Planejando atualizações de software no Configuration Manager

O número de clientes com suporte depende da versão do WSUS (Windows Server Update Services) executada no ponto de atualização de software e também depende de o sistema de site do ponto de atualização de software coexistir ou não com outra função do sistema de site.

• O ponto de atualização de software pode oferecer suporte para até 25.000 clientes1 quando o WSUS 3.0 Service Pack 2 (SP2) é executado no computador do ponto de atualização de software e o ponto de atualização de software coexiste com outra função do sistema de site.

• O ponto de atualização de software pode oferecer suporte para até 100.000 clientes2 quando o WSUS 3.0 SP2 é executado no computador do ponto de atualização de software e o ponto de atualização de software não coexiste com outra função do sistema de site.

1Para oferecer suporte a mais de 25.000 clientes, o ponto de atualização de software pode ser configurado para usar o NLB (Balanceamento de Carga de Rede).

2Para oferecer suporte a mais de 100.000 clientes, o ponto de atualização de software deve atender ao WSUS. Para obter mais informações, consulte Determine WSUS Capacity Requirements (Determinar os requisitos de capacidade do WSUS).

Use as seguintes informações de capacidade para planejar objetos de atualizações de software.

• Limite de 1000 atualizações de software em uma implantação

  É necessário limitar o número de atualizações de software a 1000 para cada implantação de atualização de software. Ao criar uma regra de implantação automática, especifique os critérios que limitam o número de atualizações de software que serão retornadas. A regra de implantação automática falha quando os critérios que você especifica retornam mais de 1000 atualizações de software. Você pode verificar o status da regra de implantação automática no nó Regras de Implantação Automática no console do Gerenciador de Configurações. Ao implantar atualizações de software manualmente, não selecione mais de 1.000 atualizações para implantar.

Importante
As informações nesta seção aplicam-se somente ao Gerenciador de Configurações SP1 e ao System Center 2012 R2 Configuration Manager.

Começando com o Gerenciador de Configurações SP1, você pode adicionar vários pontos de atualização de software em um site primário do Gerenciador de Configurações. A capacidade de ter vários pontos de atualização de software em um site fornece tolerância a falhas sem exigir a complexidade do NLB. No entanto, o failover que você recebe com vários pontos de atualização de software não é tão robusto quanto o NLB para balanceamento de carga puro, mas foi projetado para tolerância a falhas. Além disso, o design de failover do ponto de atualização de software é diferente do modelo aleatório puro de usado no design de pontos de gerenciamento. Ao contrário do design de pontos de gerenciamento, nos pontos de atualização de software existem custos de desempenho e rede e do cliente associados à mudança para um novo ponto de atualização de software. Quando o cliente muda para um novo servidor do WSUS para verificar atualizações de software, o resultado é um aumento no tamanho do catálogo e no lado do cliente associado, e nas demandas de desempenho de rede. Portanto, o cliente preserva a afinidade com o último ponto de atualização de software para o qual ele verificou com êxito.

O primeiro ponto de atualização de software que você instala em um site primário é a origem da sincronização de todos os pontos de atualização de software que você adiciona ao site primário. Depois de adicionar os pontos de atualização de software e iniciar a sincronização das atualizações de software, você poderá exibir o status dos pontos de atualização de software e a origem da sincronização no nó Status da Sincronização do Ponto de Atualização de Software no espaço de trabalho Monitoramento.

Quando ocorre falha em um ponto de atualização de software e esse ponto é configurado como a origem da sincronização para outros pontos de atualização de software, você deve remover manualmente o ponto de atualização de software com falha e selecionar um novo ponto para usar como origem da sincronização. Para obter mais informações sobre como remover um ponto de atualização de software, veja a seção Remover a função do sistema de site do ponto de atualização de software no tópico Configurando atualizações de software no Configuration Manager.

Importante
As informações neste tópico se aplicam somente ao Gerenciador de Configurações sem service pack.

