Требования и рекомендации для кластерного обновления

В этом разделе описываются требования и зависимости, необходимые для применения обновлений с учетом кластера (CAU) для применения обновлений к отказоустойчивом кластеру под управлением Windows Server.

Установка компонента отказоустойчивости кластеров и средств отказоустойчивости кластеров

Для использования CAU необходимо установить компонент отказоустойчивости кластеров и средства отказоустойчивости кластеров. Средства отказоустойчивости кластеров включают в себя средства CAU (clusterawareupdating.dll), командлеты для работы с отказоустойчивыми кластерами и другие компоненты, необходимые для операций CAU. Инструкции по установке компонента отказоустойчивости кластеров см. в записи блога Установка компонента отказоустойчивости кластеров и средств отказоустойчивости кластеров.

Точные требования к установке для средств отказоустойчивой кластеризации зависят от того, координирует ли CAU обновления как кластеризованную роль в отказоустойчивом кластере (с помощью режима самостоятельного обновления) или с удаленного компьютера. Для режима самообновления CAU необходимо дополнительно установить кластерную роль CAU в отказоустойчивом кластере с помощью средств CAU.

В таблице ниже кратко описываются требования для установки компонента CAU в двух режимах обновления CAU.

Получение учетной записи администратора

Для использования компонентов CAU требуются указанные ниже разрешения администратора.

• Чтобы просмотреть или применить действия обновления с помощью пользовательского интерфейса CAU или командлетов обновления с поддержкой кластера, необходимо использовать учетную запись домена с правами и разрешениями локального администратора на всех узлах кластера. Если у учетной записи нет достаточных привилегий на каждом узле, вам будет предложено в окне обновления с поддержкой кластера указать необходимые учетные данные при выполнении этих действий. Чтобы использовать командлеты обновления с поддержкой кластера, можно указать необходимые учетные данные в качестве параметра командлета.

• Если вы используете CAU в режиме удаленного обновления при входе с учетной записью, которая не имеет прав локального администратора и разрешений на узлах кластера, необходимо запустить средства CAU в качестве администратора с помощью учетной записи локального администратора на компьютере координатора обновления или с помощью учетной записи, которая имеет клиент после проверки подлинности права пользователя.

• Чтобы запустить анализатор рекомендаций CAU, необходимо использовать учетную запись с правами администратора на узлах кластера и локальных административных привилегиях на компьютере, который используется для запуска командлета Test-CauSetup или анализа готовности к обновлению кластера с помощью окна обновления с учетом кластера. Дополнительные сведения см. в разделе Проверка готовности к обновлению кластера.

Проверка конфигурации кластера

Ниже приведены общие требования, которые должны выполняться, чтобы отказоустойчивый кластер поддерживал обновление с помощью CAU. Дополнительные требования к конфигурации для удаленного управления на узлах приведены в подразделе Настройка узлов для удаленного управления далее в этом разделе.

• Должно быть доступно достаточное число узлов кластера, чтобы в кластере был кворум.

• Все узлы кластера должны быть в одном домене Active Directory.

• Имя кластера должно разрешаться в сети с помощью DNS.

• Если компонент CAU используется в режиме удаленного обновления, компьютер координатора обновлений должен иметь сетевое соединение с узлами отказоустойчивого кластера и должен относиться к тому же домену Active Directory, что и отказоустойчивый кластер.

• Служба кластеров должна быть запущена во всех узлах кластера. По умолчанию эта служба устанавливается во всех узлах кластера, и для нее настраивается автоматический запуск.

• Чтобы использовать скрипты powerShell перед обновлением или после обновления во время выполнения обновления CAU, убедитесь, что скрипты установлены на всех узлах кластера или доступны всем узлам, например в общей сетевой папке с высоким уровнем доступности. Если сценарии сохранены в сетевой папке, настройте для нее разрешение на чтение для группы "Все".

Настройка узлов для удаленного управления

Чтобы использовать обновление с поддержкой кластера, все узлы кластера должны быть настроены для удаленного управления. По умолчанию единственной задачей, которую необходимо выполнить для настройки узлов для удаленного управления, является включение правила брандмауэра для разрешения автоматического перезапуска.

В следующей таблице перечислены полные требования к удаленному управлению, если среда не соответствует значениям по умолчанию.

Эти требования дополняют требования раздела Установка компонента отказоустойчивости кластеров и средств отказоустойчивости кластеров , а также общие требования для использования кластеризации, которые описаны в предыдущих подразделах этого раздела.

Включение правила брандмауэра для обеспечения автоматического перезапуска

Если в узлах кластера используется брандмауэр Windows или сторонний брандмауэр, то, чтобы разрешить автоматический перезапуск после применения обновлений (если это необходимо), в каждом узле необходимо включить правило брандмауэра, разрешающее следующий трафик:

• Протокол: TCP

• Направление: входящий

• Программа: wininit.exe

• Порты: динамические RPC-порты

• Профиль: домен

Если в узлах кластера используется брандмауэр Windows, сделать это можно путем включения группы правил брандмауэра Windows Удаленное завершение работы в каждом узле кластера. При использовании окна обновления с поддержкой кластера для применения обновлений и настройки параметров самостоятельного обновления группа правил брандмауэра Windows удаленного завершения работы автоматически включается на каждом узле кластера.

