da manhã uma vez por semana. Como alternativa, pode iniciar a sincronização no site de nível superior utilizando a ação Atualizações de Software por Sincronização a partir do nó Todas as Atualizações de Software ou Grupos de Atualizações de Software na consola do Gestor de configuração.

Sugestão

Agende a sincronização de atualizações de software para ser executada num período de tempo que seja adequado ao seu ambiente. Um cenário típico é a definição da agenda de sincronização de atualizações de software para iniciar a execução poucos instantes após a edição de atualização de segurança regular da Microsoft, na segunda terça-feira de cada mês, vulgarmente designada Patch de Terça-feira. Outro cenário típico possível consiste em definir a agenda de sincronização de atualizações de software para ser executada diariamente, caso sejam utilizadas atualizações de software para a entrega de atualizações de definições e de motor do Endpoint Protection.

Depois de o ponto de atualização de software concluir a sincronização com êxito, é enviado um pedido de sincronização aos sites subordinados. A partir do Gestor de configuração SP1, se tiver pontos adicionais de atualização de software num site principal, um pedido de sincronização é enviado a cada ponto de atualização de software. No Gestor de configuração sem Service Pack, um pedido de sincronização é enviado ao ponto de atualização de software ativo baseado na Internet, no caso de estar instalado. O processo é repetido em todos os sites na hierarquia.

Cada atualização de software é definida com uma classificação de atualização que ajuda a organizar os diferentes tipos de atualizações. Durante o processo de sincronização, serão sincronizados os metadados de atualizações de software para as classificações especificadas. O Gestor de configuração permite-lhe sincronizar atualizações de software com as seguintes classificações de atualização:

• Atualizações Críticas: Especifica uma atualização amplamente lançada para um problema específico que corrige um erro crítico não relacionado com segurança.

• Atualização de Definições: Especifica uma atualização para o vírus ou outros ficheiros de definição.

• Pacotes de Funcionalidades: Especifica as novas funcionalidades do produto que são distribuídas fora de uma versão e funcionalidade do produto e que normalmente estão incluídas na próxima versão completa do produto.

• Atualizações de Segurança: Especifica uma atualização amplamente lançada para um problema específico do produto e relacionado com a segurança.

• Service Packs: Especifica um conjunto cumulativo de correções que são aplicadas a uma aplicação. Estas correções podem incluir atualizações de segurança, atualizações críticas, atualizações de software e assim sucessivamente.

• Ferramentas: Especifica um utilitário ou funcionalidade que ajuda a efetuar uma ou mais tarefas.

• Rollups de Atualizações: Especifica um conjunto cumulativo de correções que são agrupadas para facilitar a implementação. Estas correções podem incluir atualizações de segurança, atualizações críticas, atualizações e assim sucessivamente. Um rollup de atualizações resolve geralmente uma área específica, tal como segurança ou um componente de produto.

• Atualizações: Especifica uma atualização para uma aplicação ou um ficheiro que está atualmente instalado.

As definições de classificação de atualização são configuradas apenas no site de nível superior. As definições de classificação de atualização não são configuradas no ponto de atualização de software em sites subordinados porque os metadados de atualizações de software são replicados desde o site de nível superior até sites subordinados principais. Quando selecionar as classificações de atualização, tenha em atenção que quanto mais classificações selecionar, mais tempo demorará para sincronizar os metadados de atualizações de software.

Aviso
Como procedimento recomendado, desmarque todas as classificações antes de sincronizar as atualizações de software pela primeira vez. Após a sincronização inicial, selecione as classificações nas propriedades do Componente de Ponto de Atualização de Software e, em seguida, reinicie o processo de sincronização.

Os metadados para cada atualização de software definem um ou mais produtos para os quais a atualização é aplicável. Um produto é uma edição específica de um sistema operativo ou aplicação. Um exemplo de um produto é o Microsoft Windows Server 2008. Uma família de produtos é o sistema operativo base ou a aplicação a partir da qual derivam os produtos individuais. Um exemplo de uma família de produtos é o Microsoft Windows, do qual o Microsoft Windows Server 2008 é um membro. Pode especificar uma família de produtos ou produtos individuais dentro de uma família de produtos.

Quando as atualizações de software se aplicam a vários produtos e pelo menos um dos produtos é selecionado para sincronização, todos os produtos aparecerão na consola do Gestor de configuração, mesmo se alguns produtos não foram selecionados. Por exemplo, se o Windows Server 2008 for o único sistema operativo que subscreveu, e se uma atualização de software se aplicar ao Windows Server 2008 e ao Windows Server 2008 Datacenter Edition, ambos os produtos estarão na base de dados do site.

As definições do produto são configuradas apenas no site de nível superior. As definições do produto não são configuradas no ponto de atualização de software para sites subordinados porque os metadados de atualizações de software são replicados desde o site de nível superior até sites subordinados principais. Quando selecionar produtos, tenha em atenção que quantos mais produtos selecionar, mais tempo demorará a sincronizar os metadados de atualizações de software.

Importante

O Gestor de configuração armazena uma lista de produtos e famílias de produtos a partir das quais pode escolher quando instalar pela primeira vez o ponto de atualização de software. Os produtos e famílias de produtos que são lançados depois de o Gestor de configuração ser lançado poderão não estar disponíveis para seleção até concluir a sincronização das atualizações de software, que atualiza a lista de produtos e famílias de produtos disponíveis a partir dos quais pode escolher. Como procedimento recomendado, desmarque todos os produtos antes de sincronizar as atualizações de software pela primeira vez. Após a sincronização inicial, selecione os produtos nas propriedades do Componente de Ponto de Atualização de Software e, em seguida, reinicie o processo de sincronização.