Use as seções a seguir para determinar a infraestrutura do ponto de atualização de software no Gerenciador de Configurações sem service pack.

Observação
Para obter mais informações sobre como instalar um ponto de atualização de software em uma floresta não confiável, consulte a seção Planejando comunicações entre florestas no Configuration Manager no tópico Planejamento de comunicações no Configuration Manager.

A função do sistema de site do ponto de atualização de software deve ser instalada em um sistema de site que atenda aos requisitos mínimos do WSUS e às configurações compatíveis para sistemas de site do Gerenciador de Configurações.

1. Para obter mais informações sobre os requisitos mínios para o WSUS 3.0 SP2, consulte Confirm WSUS 3.0 SP2 installation requirements (Confirmar requisitos de instalação do WSUS 3.0 SP2) na biblioteca de documentação do Windows Server Update Services 3.0 SP2.

2. Para obter mais informações sobre os requisitos mínimos para a função de servidor do WSUS no Windows Server 2012, veja a Etapa 1: Preparar a implantação do WSUS na biblioteca de documentação do Windows Server 2012.

3. Para obter mais informações sobre as configurações com suporte para os sistemas de sites do Gerenciador de Configurações, veja a seção no tópico .No text is shown for link 'c1e93ef9-761f-4f60-8372-df9bf5009be0'. The title of the linked topic might be empty.c1e93ef9-761f-4f60-8372-df9bf5009be0#BKMK_SupConfigSiteSystemReq

As atualizações de software requerem que uma versão com suporte do WSUS esteja instalada em todos os servidores do sistema de site que você configura para a função do sistema de site do ponto de atualização de software. Além disso, quando você não instalar o ponto de atualização de software no servidor do site, deverá instalar o Console de Administração do WSUS computador do servidor do site se ainda não estiver instalado. Isso permite que o servidor do site se comunique com o WSUS executado no ponto de atualização de software.

Ao usar o WSUS no Windows Server 2012, você deve configurar permissões adicionais para que o Configuration Manager do WSUS no Gerenciador de Configurações se conecte ao WSUS para realizar verificações de integridade periódicas. Escolha uma das opções a seguir para configurar as permissões:

• Adicione a conta SYSTEM ao grupo Administradores do WSUS

• Adicione a conta NT AUTHORITY\SYSTEM como um usuário para o banco de dados do WSUS (SUSDB) e configure um mínimo de associação de função do banco de dados do serviço Web

Para obter mais informações sobre como instalar o WSUS 3.0 SP2, consulte Install WSUS Server or Administration Console (Instalar servidor do WSUS ou console de administração) na biblioteca de documentação do Windows Server Update Services 3.0 SP2.

Para obter mais informações sobre como instalar o WSUS no Windows Server 2012, consulte Install the WSUS Server Role (Instalar a função de servidor do WSUS) na biblioteca de documentação do Windows Server Update Services 2012.

Para o System Center 2012 Configuration Manager SP1 e posterior:

Quando você instalar mais de um ponto de atualização de software em um site primário, use o mesmo banco de dados do WSUS para cada ponto de atualização de software na mesma floresta do Active Directory. Se você compartilhar o mesmo banco de dados, ele atenuará significativamente, mas não eliminará completamente o impacto de desempenho à rede e ao cliente que você pode experimentar quando os clientes mudam para um novo ponto de atualização de software. Uma verificação delta ainda ocorre quando um cliente muda para a um novo ponto de atualização de software que compartilha um banco de dados com o ponto de atualização de software antigo, mas a verificação é bem menor do que seria se o servidor do WSUS tivesse o próprio banco de dados.

