Planeación de actualizaciones de software en Configuration Manager

El número de clientes admitidos depende de la versión de Windows Server Update Services (WSUS) que se ejecuta en el punto de actualización de software, y también depende de si el rol del sistema de sitio del punto de actualización de software coexiste con otro rol del sistema de sitio.

• El punto de actualización de software puede admitir hasta 25.000 clientes1 cuando WSUS 3.0 Service Pack 2 (SP2) se ejecuta en el equipo del punto de actualización de software, y este punto coexiste con otro rol del sistema de sitio.

• El punto de actualización de software puede admitir hasta 100.000 clientes2 cuando WSUS 3.0 Service Pack 2 (SP2) se ejecuta en el equipo del punto de actualización de software, y este punto coexiste con otro rol del sistema de sitio.

1Para admitir a más de 25.000 clientes, el punto de actualización de software puede configurarse para utilizar el equilibrio de carga de red (NLB).

2Para admitir hasta 100.000 clientes, el punto de actualización de software debe cumplir los requisitos mínimos de WSUS. Para obtener más información, consulte Determine WSUS Capacity Requirements (Determinar los requisitos de capacidad de WSUS).

Utilice la siguiente información de capacidad para planear los objetos de actualizaciones de software.

• Límite de 1.000 actualizaciones de software en una implementación

  Debe limitar el número de actualizaciones de software a 1.000 por cada implementación de actualización de software. Cuando crea una regla de implementación automática, especifique un criterio que limite el número de actualizaciones de software que se devuelven. Se produce un error en la regla de implementación automática cuando los criterios especificados devuelven más de 1.000 actualizaciones de software. Puede comprobar el estado de la regla de implementación automática desde el nodo Reglas de implementación automática de la consola de Configuration Manager. Al implementar manualmente las actualizaciones de software, no seleccione más de 1.000 actualizaciones para implementar.

Importante
La información de esta sección se aplica únicamente a Configuration Manager SP1 y System Center 2012 R2 Configuration Manager.

A partir de Configuration Manager SP1, puede agregar varios puntos de actualización de software en un sitio primario de Configuration Manager. La posibilidad de tener varios puntos de actualización de software en un sitio ofrece tolerancia a errores sin requerir la complejidad del NLB. Sin embargo, la conmutación por error que recibe con varios puntos de actualización de software no es tan sólida como el NLB para el equilibrio de carga puro, sino que está diseñada para tolerancia a errores. Además, el diseño de conmutación por error del punto de actualización de software difiere del modelo de selección aleatoria pura, que se utiliza en el diseño de los puntos de administración. A diferencia del diseño de los puntos de administración, en los puntos de actualización de software hay costes de rendimiento de red y de cliente asociados al cambio a un nuevo punto de actualización de software. Cuando el cliente cambia a un servidor de WSUS nuevo para explorar actualizaciones de software, el resultado es un aumento del tamaño del catálogo, y demandas de rendimiento de red y de cliente asociadas. Por tanto, el cliente conserva la afinidad con el último punto de actualización de software que exploró satisfactoriamente.

El primer punto de actualización de software que se instala en un sitio primario es el origen de sincronización para todos los puntos de actualización de software adicionales que se agregan al sitio primario. Después de haber agregado los puntos de actualización de software y de haber iniciado la sincronización de actualizaciones de software, puede ver el estado de dichos puntos y el origen de sincronización en el nodo Estado de sincronización de punto de actualización de software del área de trabajo Supervisión.

Cuando se produce un error en el punto de actualización de software y dicho punto está configurado como el origen de sincronización para el resto de puntos de actualización de software del sitio, es necesario quitar manualmente el punto de actualización de software que produjo el error, y seleccionar un punto nuevo para usarlo como el origen de sincronización. Para obtener más información sobre cómo quitar un punto de actualización de software, consulte la sección Quitar el rol de sistema de sitio de punto de actualización de software del tema Configuración de actualizaciones de software en Configuration Manager.

Importante
La información de este tema corresponde solo a Configuration Manager sin Service Pack.

