WSUS — Gestion des mises à jour

Installer le rôle WSUS

1. Ouvrez le Gestionnaire de serveur → Ajouter des rôles.
2. Cochez Windows Server Update Services.
3. Acceptez les fonctionnalités requises (IIS, base de données WID).
4. Choisissez le dossier de stockage : D:\WSUS
5. Terminez l'assistant et patientez pendant l'installation.
6. Après l'installation, dans le Gestionnaire de serveur, cliquez sur la notification et lancez la post-installation WSUS.

Configuration initiale

Après l'installation, l'assistant de configuration WSUS se lance automatiquement. Voici les choix importants :

1. Synchroniser depuis Microsoft Update (sauf si vous avez un WSUS amont).
2. Langues : cochez uniquement Français et Anglais pour économiser de l'espace.
3. Produits : sélectionnez uniquement ceux utilisés dans votre réseau (Windows 10, Windows 11, Windows Server 2022…).
4. Classifications : cochez au minimum Mises à jour critiques, Mises à jour de sécurité et Service Packs.
5. Planification : synchronisation automatique 1 fois par jour (ex: 3h du matin).
6. Lancez la première synchronisation — elle peut prendre plusieurs heures.

Configurer la GPO pour les clients

Pour que les postes du domaine se mettent à jour depuis WSUS (et non depuis Internet), il faut une GPO.

1. Ouvrez gpmc.msc (Gestion des stratégies de groupe).
2. Créez une GPO : GPO-WSUS, liée à l'OU des ordinateurs.
3. Modifiez la GPO, naviguez vers :
   Configuration ordinateur → Modèles d'administration → Composants Windows → Windows Update

Paramètres à configurer :

Sur un poste client, forcez la mise à jour de la GPO : Démarrer → cmd → gpupdate /force.

Approuver et déployer les mises à jour

1. Ouvrez la console WSUS (Outils → Windows Server Update Services).
2. Dans Mises à jour, filtrez par Non approuvées et Nécessaires.
3. Sélectionnez les mises à jour souhaitées → clic droit → Approuver.
4. Choisissez le groupe cible (ex : Tous les ordinateurs ou un groupe pilote).
5. Pour refuser une mise à jour : clic droit → Refuser.

Maintenance et nettoyage

1. Dans la console WSUS, cliquez sur Options → Assistant de nettoyage du serveur.
2. Cochez toutes les options (mises à jour expirées, remplacées, fichiers inutiles).
3. Lancez le nettoyage.
4. Répétez cette opération une fois par mois pour éviter la saturation du disque.

⌨️ Version PowerShell

Retrouvez ci-dessous les commandes PowerShell correspondant à chaque étape du tutoriel.

Étape 1 — Installer WSUS

# Installer le rôle
Install-WindowsFeature -Name UpdateServices -IncludeManagementTools

# Post-installation
& "C:\Program Files\Update Services\Tools\wsusutil.exe" postinstall CONTENT_DIR=D:\WSUS

Étape 2 — Configuration

# Configurer WSUS
$wsus = Get-WsusServer
$wsus | Get-WsusClassification | Format-Table -AutoSize

# Synchronisation automatique à 3h
$sub = $wsus.GetSubscription()
$sub.SynchronizeAutomatically = $true
$sub.SynchronizeAutomaticallyTimeOfDay = "03:00:00"
$sub.Save()

Étape 3 — Vérifier la GPO client

# Forcer la GPO
gpupdate /force

# Vérifier le serveur WSUS configuré
reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate /v WUServer

Étape 4 — Approuver les mises à jour

# Mises à jour en attente
Get-WsusUpdate -Approval Unapproved -Status Needed |
    Select-Object Title, Classification, ArrivalDate | Format-Table -AutoSize

# Approuver les mises à jour de sécurité
Get-WsusUpdate -Classification "Security Updates" -Approval Unapproved |
    Approve-WsusUpdate -Action Install -TargetGroupName "All Computers"

# Refuser une mise à jour
Get-WsusUpdate -UpdateId "xxxx-xxxx-xxxx" | Deny-WsusUpdate

Étape 5 — Nettoyage

# Nettoyage WSUS
Invoke-WsusServerCleanup `
    -CleanupObsoleteUpdates `
    -CleanupUnneededContentFiles `
    -DeclineExpiredUpdates `
    -DeclineSupersededUpdates

# Espace disque utilisé
Get-ChildItem D:\WSUS -Recurse | Measure-Object -Property Length -Sum |
    Select-Object @{N='Taille (Go)';E={[math]::Round($_.Sum/1GB,2)}}