Atualizações de software em um site de administração central do Gerenciador de Configurações comunicam-se com o WSUS que é executado no ponto de atualização de software que, por sua vez, comunica-se com a origem da sincronização para sincronizar metadados de atualizações de software. Pontos de atualização de software em um site filho comunicam-se com o ponto de atualização de software no site pai. Quando há um ponto de atualização de software ativo remoto baseado na Internet em um site do Gerenciador de Configurações sem service pack, o servidor do site deve se comunicar com o ponto de atualização de software ativo baseado na Internet e este deve se comunicar com o ponto ativo de atualização de software do site, para que a sincronização seja concluída com êxito. A partir do Gerenciador de Configurações SP1, quando há mais do que um ponto de atualização de software em um site primário, os pontos adicionais de atualização de software devem se comunicar com o primeiro ponto de atualização de software instalado no site, que é o ponto de atualização de software padrão.

O firewall pode precisar ser configurado para aceitar as portas HTTP ou HTTPS que são usadas pelo WSUS nos seguintes cenários: quando existe um firewall corporativo entre o ponto de atualização de software do Gerenciador de Configurações e a Internet; quando existe um ponto de atualização de software e a origem de sincronização upstream; quando existe um ponto de atualização de software ativo baseado na Internet e o ponto de atualização de software ativo para o Gerenciador de Configurações sem site de service pack, ou quando existem pontos atualização de software adicionais e o ponto de atualização de software padrão em um site do Gerenciador de Configurações SP1. A conexão com o Microsoft Update é sempre configurada para usar a porta 80 para HTTP e a porta 443 para HTTPS. Você pode usar uma porta personalizada para a conexão do WSUS que é executado no ponto de atualização de software em um site filho e o WSUS que é executado no ponto de atualização de software no site pai. Durante a sincronização das atualizações de software, o WSUS executado no ponto de atualização de software baseado na Internet sempre se conecta ao WSUS que é executado no ponto de atualização de software ativo usando HTTPS. Quando sua política de segurança não permite uma conexão HTTPS, você deve usar o método de sincronização de exportação e importação. Para obter mais informações, consulte a seção Origem de sincronização neste tópico. Para obter mais informações sobre as portas usadas pelo WSUS, consulte Como determinar as configurações de porta usadas pelo WSUS.

As configurações de origem da sincronização para o ponto de atualização de software especificam o local onde o ponto de atualização de software recupera metadados de atualizações de software, e se os eventos de relatório do WSUS são criados durante o processo de sincronização.

• Origem de sincronização: O ponto de atualização de software no site de nível superior configura a origem da sincronização para o Microsoft Update por padrão. A partir do Gerenciador de Configurações SP1, você tem a opção de sincronizar o site de nível superior com um servidor de WSUS existente. O ponto de atualização de software em um site primário filho configura a origem da sincronização como o ponto de atualização de software no site de administração central por padrão.

  Observação
  Quando existe um ponto de atualização de software baseado na Internet, o servidor de atualização upstream é o ponto de atualização de software para o mesmo site.

  Observação
  A partir do Gerenciador de Configurações SP1, o primeiro ponto de primeira atualização de software que você instala em um site primário, que é o padrão, sincroniza com o site de administração central. Pontos de atualização de software adicionais no site primário sincronizam com o ponto de atualização de software padrão no site primário.

  Quando um ponto de atualização de software é desconectado do Microsoft Update ou do servidor de atualização upstream, você pode configurar a origem da sincronização para não sincronizar com uma origem de sincronização configurada, mas, em vez disso, usar a função de exportação e importação da ferramenta WSUSUtil para sincronizar atualizações de software. Para obter mais informações, veja a seção Sincronizar atualizações de software a partir do ponto de atualização de software desconectado no tópico Configurando atualizações de software no Configuration Manager.

• Eventos de geração de relatórios do WSUS: O Windows Update Agent em computadores cliente pode criar mensagens de eventos que são usadas para relatórios do WSUS. Esses eventos não são usados pela atualização de software no Gerenciador de Configurações, portanto, a opção Não criar eventos de relatórios do WSUS é selecionada por padrão. Quando esses eventos não são criados, a única vez que o computador cliente deve se conectar ao servidor do WSUS é durante a avaliação da atualização de software e varreduras de conformidade. Se esses eventos forem necessários para relatórios fora das atualizações de software no Gerenciador de Configurações, você terá de modificar essa configuração para criar eventos de relatório do WSUS.