Consulte las siguientes secciones para determinar la infraestructura de punto de actualización de software de Configuration Manager sin Service Pack.

El rol de sistema de sitio de punto de actualización de software se debe instalar en un sistema de sitio que cumpla los requisitos mínimos de WSUS y las configuraciones compatibles con Configuration Manager.

1. Para obtener más información acerca de los requisitos mínimos de WSUS 3.0 SP2, consulte Paso 1: confirmar los requisitos de instalación de WSUS 3.0 SP2 en la biblioteca de documentación de Windows Server Update Services 3.0 SP2.

2. Para obtener más información sobre los requisitos mínimos para el rol de servidor WSUS en Windows Server 2012, consulte Paso 1: preparar la implementación de WSUS en la biblioteca de documentación de Windows Server 2012.

3. Para obtener más información sobre las configuraciones compatibles con los sistemas de sitio de Configuration Manager, consulte la sección del tema .No text is shown for link 'c1e93ef9-761f-4f60-8372-df9bf5009be0'. The title of the linked topic might be empty.c1e93ef9-761f-4f60-8372-df9bf5009be0#BKMK_SupConfigSiteSystemReq

Las actualizaciones de software requieren que haya una versión compatible de WSUS instalada en todos los servidores de sistema de sitio configurados para el rol de sistema de sitio de punto de actualización de software. Además, si no instala el punto de actualización de software en el servidor de sitio, debe instalar la consola de administración de WSUS en el equipo del servidor de sitio, si no está instalada ya. Esto permite que el servidor de sitio se comunique con el WSUS que se ejecuta en el punto de actualización de software.

Cuando se utiliza WSUS en Windows Server 2012, se deben configurar permisos adicionales para permitir que el administrador de configuración de WSUS de Configuration Manager se conecte al WSUS para realizar comprobaciones de estado periódicas. Elija una de las siguientes opciones para configurar los permisos:

• Agregar la cuenta SYSTEM al grupo Administradores de WSUS

• Agregar la cuenta NT AUTHORITY\SYSTEM como usuario de la base de datos de WSUS (SUSDB) y configurar un valor mínimo de la pertenencia al rol de base de datos de servicio web

Para obtener más información acerca de cómo instalar WSUS 3.0 SP2, consulte Paso 2: instalar la consola de administración o el servidor WSUS en la biblioteca de documentación de Windows Server Update Services 3.0 SP2.

Para obtener más información acerca de cómo instalar WSUS en Windows Server 2012, consulte Paso 2: instalar el rol de servidor de WSUS en la biblioteca de documentación de Windows Server 2012.

Para System Center 2012 Configuration Manager SP1 y versiones posteriores:

Cuando instale más de un punto de actualización de software en un sitio primario, utilice la misma base de datos de WSUS para cada punto de actualización de software del mismo bosque de Active Directory. Si se comparte la misma base de datos, se mitiga significativamente (aunque no se elimina por completo) el impacto sobre el rendimiento de la red y el cliente que podría experimentarse cuando los clientes cambian a un nuevo punto de actualización de software. Cuando un cliente cambia a un nuevo punto de actualización de software que comparte una base de datos con el punto de actualización de software anterior, se sigue produciendo un examen de diferencias, pero es mucho menor que si el servidor WSUS tuviera su propia base de datos.

Las actualizaciones de software de un sitio de administración central de Configuration Manager se comunican con el WSUS que se ejecuta en el punto de actualización de software, que a su vez se comunica con el origen de la sincronización para sincronizar los metadatos de las actualizaciones de software. Los puntos de actualización de software de un sitio secundario se comunican con el punto de actualización de software del sitio primario. Cuando hay un punto de actualización de software basado en Internet activo remoto en un sitio de Configuration Manager sin Service Pack, el servidor de sitio se debe comunicar con el punto de actualización de software basado en Internet activo, y el punto de actualización de software basado en Internet se debe comunicar con el punto de actualización de software activo del sitio, para que la sincronización finalice correctamente. A partir de Configuration Manager SP1, cuando hay más de un punto de actualización de software en un sitio primario, los puntos de actualización de software adicionales se deben comunicar con el primer punto de actualización de software instalado en el sitio, que es el punto de actualización de software predeterminado.