Группа правил брандмауэра удаленного завершения также включена, указав параметр -EnableFirewallRules при выполнении следующих командлетов CAU: Add-CauClusterRole, Invoke-CauRun и SetCauClusterRole.

В следующем примере PowerShell показан дополнительный метод для включения автоматического перезапуска на узле кластера.

Set-NetFirewallRule -Group "@firewallapi.dll,-36751" -Profile Domain -Enabled true

Включение инструментария управления Windows (WMI)

Для всех узлов кластера должно быть настроено удаленное управление с помощью инструментария управления Windows (WMI). Эта функция включена по умолчанию.

Чтобы включить удаленное управление вручную, выполните указанные ниже действия.

1. В консоли "Службы" запустите службу Удаленное управление Windows и задайте для нее тип запуска Автоматически.

2. Выполните командлет Set-WSManQuickConfig или следующую команду из командной строки с повышенными привилегиями.

   winrm quickconfig -q
   

Если в узлах кластера используется брандмауэр Windows, то для поддержки удаленного взаимодействия WMI в каждом узле необходимо включить правило брандмауэра Удаленное управление Windows (HTTP) . По умолчанию это правило включено.

Включение Windows PowerShell и удаленного взаимодействия Windows PowerShell

Чтобы включить режим самостоятельного обновления и некоторые функции CAU в удаленном режиме обновления, PowerShell необходимо установить и включить для запуска удаленных команд на всех узлах кластера. По умолчанию PowerShell устанавливается и включена для удаленного взаимодействия.

Чтобы включить удаленное взаимодействие PowerShell, используйте один из следующих методов:

• Выполните командлет Enable-PSRemoting .

• Настройте параметр групповой политики на уровне домена для удаленного управления Windows (WinRM).

Дополнительные сведения о включении удаленного взаимодействия PowerShell см. в разделе "Сведения о удаленных требованиях".

Установка платформа .NET Framework 4.6 или 4.5

Чтобы включить режим самостоятельного обновления и некоторые функции CAU в удаленном режиме обновления, платформа .NET Framework 4.6 или платформа .NET Framework 4.5 (в Windows Server 2012 R2) должны быть установлены на всех узлах кластера. По умолчанию платформа NET Framework устанавливается.

Чтобы установить платформа .NET Framework 4.6 (или 4.5) с помощью PowerShell, если он еще не установлен, используйте следующую команду:

Install-WindowsFeature -Name NET-Framework-45-Core

Рекомендации по использованию обновления с учетом кластеров

Рекомендации по применению обновлений Майкрософт

Перед началом использования CAU для применения обновлений с помощью подключаемого модуля по умолчанию Microsoft.WindowsUpdatePlugin в кластере рекомендуется остановить все остальные методы установки обновлений программ в узлах кластера.

Рекомендуется придерживаться следующего плана действий.

• Для получения оптимальных результатов рекомендуется отключить параметры автоматического обновления в узлах кластера, например параметры автоматического обновления на панели управления или параметры, настроенные с помощью групповой политики.

  Внимание

  Автоматическая установка обновлений в узлах кластера может помешать установке обновлений с помощью CAU и привести к сбоям CAU.

  При необходимости можно использовать следующие параметры автоматического обновления, которые совместимы с CAU, так как администратор может управлять временем установки обновлений:

  • параметры, в соответствии с которыми перед загрузкой и установкой обновлений выводятся уведомления;

  • параметры, в соответствии с которыми обновления загружаются автоматически, но перед их установкой выводятся уведомления.

  Однако, если служба автоматического обновления загружает обновления одновременно с прогоном обновления CAU, на выполнение прогона может потребоваться больше времени.

• Не настраивайте систему обновления, такую как службы Windows Server Update Services (WSUS), для автоматического применения обновлений (по расписанию в заданное время) на узлах кластера.

• Во всех узлах кластера должно быть настроено использование одного и того же источника обновлений, например сервера служб WSUS, Центра обновления Windows или Центра обновления Майкрософт.

• При использовании системы управления конфигурацией для обновления программного обеспечения на компьютерах в сети отмените все обязательные и автоматические обновления для узлов кластера. Примерами систем управления конфигурацией являются Microsoft Endpoint Configuration Manager и Microsoft System Center диспетчер виртуальных машин 2008.

• Если для хранения и развертывания обновлений используются внутренние серверы распространения программного обеспечения (например, серверы WSUS), убедитесь, что эти серверы правильно определяют утвержденные обновления для узлов кластера.

