Universität Hamburg - der Forschung, der Lehre, der Bildung, zur Homepage

RRZ

Regionales Rechenzentrum
(RRZ)

Foto: UHH, RRZ/MCC, Mentz

Windows Updates (WSUS)

Das RRZ stellt einen zentralen WSUS (Windows Server Update Services) Dienst für Microsoft Client- und Server-Betriebssysteme zur Verfügung. Über diesen Dienst wird die Freigabe von Patches und Updates für Microsoft-Produkte und -Betriebssysteme gesteuert.

Die Nutzung dieses Dienstes erfordert eine Konfiguration des Clients über eine lokale bzw. AD-Gruppenrichtlinie. Die notwendigen Einstellungen werden im Bereich Konfiguration beschrieben.

Eine Nutzung des WSUS-Dienstes für Windows 11  Arbeitsplätze mittel manueller Konfiguration wird nicht mehr empfohlen. Verwenden Sie bitte stattdessen unverändert die beretis voreingestellte Konfiguration von Microsoft gegen die Updateserver der Microsoft-Cloud.

Für Geräte, die vom RRZ verwaltet werden, gelten die im Bereich Konfiguration empfohlenen Einstellungen automatisch über eine AD-Gruppenrichtlinie.

Der Zugriff auf den WSUS-Dienst des RRZ ist auf die Netze der UHH beschränkt. Geräte, die sich absehbar dauerhaft oder größtenteils außerhalb des Netzes der UHH befinden bzw. befinden werden, sollten keinesfalls für die Nutzung dieses Dienstes konfiguriert werden.

Der WSUS-Dienst des RRZ verwaltet dabei keine Treiber bzw. Treiberupdates, die Hardwarehersteller Microsoft zur Verteilung über das (online) Windows Update zur Verfügung stellen. Aus diesem Grund sollten Sie keinesfalls ein Microsoft Surface Gerät zur Nutzung des WSUS konfigurieren, da sonst keinerlei Firmware-Patches auf dem Gerät installiert werden (können).

Microsoftprodukte im WSUS-Dienst

Derzeit werden für folgende Microsoftprodukte die Patches und Updates gezielt gemäß der gewählten Computergruppen / Zielgruppennamen gesteuert:

  • Microsoft Windows 10 inkl. ESU (extended security updates, nur mit kostenpflichtiger Lizenz)
  • Microsoft Windows 11
  • Microsoft Server (alle Versionen)
  • Microsoft Office (bis einschließlich 2016)

Es wird dabei lediglich die Freigabe der Patches und Updates gesteuert, der Download der eigentlichen Pakete erfolgt direkt über die Microsoft-Server.

Achtung: Alle anderen hier nicht aufgeführten Produkte von Microsoft werden automatisch sofort freigegeben! Installationen von Office 2019 und höher sowie Office365 werden ausschließlich über "ClickToRun" vollautomatisch durch den Client selbst gepatcht, sofern keine alternativen Updatequellen konfiguriert wurden.

Treiber und Treibersätze werden hingegen grundsätzlich nicht bereitgestellt / freigegeben. Aus diesem Grund sollten Sie keinesfalls ein Microsoft Surface (Pro / Book) zur Nutzung des WSUS konfigurieren, da sonst keinerlei Firmware-Patches auf dem Gerät installiert werden (können).

Computergruppen / Zielgruppenname

Die Freigabe erfolgt gestaffelt über Computergruppen ("Zielgruppennamen"). Das RRZ stellt vier Gruppen zur Verfügung, über die in folgender Abstufung die Freigabe von Patches und Updates erfolgt:

  1. Preview: Freigabe der Patches und Updates unverzüglich nach Bereitstellung durch Microsoft
  2. Test und Stage (derzeit keine Unterscheidung mehr): jeweils Mittwoch erfolgt die Freigabe aller Patches und Updates, die Microsoft am Vortag ("Patchdienstag") oder in den zurückliegenden 6 Tagen bereitgestellt hat.
  3. Prod: jeweils Freitags erfolgt die Freigabe aller Patches und Updates für Server, die am Mittwoch in den Gruppen Test und Stage freigegeben wurden.
  4. Prod: jeweils Montags erfolgt die Freigabe aller Patches und Updates für Clients / Endgeräte, die am Mittwoch der Vorwoche in den Gruppen Test und Stage freigegeben wurden.

Da Microsoft Patches und Updates in der Regel immer in der Nacht von Dienstag auf Mittwoch freigibt, ergibt sich üblicherweise folgender Zeitstrahl:

Microsoft => Preview => +1 Tage => Test => +0 Tage => Stage => +2 Tage => Prod (Server) => +3 Tage => Prod (Clients) 

Ein Client in der Gruppe Prod erhält somit erst nach ca. 6 Tagen alle von Microsoft freigegebenen Patches und Updates, so dass genug Zeit zur Verfügung steht, Unverträglichkeiten oder Fehler mit Clients in den davor liegenden Gruppen zu erkennen.

Der Informationssicherheitsbeauftragte der Universität Hamburg kann das RRZ anweisen, die obige Abstufung nicht anzuwenden, sondern für ausgewählte Patches und Updates auf Grund der Dringlichkeit eine sofortige Freigabe erwirken.

Mit Windows 10 und der Einführung von "Windows as a Service" stellt Microsoft die "Feature-Upgrades" für das Betriebssystem (also z.B. von Release 21H2 auf 22H2) als ganz normale Upgrade-Patches bereit. Auch der WSUS-Dienst des RRZ stellt somit diese Upgrades automatisch zur Verfügung. Derzeit sind folgende Upgrades freigegeben:

  • Preview: Windows 11 26H2
  • Test: Windows 11 25H2
  • Stage. Windows 11 25H2
  • Prod: Windows 11 25H2

Achtung: Obige Versionssteuerung gilt ausschließlich für die Windows 11 Enterprise / Education Versionen! Alle "Consumer" Versionen wie Pro / Home werden wegen des verkürzten Servicezeitraums auf nur 18 Monate ("semi annual channel") bereits 2 Monate nach Veröffentlichung freigegeben! Aus dem gleichen Grund werden in der Regel auch die "Frühjahsversionen" der Enterprise / Education Version übersprungen / nicht freigegeben.

Der Wechsel des Windows 11 Release in einer Gruppe gibt das RRZ rechtzeitig vorher an die IT-Verantwortlichen bekannt. Der Wechsel in der Gruppe Prod erfolgt spätestens 6 Monate bevor das derzeit dort freigegebene Release keinen Support mehr von Microsoft erhält.