Puede que el firewall necesite configurarse para aceptar los puertos HTTP o HTTPS que usa WSUS en los siguientes escenarios: cuando hay un firewall corporativo entre el punto de actualización de software de Configuration Manager e Internet; cuando hay un punto de actualización de software y su origen de sincronización ascendente; cuando hay un punto de actualización de software basado en Internet activo y el punto de actualización de software activo del sitio de Configuration Manager sin Service Pack, o cuando hay puntos de actualización de software adicionales y un punto de actualización de software predeterminado en un sitio de Configuration Manager SP1. La conexión a Microsoft Update siempre está configurada para utilizar el puerto 80 para HTTP y el puerto 443 para HTTPS. Se puede utilizar un puerto personalizado para la conexión del WSUS que se ejecuta en el punto de actualización de software de un sitio secundario al WSUS que se ejecuta en el punto de actualización de software del sitio primario. Durante la sincronización de las actualizaciones de software, el WSUS que se ejecuta en el punto de actualización de software basado en Internet siempre se conecta al WSUS que se ejecuta en el punto de actualización de software activo mediante HTTPS. Cuando la directiva de seguridad no permite una conexión HTTPS, se debe utilizar el método de sincronización de exportación e importación. Para obtener más información, consulte la sección Origen de la sincronización de este tema. Para obtener más información acerca de los puertos utilizados por WSUS, consulte Cómo determinar la configuración del puerto utilizada por WSUS.

En la configuración del origen de la sincronización del punto de actualización de software se especifica la ubicación desde la cual el punto de actualización de software recupera los metadatos de las actualizaciones de software; asimismo, se especifica si se crean eventos de informe de WSUS durante el proceso de sincronización.

• Origen de la sincronización: El punto de actualización de software del sitio de nivel superior configura el origen de la sincronización como Microsoft Update de forma predeterminada. A partir de Configuration Manager SP1, se cuenta con la opción de sincronizar el sitio de nivel superior con un servidor WSUS existente. El punto de actualización de software de un sitio primario secundario configura el origen de la sincronización como el punto de actualización de software del sitio de administración central de forma predeterminada.

  Nota

  Cuando hay un punto de actualización de software basado en Internet remoto, el servidor de actualización que precede en la cadena es el punto de actualización de software del mismo sitio.

  Nota

  A partir de Configuration Manager SP1, el primer punto de actualización de software que se instala en un sitio primario, que es el punto de actualización de software predeterminado, se sincroniza con el sitio de administración central. Los puntos de actualización de software adicionales del sitio primario se sincronizan con el punto de actualización de software predeterminado del sitio primario.

  Cuando un punto de actualización de software se desconecta de Microsoft Update o del servidor de actualización que precede en la cadena, se puede configurar el origen de la sincronización de manera que no se realice la sincronización con un origen de la sincronización configurado, sino que en su lugar se utilice la función de exportación e importación de la herramienta WSUSUtil para sincronizar las actualizaciones de software. Para obtener más información, consulte la sección Sincronizar actualizaciones de software desde un punto de actualización de software desconectado del tema Configuración de actualizaciones de software en Configuration Manager.

• Eventos de informe de WSUS: El Agente de Windows Update de los equipos cliente puede crear mensajes de evento que se utilizan para la generación de informes de WSUS. La actualización de software de Configuration Manager no utiliza estos eventos y, por tanto, la opción No crear eventos de informe de WSUS se selecciona de forma predeterminada. Cuando no se crean estos eventos, el único momento en que el equipo cliente se debe conectar al servidor WSUS es durante los exámenes de cumplimiento y de evaluación de las actualizaciones de software. Si se necesitan estos eventos para la generación de informes fuera de las actualizaciones de software de Configuration Manager, será necesario modificar esta configuración para crear eventos de informe de WSUS.

