如何使用 SCCM ConfigMgr 部署软件更新

在本文中，我将解释如何使用 SCCM (ConfigMgr) 部署软件更新。使用本指南将软件更新部署到企业计算机并使用最新更新对其进行修补。

此 SCCM 补丁管理分步指南涵盖了将更新部署到生产计算机所需的所有步骤。为了防止网络攻击和恶意威胁，您必须为计算机安装最新的软件更新。

这些软件更新由主要软件供应商发布，以解决其现有产品中的安全漏洞。通过配置管理器，您还可以部署第三方软件更新，这确实是一个优势。

SCCM 中的软件更新

当谈到部署更新时，SCCM 是最好的工具。您必须了解部署更新是一项复杂的任务。 SCCM 不仅可以轻松部署更新，还可以轻松收集部署报告。

SCCM 中的软件更新提供了一组工具和资源，可以帮助管理跟踪软件更新并将其应用到企业中客户端计算机的复杂任务。

要部署软件更新，您可以使用以下任一方法。

• 自动部署
• 手动部署
• 分阶段部署

使用 SCCM 部署第三方更新

从 SCCM 1806 开始，您可以轻松部署第三方更新。您可以在 Configuration Manager 控制台中添加第三方软件更新目录节点。

您可以订阅第三方目录，将其更新发布到您的软件更新点 (SUP)，然后将其部署到客户端。欲了解更多信息，请阅读这篇文章。

为了总结这篇文章，我们将执行以下操作。

• 安装和配置软件更新点角色
• 创建软件更新组。
• 将更新添加到软件更新组
• 将更新内容分发到分发点
• 将更新组部署到客户端

在配置管理器中下载软件更新

您可以使用多种方法在配置管理器中下载软件更新。最简单的方法是创建自动部署规则 (ADR)，将软件更新下载到站点服务器上的内容库。

下载软件更新的另一种方法是通过手动方法。在此方法中，您从 Configuration Manager 控制台仅选择必要的软件更新并将其下载到站点服务器上的某个位置。

下载软件更新后，它们将被复制到与配置的部署包关联的分发点上的内容库。您可以选择多个分发点并将更新发送到每个 DP。

如果您想在部署软件更新之前下载它们，可以使用下载更新向导。执行此操作将使您能够在将软件更新部署到客户端计算机之前验证软件更新在分发点上是否可用。

使用 SCCM 部署软件更新

使用 SCCM 部署软件更新有三种方法：

• 手动部署：在手动软件更新部署中，在 SCCM 控制台中选择一组软件更新，并将这些更新部署到目标集合。
• 自动部署：自动软件更新部署是使用自动部署规则配置的。此方法用于部署每月软件更新和管理定义更新。
• 分阶段部署：在 SCCM 中，您可以为软件更新创建分阶段部署。分阶段部署允许您根据可自定义的标准和组来协调、有序地部署软件。

企业部署软件更新的最佳方法是自动部署，它是上面列出的方法之一。 ADR 是大多数组织选择的方法，因为它简单实用。当 ADR 规则运行时，满足指定条件的软件更新将添加到软件更新组中。软件更新的内容文件被下载并复制到分发点。

如果您希望使用 SCCM 创建 ADR 并部署软件更新，请查看有关如何在 SCCM 中创建自动部署规则的详细指南。

使用 SCCM 控制台安装软件更新点角色

要安装软件更新点角色：

1. 启动 SCCM 控制台。
2. 单击管理 > 站点配置 > 站点。
3. 在顶部功能区中，单击添加站点系统角色。

从添加站点系统角色向导中，选择软件更新点，然后单击下一步。

对于 WSUS 配置，选择WSUS 配置为使用端口 8530 和 8531 进行客户端通信，然后单击下一步。

选择可以连接到 WSUS 服务器的帐户。单击下一步。

选择从 Microsoft 更新同步，然后单击下一步。

单击按计划启用同步。选择简单计划。您还可以点击在层次结构中的任何网站上同步失败时发出警报。单击下一步。

对于取代行为，选择立即使被取代的软件更新失效。单击下一步。

软件更新分类

当您想要部署更新时，选择分类（更新类型）是重要的一步。根据我的观察，大多数组织仅部署关键更新和安全更新。

但是，如果您需要部署除关键更新和安全更新之外的其他更新，请选择它们。选择重要更新、定义更新和安全更新。请注意，您也可以在安装 SUP 后执行此操作。单击下一步。

选择您要同步的产品，在这一步中我选择了Windows 7、 Forefront 端点 保护 2010。单击下一步。

选择所需的语言，然后单击下一步。

软件更新点角色已安装。单击关闭。

同步软件更新

安装软件更新点角色后，我们必须运行初始软件更新同步。

• 在 SCCM 控制台中，单击软件库 > 概述 > 软件更新。
• 现在单击所有软件更新。在顶部功能区上单击同步软件更新。

要监控软件更新同步，请打开 wsyncmgr.log 和 WCM.log 文件。

下面是wsyncmgr.log文件的截图，我们可以看到WSUS正在同步类别和更新。

同步完成。现在，当您在 CM Console 中单击所有软件更新选项时，即可看到软件更新。

创建软件更新组

在控制台中我们得到了一些更新。部署所有更新取决于您的选择。当您想要针对特定产品进行更新时，您可以这样做。

使用搜索条件，我们可以过滤更新并仅部署重要的更新。最重要的是，您可以选择所有适用于特定产品的内容。

点击添加条件。

选择已过期、产品、已取代、公告 ID。单击添加。

选择产品为Windows 7，公告ID为MS，过期为NO，取代为NO。

当您指定上述条件并单击搜索时，系统会根据您的条件显示更新。

现在选择所有更新（按住 Shift+page Down），右键单击更新，然后单击创建软件更新组。

指定软件更新组名称，例如Windows 7 更新组。单击创建。

部署软件更新向导

当您准备好软件更新组后，继续部署更新。

选择您在上一步中创建的软件更新组。右键单击Windows 7 更新组，然后单击部署。

在部署软件更新向导上，提供部署名称、描述并选择此软件更新的集合部署必须部署。单击下一步。

将部署类型设置为必需，详细级别可以设置为仅成功和错误消息。单击下一步。

如果您选择部署为“可用”，则软件更新将在软件中心提供以供安装。

在此步骤中，您可以安排部署。配置此部署的计划，将时间基于设置为客户端本地时间。

选择软件可用时间为特定时间，并将安装截止日期设置为尽快。单击下一步。

在用户体验页面上，您可以选择禁止服务器或工作站重新启动。单击下一步。

对于部署选项，如果客户端位于速度缓慢或不可靠的网络边界内，则选择从分发点下载软件更新并安装。

如果首选 DP 不提供更新，请选择从后备内容源位置下载并安装软件更新。单击下一步。

通过提供包的名称、位置、源和发送优先级，创建新的部署包。单击下一步。

添加分发点，然后单击下一步。

选择从 Internet 下载软件更新。单击下一步。

选择语言，然后单击下一步。该向导现在将下载更新并根据定义的计划将它们部署到集合中。单击关闭。

几分钟后，我们看到更新已安装在集合中的一台客户端计算机上。

您可以选择立即重新启动来重新启动计算机，也可以选择暂停并在几小时后再次提醒我。