Normalmente, uma atualização de software que substitui outra atualização de software executa uma ou mais das seguintes ações:

• Melhora ou atualiza a correção que foi fornecida por uma ou mais atualizações publicadas anteriormente.

• Melhora a eficiência do pacote de ficheiros de atualização substituído, que é instalado em computadores cliente se a atualização for aprovada para instalação. Por exemplo, a atualização substituída poderá conter ficheiros que já não sejam relevantes para a correção ou para os sistemas operativos que são suportados pela nova atualização, por isso esses ficheiros não estão incluídos no pacote de ficheiros de atualização de substituição.

• Atualiza as versões mais recentes de um produto. Por outras palavras, atualiza versões que já não são aplicáveis a versões ou configurações antigas de um produto. As atualizações também podem substituir outras atualizações se tiverem sido efetuadas modificações para expandir o suporte de idiomas. Por exemplo, uma versão mais recente de uma atualização de produto do Microsoft Office poderá remover o suporte de um sistema operativo antigo, mas poderá acrescentar suporte adicional para novos idiomas na versão de atualização inicial.

Nas propriedades do ponto de atualização de software, é possível especificar que as atualizações de software substituídas expiram de imediato, o que evita que sejam incluídas nas novas implementações e sinaliza as implementações existentes para indicar que contêm uma ou mais atualizações de software expiradas. Em alternativa, pode especificar um prazo para que as atualizações de software substituídas expirem, permitindo-lhe continuar a implementá-las. Considere os seguintes cenários em que poderá ser necessário implementar uma atualização de software substituída:

• Se a atualização de software de substituição suportar apenas as versões mais recentes de um sistema operativo e alguns dos computadores cliente tiverem versões anteriores do sistema operativo.

• Se uma atualização de software de substituição tiver uma aplicabilidade mais restrita do que a atualização de software que substitui. Esta condição torná-la-ia inadequada para alguns computadores cliente.

• Se não tiver sido aprovada uma atualização de software de substituição para implementação no ambiente de produção.

As definições de idioma do ponto de atualização de software permitem configurar os idiomas para os quais os detalhes de resumo (metadados de atualizações de software) estão sincronizados para atualizações de software, e os ficheiros de idioma de atualização de software que serão transferidos para as atualizações de software.

Depois de instalar o ponto de atualização de software, o agente de cliente de atualizações de software está ativado por predefinição e não é necessário configurar definições de cliente específicas, mas deve rever as definições para assegurar que os valores predefinidos satisfazem as suas necessidades. As atualizações de software são configuradas nas definições de cliente NAP nas Definições de Cliente da área de trabalho Administração. Para mais informações sobre como configurar as definições associadas a atualizações de software, consulte a secção Definições de cliente para atualizações de software no tópico Configurar Atualizações de Software no Configuration Manager.

Importante
A definição Ativar atualizações de software em clientes está ativada por predefinição. Se desmarcar esta definição, o Gestor de configuração removerá as políticas de implementação existentes do cliente. Além disso, as políticas das definições NAP e de compatibilidade que dependem da definição do dispositivo de atualizações de software deixarão de funcionar.

Existem definições de Política de Grupo que são utilizadas pelo Windows Update Agent (WUA) em computadores cliente para estabelecer ligação ao WSUS que é executado no ponto de atualizações de software ativo, analisar com sucesso a compatibilidade das atualizações de software e atualizar automaticamente as atualizações de software e o WUA.

Aviso

Se tiver um objeto de Política de Grupo do Active Directory atribuído a clientes que especifique um servidor WSUS que não seja um ponto de atualização de software do Gestor de configuração, esse objeto substituirá a definição de Política de Grupo configurada pelo Gestor de configuração. Para poder avaliar a compatibilidade de atualizações de software e gerir implementações de atualização de software nestes clientes, é necessário reconfigurar a definição de Política de Grupo do Active Directory ou mover os computadores cliente para uma unidade organizacional (UO) que não tenha esta definição de Política de Grupo aplicada.

Para mais informações sobre como configurar as definições associadas a atualizações de software, consulte a secção Definições de política de grupo para atualizações de software no tópico Configurar Atualizações de Software no Configuration Manager.

O cliente do Gestor de configuração transfere o conteúdo das atualizações de software necessárias para a cache do cliente local logo após ter recebido a implementação. No entanto, o cliente transfere o conteúdo apenas depois de decorrido o Tempo disponível do software definido para a implementação. O cliente não transfere atualizações de software em implementações opcionais (implementações que não têm um prazo de instalação agendado) até que o utilizador inicie manualmente a instalação. Quando o prazo configurado expirar, o agente de cliente de atualizações de software executará uma análise para verificar se a atualização de software ainda é necessária, depois analisará a cache local do computador cliente para verificar se o ficheiro de origem da atualização de software ainda está disponível e, em seguida, instalará a atualização de software. Se o conteúdo tiver sido eliminado da cache do cliente para criar espaço para outra implementação, o cliente transfere as atualizações de software para a cache. As atualizações de software são sempre transferidas para a cache do cliente, independentemente do tamanho máximo de cache configurado no cliente. Para outras implementações, tais como aplicações ou pacotes, o cliente transfere apenas conteúdo que respeite o tamanho máximo da cache que configurou para o cliente. O conteúdo em cache não é eliminado automaticamente. Permanece na cache durante, pelo menos, um dia após o cliente ter utilizado esse conteúdo.