Solo se puede configurar la programación de sincronización en el punto de actualización de software del sitio de nivel superior de la jerarquía de Configuration Manager. Cuando se configura la programación de sincronización, el punto de actualización de software se sincroniza con el origen de la sincronización en la fecha y a la hora especificadas. La programación personalizada permite sincronizar las actualizaciones de software en un momento en que la demanda del servidor WSUS, el servidor de sitio y la red sea baja, como por ejemplo a las 02:00 una vez a la semana. Como alternativa, se puede iniciar la sincronización en el sitio de nivel superior mediante la acción Sincronizar actualizaciones de software del nodo Todas las actualizaciones de software o Grupos de actualizaciones de software de la consola de Configuration Manager.

Sugerencia

Programe la sincronización de las actualizaciones de software para que se ejecuten en un intervalo de tiempo adecuado para su entorno. Un escenario habitual es configurar la programación de la sincronización de las actualizaciones de software para que se ejecute poco tiempo después del lanzamiento de las actualizaciones de seguridad periódicas de Microsoft los segundos martes de cada mes, lo que normalmente se conoce como "Patch Tuesday". Otro escenario típico es configurar la programación de la sincronización de las actualizaciones de software para que se ejecute diariamente cuando se usen actualizaciones de software para suministrar actualizaciones de motor y de definiciones de Endpoint Protection.

Una vez que el punto de actualización de software finaliza la sincronización correctamente, se envía una solicitud de sincronización a los sitios secundarios. A partir de Configuration Manager SP1, si hay puntos de actualización de software adicionales en un sitio primario, se envía una solicitud de sincronización a cada punto de actualización de software. En Configuration Manager sin Service Pack, se envía una solicitud de sincronización al punto de actualización de software basado en Internet activo, si está instalado. El proceso se repite en cada sitio de la jerarquía.

Cada actualización de software se define con una clasificación de actualización que facilita la organización de los distintos tipos de actualizaciones. Durante el proceso de sincronización, se sincronizarán los metadatos de las actualizaciones de software para las clasificaciones especificadas.Configuration Manager permite sincronizar las actualizaciones de software con las siguientes clasificaciones de actualización:

• Actualizaciones críticas: Especifica una actualización de amplia distribución para un problema específico que resuelve un error crítico no relacionado con la seguridad.

• Actualizaciones de definiciones: Especifica una actualización para un archivo de definición de virus u otros archivos de definición.

• Paquetes de características: Especifica las nuevas características del producto que se distribuyen fuera de un lanzamiento de producto y las características que normalmente se incluyen en el siguiente lanzamiento de producto completo.

• Actualizaciones de seguridad Especifica una actualización de amplia distribución para un problema específico del producto, relacionado con la seguridad.

• Service Packs: Especifica un conjunto acumulativo de revisiones correspondientes a una aplicación. Estas revisiones pueden incluir actualizaciones de seguridad, actualizaciones críticas, actualizaciones de software, etc.

• Herramientas: Especifica una utilidad o característica que ayuda a realizar una o más tareas.

• Paquetes acumulativos de revisiones: Especifica un conjunto acumulativo de revisiones que se recopilan para facilitar la implementación. Estas revisiones pueden incluir actualizaciones de seguridad, actualizaciones críticas, actualizaciones, etc. Un paquete acumulativo de revisiones suele relacionarse, por lo general, con un área específica; por ejemplo, un componente del producto o de la seguridad.

• Actualizaciones: Especifica una actualización para una aplicación o un archivo actualmente instalado.

Las clasificaciones de actualizaciones se configuran solo en el sitio de nivel superior. Las clasificaciones de actualizaciones no se configuran en el punto de actualización de software de los sitios secundarios, porque los metadatos de las actualizaciones de software se replican desde el sitio de nivel superior en los sitios primarios secundarios. Al seleccionar las clasificaciones de actualizaciones, tenga en cuenta que cuantas más clasificaciones seleccione, más tiempo tardará la sincronización de los metadatos de las actualizaciones de software.