Você pode configurar a agenda da sincronização apenas no ponto de atualização de software no site de nível superior na hierarquia do Gerenciador de Configurações. Quando você configura a agenda de sincronização, o ponto de atualização de software sincroniza-se com a origem da sincronização, na data e hora que você especificou. A agenda personalizada permite que você sincronize as atualizações de software em uma data e hora em que as demandas do servidor do WSUS, servidor do site e da rede estão baixas, como às 2h, uma vez por semana. Alternativamente, você pode iniciar a sincronização no site de nível superior usando a ação Atualizações de Software de Sincronização no nó Todas as Atualizações de Software ou Grupos de Atualização de Software no console doGerenciador de Configurações.

Dica

Agende sincronização de atualizações de software para execução usando um período de tempo apropriado ao seu ambiente. Um cenário típico é definir a agenda de sincronização das atualizações de software para execução logo após o lançamento da atualização de segurança regular da Microsoft na segunda terça-feira de cada mês, que é normalmente conhecida como Patch Tuesday. Outro cenário típico é definir a agenda de sincronização de atualizações de software para ser executada diariamente quando você usa as atualizações de software para fornecer definição e atualizações de mecanismo do Endpoint Protection.

Após o ponto de atualização de software concluir com êxito a sincronização, uma solicitação de sincronização é enviada para sites filhos. A partir do Gerenciador de Configurações SP1, se houver pontos adicionais de software de atualização em um site primário, uma solicitação de sincronização será enviada para cada ponto de atualização de software. No Gerenciador de Configurações sem service pack, uma solicitação de sincronização é enviada para o ponto de atualização de software ativo baseado na Internet, se estiver instalado. O processo é repetido em todos os sites na hierarquia.

Cada atualização de software é definida com uma classificação de atualização que ajuda a organizar os diferentes tipos de atualização. Durante o processo de sincronização, os metadados de atualizações de software para as classificações especificadas serão sincronizados. O Gerenciador de Configurações permite que você sincronize as atualizações de software com as seguintes classificações de atualização:

• Atualizações críticas: especifica uma atualização lançada em larga escala para um problema específico que aborda um bug crítico não relacionado à segurança.

• Atualizações de definições: especifica uma atualização para vírus ou outros arquivos de definição.

• Feature Packs: Especifica novos recursos de produtos que são distribuídos fora de uma versão do produto e recursos que são normalmente incluídos na próxima versão completa do produto.

• Atualizações de segurança: especifica uma atualização lançada em larga escala para um problema de um produto em específico relacionado à segurança.

• Service Packs: especifica um conjunto cumulativo de hotfixes que são aplicados a um aplicativo. Esses hotfixes podem incluir atualizações de segurança, atualizações críticas, atualizações de software e assim por diante.

• Ferramentas: especifica um utilitário ou um recurso que ajuda a concluir uma ou mais tarefas.

• Pacotes cumulativos de atualizações: especifica um conjunto cumulativo de hotfixes que são reunidos para facilitar a implantação. Esses hotfixes podem incluir atualizações de segurança, atualizações críticas, atualizações e assim por diante. Um pacote cumulativo de atualizações geralmente aborda uma área específica, como segurança ou um componente do produto.

• Atualizações: especifica uma atualização para um aplicativo ou arquivo que está atualmente instalado.

As configurações de classificação de atualização são definidas somente no site de nível superior. As configurações de classificação de atualização não estão definidas no ponto de atualização de software de sites filhos, porque os metadados das atualizações de software são replicados do site de nível superior em sites primários filhos. Ao selecionar classificações de atualização, lembre-se de que quanto mais classificações você selecionar, mais tempo levará para sincronizar os metadados das atualizações de software.