Применение обновлений Майкрософт в филиалах

Для загрузки обновлений Майкрософт из Центра обновления Майкрософт или Центра обновления Windows на узлы кластера в филиале в некоторых случаях может потребоваться настроить параметры прокси-сервера для учетной записи Local System в каждом узле. Например, это может быть необходимо сделать в случае, если кластеры в филиалах получают доступ к Центру обновления Майкрософт или Центру обновления Windows для загрузки обновлений через локальный прокси-сервер.

При необходимости настройте параметры прокси-сервера WinHTTP в каждом узле, указав локальный прокси-сервер и исключения локальных адресов (то есть список локальных адресов, не требующих прокси-сервера). Для этого можно выполнить следующую команду в каждом узле кластера из командной строки с повышенными привилегиями.

netsh winhttp set proxy <ProxyServerFQDN >:<port> "<local>"

Где <ProxyServerFQDN> — это полное доменное имя прокси-сервера и< порт— порт>, через который следует взаимодействовать (обычно порт 443).

Например, чтобы настроить параметры прокси-сервера WinHTTP для учетной записи локальной системы, указав прокси-сервер MyProxy.CONTOSO.com, с исключениями портов 443 и локальных адресов введите следующую команду:

netsh winhttp set proxy MyProxy.CONTOSO.com:443 "<local>"

Рекомендации по использованию подключаемого модуля Microsoft.HotfixPlugin

• Мы рекомендуем настроить разрешения для корневой папки исправлений и файла конфигурации исправлений, предоставив доступ для записи только локальным администраторам компьютеров, на которых хранятся эти файлы. Это поможет предотвратить несанкционированный доступ к этим файлам, который может нарушить функционирование отказоустойчивого кластера при применении исправлений.

• Чтобы обеспечить целостность данных для подключения SMB, используемых для доступа к корневой папке исправлений, в общей папке SMB следует настроить шифрование SMB, если это возможно. Подключаемый модуль Microsoft.HotfixPlugin требует настройки подписания SMB или шифрования SMB для обеспечения целостности данных, передаваемых через подключения SMB.

  Дополнительные сведения см. в разделе "Ограничение доступа к корневой папке исправлений" и файлу конфигурации исправлений.

Дополнительные рекомендации

• Чтобы не помешать выполнению пробега обновления CAU, который может быть запланирован на то же время, не планируйте изменение паролей для объектов имен кластеров и виртуальных объектов-компьютеров на периоды запланированного обслуживания.

• Следует задать соответствующие разрешения для сценариев, выполняемых перед обновлением или после обновления, которые сохранены в сетевых общих папках, чтобы предотвратить возможный несанкционированный доступ к этим файлам.

• Чтобы настроить CAU в режиме самообновления, необходимо создать в Active Directory виртуальный объект-компьютер для кластерной роли CAU. Компонент CAU может создать этот объект автоматически при добавлении кластерной роли CAU, если у отказоустойчивого кластера достаточно разрешений. Однако из-за политик безопасности в некоторых организациях может быть необходимо предварительно подготовить этот объект в Active Directory. Описание этой процедуры см. в разделе Действия по предварительной настройке учетной записи для кластерной роли.

• Чтобы сохранить параметры прогона обновления, а затем использовать их повторно применительно к отказоустойчивым кластерам с аналогичными потребностями в обновлении, можно создать профили прогона обновления. Кроме того, в зависимости от режима обновления можно сохранить профили прогона обновления и управлять ими в общей папке, доступной всем удаленным компьютерам координатора обновлений или отказоустойчивым кластерам. Дополнительные сведения см. в разделе "Дополнительные параметры" и " Обновление профилей выполнения" для CAU.

Проверка готовности к обновлению кластера

Модель анализатора рекомендаций CAU (BPA) можно запустить, чтобы проверить, соответствует ли отказоустойчивый кластер и сетевая среда требованиям, которые должны применяться к CAU. Многие из тестов проверяют среду на готовность к применению обновлений Майкрософт с помощью подключаемого модуля по умолчанию Microsoft.WindowsUpdatePlugin.

Анализатор соответствия рекомендациям можно запустить двумя способами.

1. В консоли CAU выберите Проанализировать готовность кластера к обновлению . После завершения тестов готовности BPA появится тестовый отчет. В нем можно просмотреть информацию о выявленных неполадках и соответствующих узлах, чтобы принять меры по устранению этих неполадок. Выполнение тестов может занять несколько минут.

2. Выполните командлет Test-CauSetup . Командлет можно запустить на локальном или удаленном компьютере, на котором установлен модуль отказоустойчивой кластеризации для Windows PowerShell (часть средств отказоустойчивой кластеризации). Его также можно выполнить в узле отказоустойчивого кластера.

Тесты готовности к обновлению кластера

В таблице ниже перечислены тесты готовности к обновлению кластера, некоторые распространенные проблемы и действия по их устранению.

Дополнительные справочники

• Общие сведения об обновлении с учетом кластеров