Advertencia
Como práctica recomendada, desactive todas las clasificaciones antes de sincronizar las actualizaciones de software por primera vez. Después de la sincronización inicial, seleccione las clasificaciones en Propiedades de componente de punto de actualización de software y, a continuación, vuelva a iniciar la sincronización.

Los metadatos de cada actualización de software definen uno o varios productos a los que corresponde la actualización. Un producto es una edición específica de una aplicación o un sistema operativo. Un ejemplo de un producto es Microsoft Windows Server 2008. Una familia de productos es el sistema operativo o la aplicación de base de los cuales se derivan los productos individuales. Un ejemplo de una familia de productos es Microsoft Windows, de la que Microsoft Windows Server 2008 es miembro. Puede especificar una familia de productos o productos individuales dentro de una familia de productos.

Cuando se aplican las actualizaciones de software a varios productos y, al menos, uno de ellos se selecciona para sincronización, todos los productos aparecerán en la consola de Configuration Manager aunque no se seleccionen algunos productos. Por ejemplo, si Windows Server 2008 es el único sistema operativo al que está suscrito, y si una actualización de software se aplica a Windows Server 2008 y a Windows Server 2008 Datacenter Edition, ambos productos se encontrarán en la base de datos del sitio.

Las opciones del producto solo se configuran en el sitio de nivel superior. Las opciones del producto no se configuran en el punto de actualización de software para los sitios secundarios, porque los metadatos de las actualizaciones de software se replican desde el sitio de nivel superior en los sitios primarios secundarios. Al seleccionar los productos, tenga en cuenta que cuanto más productos seleccione, más tiempo tardarán en sincronizarse los metadatos de las actualizaciones de software.

Importante

Configuration Manager almacena una lista de productos y familias de productos entre los que puede elegir cuando instala por primera vez el punto de actualización de software. Es posible que los productos y las familias de productos lanzados después del lanzamiento de Configuration Manager no estén disponibles para seleccionar hasta que se complete la sincronización de las actualizaciones de software, lo cual actualiza la lista de productos y familias de productos disponibles para seleccionar. Como práctica recomendada, desactive todos los productos antes de sincronizar por primera vez las actualizaciones de software. Después de la sincronización inicial, seleccione los productos en Propiedades de componente de punto de actualización de software y, a continuación, vuelva a iniciar la sincronización.

Por lo general, una actualización de software que sustituye a otra actualización de software realiza una o varias de las siguientes acciones:

• Mejora o actualiza la revisión proporcionada por una o varias de las actualizaciones publicadas anteriormente.

• Mejora la eficacia del paquete de archivos de actualización sustituidos, que se instala en los equipos cliente si se aprueba la actualización para la instalación. Por ejemplo, la actualización sustituida podría contener archivos que ya no son relevantes para la revisión o para los sistemas operativos que se admiten en la nueva actualización; por tanto, esos archivos ya no se incluyen en el paquete de archivos de sustitución de la actualización.

• Actualiza las versiones más recientes de un producto. En otras palabras, actualiza las versiones que ya no se aplican a las versiones o configuraciones más antiguas de un producto. Las actualizaciones también pueden sustituir a otras actualizaciones si se han realizado modificaciones para ampliar la compatibilidad de idioma. Por ejemplo, una revisión posterior de una actualización de un producto para Microsoft Office puede quitar la compatibilidad para un sistema operativo más antiguo, pero podría agregar compatibilidad adicional para nuevos idiomas en la versión de actualización inicial.

En las propiedades del punto de actualización de software, es posible especificar que las actualizaciones de software reemplazadas expiren inmediatamente, lo que evita que se incluyan en implementaciones nuevas, además de marcar las implementaciones existentes para que indiquen que contienen una o varias actualizaciones de software expiradas. Igualmente, es posible especificar un período de tiempo antes de que las actualizaciones de software sustituidas expiren, lo que le permite continuar con las implementaciones. Tenga en cuenta los siguientes escenarios en los que puede que necesite implementar una actualización de software sustituida:

• Si una actualización de un software de sustitución solo es compatible con las versiones más recientes de un sistema operativo y algunos de los equipos cliente ejecutan versiones anteriores del sistema operativo.