Aviso
Como prática recomendada, desmarque todas as classificações antes de sincronizar atualizações de software pela primeira vez. Após a sincronização inicial, selecione as classificações de propriedades do componente de ponto de atualização de software e, em seguida, reinicialize a sincronização.

Os metadados de cada atualização de software definem um ou mais produtos aos quais a atualização é aplicável. Um produto é uma edição específica de um aplicativo ou sistema operacional. Um exemplo de um produto é o Microsoft Windows Server 2008. Uma família de produtos é o sistema operacional base ou o aplicativo do qual os produtos individuais são derivados. Um exemplo de uma família de produtos é o Microsoft Windows, do qual o Microsoft Windows Server 2008 é um membro. Você pode especificar uma família de produtos ou produtos individuais dentro de uma família de produtos.

Quando atualizações de software são aplicáveis a vários produtos, e no mínimo um dos produtos é selecionado para sincronização, todos os produtos aparecerão no console do Gerenciador de Configurações mesmo se alguns produtos não forem selecionados. Por exemplo, se o Windows Server 2008 for o único sistema operacional que você assina, e se um atualização de software se aplicar ao Windows Server 2008 e ao Windows Server 2008 Datacenter Edition, ambos os produtos estarão no banco de dados do site.

Os parâmetros do produto são configurados somente no site de nível superior. Os parâmetros do produto não são configurados no ponto de atualização de software para sites filho porque os metadados de atualizações de software são replicados do site de nível superior para sites primários filho. Quando você selecionar produtos, esteja ciente de que quanto mais produtos seleciona, mais tempo irá demorar para sincronizar os metadados de atualizações de software.

Importante

O Gerenciador de Configurações armazena uma lista de produtos e as famílias de produtos que você pode escolher ao instalar o ponto de atualização de software pela primeira vez. Os produtos e as famílias de produtos que são lançados após o lançamento do Gerenciador de Configurações podem não estar disponíveis para selecionar até que você conclua a sincronização de atualizações de software, o que atualiza a lista de produtos e famílias de produtos disponíveis que você pode escolher. Como prática recomendada, desmarque todos os produtos antes de sincronizar as atualizações de software pela primeira vez. Após a sincronização inicial, selecione os produtos em Propriedades do Componente de Ponto de Atualização de Software e reinicie a sincronização.

Normalmente, uma atualização de software que substitui outra executa uma ou mais das seguintes ações:

• Melhora, aumenta ou atualiza a correção fornecida por uma ou mais atualizações lançadas anteriormente.

• Melhora a eficiência do pacote de arquivos de atualização substituído, que é instalado em computadores cliente se a atualização for aprovada para instalação. Por exemplo, a atualização substituída pode conter arquivos que não são mais relevantes para a correção ou para os sistemas operacionais com suporte pela nova atualização. Portanto, esses arquivos não são incluídos no pacote de arquivos de substituição da atualização.

• Atualiza versões mais recentes de um produto. Em outras palavras, atualiza as versões que não são mais aplicáveis a versões ou configurações mais antigas de um produto. As atualizações também pode substituir outras atualizações caso modificações tenham sido feitas para expandir o suporte para idiomas. Por exemplo, uma revisão posterior da atualização de um produto do Microsoft Office pode remover o suporte de um sistema operacional mais antigo, mas pode adicionar suporte para novos idiomas na versão de atualização inicial.

Nas propriedades do ponto de atualização de software, é possível especificar se as atualizações de software substituídas expiram imediatamente, o que evita que elas sejam incluídas em novas implantações e sinaliza as implantações existentes para indicar que contêm uma ou mais atualizações de software expiradas. Ou, você pode especificar um período de tempo até que as atualizações de software substituídas se expirem, o que permitirá que você continue a implantá-las. Considere os seguintes cenários em que poderia ser necessário implantar uma atualização de software substituída:

• Se uma atualização de software substituta oferecer suporte somente para versões mais recentes de um sistema operacional, e alguns de seus computadores cliente executarem versões anteriores do sistema operacional.

• Se uma atualização de software substituta tiver aplicabilidade mais restrita do que a atualização de software que está substituindo. Isso a tornaria inadequada para alguns computadores cliente.

• Se uma atualização de software substituta não for aprovada para implantação em seu ambiente de produção.

As configurações de idioma do ponto de atualização de software permitem configurar os idiomas para os quais os detalhes de resumo (metadados de atualizações de software) são sincronizados para atualizações de software, e os idiomas do arquivo de atualização do software serão baixados para as atualizações de software.

Depois de instalar o ponto de atualização de software, o agente cliente de atualizações de software é habilitado por padrão, e não é necessário configurar parâmetros específicos do cliente, mas é preciso verificar as configurações para confirmar se os valores padrão atendem às suas necessidades. Você configura os parâmetros do cliente de atualizações de software e NAP em Configurações do Cliente no espaço de trabalho Administração. Para obter mais informações sobre como definir as configurações associadas às atualizações de software, veja a seção Configurações do cliente para atualizações de software no tópico Configurando atualizações de software no Configuration Manager.

Importante
A configuração Habilitar as atualizações de software em clientes é habilitada por padrão. Se você desmarcar esse parâmetro, o Gerenciador de Configurações removerá as políticas de implantação existentes do cliente. Além disso, as políticas de configuração NAP e conformidade que dependem da configuração do dispositivo de atualizações de software não funcionarão mais.

Há configurações específicas da Política de Grupo que são usadas pelo WUA (Windows Update Agent) em computadores cliente para a conexão com o WSUS que é executado no ponto de atualização de software ativo, verificar a conformidade da atualização de software com êxito e atualizar automaticamente as atualizações de software e o WUA.

Aviso

Se você tiver um objeto da Política de Grupo do Active Directory atribuído a clientes que especificam um servidor WSUS que não é um ponto de atualização de software do Gerenciador de Configurações, ele substituirá a configuração da Política de Grupo local do Gerenciador de Configurações. Antes de avaliar a conformidade das atualizações de software e gerenciar as implantações de atualizações de software nesses clientes, é necessário reconfigurar a Política de Grupo do Active Directory ou mover os computadores cliente para uma unidade organizacional (UO) que não tenha essa configuração da Política de Grupo aplicada.

Para obter mais informações sobre como definir as configurações associadas às atualizações de software, veja a seção Configurações de política de grupo para atualizações de software no tópico Configurando atualizações de software no Configuration Manager.

O cliente Gerenciador de Configurações baixa o conteúdo das atualizações de software necessárias no cache do cliente local assim que recebe a implantação. No entanto, o cliente baixa o conteúdo depois de decorrido o tempo da configuração de Tempo disponível do software da implantação. O cliente não baixa atualizações de software em implantações opcionais (implantações que não têm um prazo de instalação definido) até o usuário iniciar manualmente a instalação. Quando o prazo configurado expira, o agente cliente de atualizações de software executa uma verificação para conferir se a atualização ainda é necessária e depois verifica o cache local no computado cliente para saber se o arquivo de origem da atualização ainda está disponível e instala a atualização de software. Se o conteúdo tiver sido excluído do cache do cliente para liberar espaço para outra implantação, o cliente baixará as atualizações de software no cache. As atualizações de software são sempre baixadas no cache do cliente independentemente do tamanho máximo do cache do cliente configurado. Para outras implantações, como aplicativos ou pacotes, o cliente baixa somente o conteúdo que está dentro do tamanho máximo do cache configurado para o cliente. O conteúdo armazenado em cache não é excluído automaticamente, permanecendo no cache por no mínimo um dia após o cliente usar esse conteúdo.