• Si una actualización de software de sustitución tiene una aplicabilidad más restringida que la actualización de software que reemplaza. Esto la haría inapropiada para algunos equipos cliente.

• Si una actualización de software de sustitución no se aprobó para su implementación en el entorno de producción.

La configuración de idioma para el punto de actualización de software permite configurar los idiomas en los que se sincronizan los detalles de resumen (metadatos de actualizaciones de software) para las actualizaciones de software, así como los idiomas de los archivos de actualización de software que se descargarán para las actualizaciones de software.

Después de instalar el punto de actualización de software, se habilita de manera predeterminada el agente cliente de actualizaciones de software, y no se requiere la configuración de opciones de cliente específicas, pero debe revisar las opciones para garantizar que los valores predeterminados satisfacen sus necesidades. Puede configurar las actualizaciones de software y las opciones de cliente de NAP en Configuración de cliente del área de trabajo Administración. Para obtener más información sobre cómo configurar las opciones asociadas a las actualizaciones de software, consulte la sección Configuración de cliente para las actualizaciones de software del tema Configuración de actualizaciones de software en Configuration Manager.

Importante
La opción Habilitar actualizaciones de software en clientes está habilitada de manera predeterminada. Si desactiva esta opción, Configuration Manager quita las directivas de implementación existentes del cliente. Además, NAP y las directivas de configuración del cumplimiento que se basan en la configuración de dispositivo de actualizaciones de software dejarán de funcionar.

Hay configuraciones específicas de directiva de grupo que utiliza el agente de Windows Update en equipos clientes para conectar con el WSUS que se ejecuta en el punto de actualizaciones de software activo, explorar el cumplimiento de las actualizaciones de software, y actualizar automáticamente las actualizaciones de software en el WUA.

Advertencia

Si tiene un objeto de directiva de grupo de Active Directory asignado a clientes que especifican un servidor de WSUS que no sea un punto de actualización de software de Configuration Manager, sobrescribirá la configuración de directiva de grupo local configurada por Configuration Manager. Antes de evaluar el cumplimiento de las actualizaciones de software y de administrar las implementaciones de actualizaciones de software en estos clientes, debe volver a configurar la opción de directiva de grupo de Active Directory, o mover los equipos cliente a una unidad organizativa (OU) que no tenga aplicada esta configuración de directiva de grupo.

Para obtener más información sobre cómo configurar las opciones asociadas a las actualizaciones de software, consulte la sección Configuración de directiva de grupo para actualizaciones de software del tema Configuración de actualizaciones de software en Configuration Manager.

El cliente de Configuration Manager descarga el contenido para las actualizaciones de software necesarias en la memoria caché del cliente local poco después de recibir la implementación. Sin embargo, el cliente descarga el contenido después de la configuración de Horas de disponibilidad del software para la implementación. El cliente no descarga las actualizaciones de software en las implementaciones opcionales (implementaciones que no tienen una fecha límite de instalación programada) hasta que el usuario inicie manualmente la instalación. Cuando se supera la fecha límite configurada, el agente cliente de actualizaciones de software realiza un análisis para comprobar si todavía se requiere la actualización del software; a continuación, el agente cliente de actualizaciones de software comprueba la memoria caché local del equipo cliente para comprobar si el archivo de origen de actualización de software sigue disponible y, después, instala la actualización. Si se eliminó el contenido de la memoria caché del cliente para dejar espacio a otra implementación, el cliente descarga las actualizaciones de software en la memoria caché. Las actualizaciones de software siempre se descargan en la memoria caché del cliente, con independencia del tamaño de memoria caché de cliente máximo configurado. Para otras implementaciones, como aplicaciones o paquetes, el cliente solo descarga el contenido que se encuentra dentro del tamaño máximo de memoria caché configurado para el cliente. El contenido de la memoria caché no se elimina automáticamente, sino que permanece en la memoria caché durante al menos un día después de que el cliente utiliza dicho contenido.