forums.wsusoffline.net

Hallo Welt,

mir ist aufgefallen, dass das Skript zum Installieren der Updates (nicht jedoch jenes zum Runterladen) auf einer WinXP-Zielmaschine explizit prüft, ob der Dienst "Automatische Updates" aktiv ist. Ggf. wird der Dienst dann durch das Skript automatisch gestartet (außer er war "deaktiviert", dann produziert das Skript einen Fehler).

Gibt es einen technischen Grund dafür, den Dienst zu prüfen und dessen Status zu verändern? Von einem Offline-Updater hätte ich erwartet, dass er "nur" Updates installiert und sich ansonsten nicht in die Dienstekonfiguration des Zielsystems einmischt bzw. diese unverändert lässt.

(BTW - ist das eigentlich die einzige Änderung der Systemkonfiguration, die das Skript vornimmt, oder lauern ggf. noch weitere?)

Moin!

Lenge wrote:mir ist aufgefallen, dass das Skript zum Installieren der Updates (nicht jedoch jenes zum Runterladen) auf einer WinXP-Zielmaschine explizit prüft, ob der Dienst "Automatische Updates" aktiv ist. Ggf. wird der Dienst dann durch das Skript automatisch gestartet (außer er war "deaktiviert", dann produziert das Skript einen Fehler).

Korrekt.

Lenge wrote:Gibt es einen technischen Grund dafür, den Dienst zu prüfen und dessen Status zu verändern? Von einem Offline-Updater hätte ich erwartet, dass er "nur" Updates installiert und sich ansonsten nicht in die Dienstekonfiguration des Zielsystems einmischt bzw. diese unverändert lässt.

Ja, es gibt einen technischen Grund, siehe viewtopic.php?f=7&t=172.

Lenge wrote:(BTW - ist das eigentlich die einzige Änderung der Systemkonfiguration, die das Skript vornimmt, oder lauern ggf. noch weitere?)

Ja, und auch dies ist eben keine Konfigurationsänderung, weil die Startart des Dienstes nicht verändert wird.
Ist der Dienst (automatisch) gestartet, wird er genutzt, ist die Startart "manuell", wird er gestartet und nach dem Update wieder beendet, ist er deaktiviert, wird ein Fehler signalisiert.

Ich mag auch keine ungefragten Konfigurationsänderungen...

Gruß
Torsten Wittrock

WSUSUpdateAdmin wrote:Ja, es gibt einen technischen Grund, siehe viewtopic.php?f=7&t=172.

Ich gestehe, den technischen Grund aus dem verlinkten Artikel nicht herauslesen zu können... vielleicht nochmal kurz mit anderen Worten, warum der Dienst während des Updatens laufen muss?

WSUSUpdateAdmin wrote:Ist der Dienst (automatisch) gestartet, wird er genutzt, ist die Startart "manuell", wird er gestartet und nach dem Update wieder beendet, ist er deaktiviert, wird ein Fehler signalisiert.

Warum letzteres? Will sagen, warum wird der Dienst anstelle eines Fehlers nicht einfach von "deaktiviert" auf "manuell" gesetzt, dann gestartet und am Ende des Skripts wieder beendet und auf "deaktiviert" gesetzt? Sollte doch per "sc config" machbar sein, oder?

Lenge wrote:Ich gestehe, den technischen Grund aus dem verlinkten Artikel nicht herauslesen zu können... vielleicht nochmal kurz mit anderen Worten, warum der Dienst während des Updatens laufen muss?

WSUS Offline Update nutzt den "Windows Update Agent" (WUA), um die auf dem Zielsystem fehlenden Patches zu ermitteln. Dieser benötigt den Dienst "Automatische Updates".

Lenge wrote:Will sagen, warum wird der Dienst anstelle eines Fehlers nicht einfach von "deaktiviert" auf "manuell" gesetzt, dann gestartet und am Ende des Skripts wieder beendet und auf "deaktiviert" gesetzt? Sollte doch per "sc config" machbar sein, oder?

Natürlich ist das machbar, aber das wäre gerade die Konfigurationsänderung, gegen die Sie sich vorher aussprachen
Diesen Einwand verstehe ich nicht.

GTW

WSUSUpdateAdmin wrote:WSUS Offline Update nutzt den "Windows Update Agent" (WUA), um die auf dem Zielsystem fehlenden Patches zu ermitteln. Dieser benötigt den Dienst "Automatische Updates".

Ah, jetzt, ja - danke für das Entsorgen des Brettes vorm Kopf!

WSUSUpdateAdmin wrote:Natürlich ist das machbar, aber das wäre gerade die Konfigurationsänderung, gegen die Sie sich vorher aussprachen Diesen Einwand verstehe ich nicht.

Ok, war vielleicht missverständlich. Die Änderung soll nur vorübergehend sein, damit der Updater überhaupt fehlerfrei laufen kann; abschließend soll die Änderung dann wieder zurückgenommen werden.

Aktuell ist es so, dass der Updater gar nicht funktioniert (Fehler), wenn der Dienst deaktiviert ist. Um den Updater nutzen zu können, muss der Benutzer also 1. die Dienstekonfiguration manuell ändern, 2. den Updater laufen lassen und 3. die Dienstekonfiguration wieder manuell auf den Ausgangszustand zurücksetzen.

Mein Vorschlag ist nun, die Schritte 1 und 3 automatisch auszuführen. So würde der Updater auch dann funktionieren, wenn der Dienst zuvor deaktiviert war, und nach dem Updaten wäre alles wieder wie vorher (Dienst ist beendet und deaktiviert). Insofern ist alles wieder beim alten, und die Systemkonfiguration wurde nicht (dauerhaft) verändert. Eine Fehlermeldung würde ich nur dann auswerfen, wenn das abschließende Deaktivieren des Dienstes aus irgendwelchen Gründen fehlschlägt, der Ausgangszustand also ohne manuellen Eingriff des Nutzers nicht wiederhergestellt werden kann.

Habe ich Chancen mit dem Vorschlag?

Schreib einfach eine kleine Batch (3 Zeilen), die den Dienst mit sc umkonfiguriert, dann den UpdateGenerator startet, und abschließend den Dienst wieder in den Ausgangszustand versetzt.

Vom Ergebnis her ist übrigens Manuell und Deaktiviert das gleiche; der Dienst läuft nicht. Und bis jetzt hat auf meinen Systemen auch kein Prozeß ihn je wieder gestartet.

boco wrote:Schreib einfach eine kleine Batch (3 Zeilen), die den Dienst mit sc umkonfiguriert, dann den UpdateGenerator startet, und abschließend den Dienst wieder in den Ausgangszustand versetzt.

Würde ich notfalls tun. Aber einfacher/besser/schöner/updatesicherer[tm] wäre es, das wie vorgeschlagen direkt in den Updater aufzunehmen (plus ein paar Zeilen zum Abfragen des Status und zum Merken des wiederherzustellenden Status).

Wie kriegen die Rechner denn sonst ihre Updates? Mit deaktiviertem Updatedienst lässt sich nun mal kein Update installieren.

Moin!

Lenge wrote:Aktuell ist es so, dass der Updater gar nicht funktioniert (Fehler), wenn der Dienst deaktiviert ist. Um den Updater nutzen zu können, muss der Benutzer also 1. die Dienstekonfiguration manuell ändern, 2. den Updater laufen lassen und 3. die Dienstekonfiguration wieder manuell auf den Ausgangszustand zurücksetzen.

Genau.

Lenge wrote:Mein Vorschlag ist nun, die Schritte 1 und 3 automatisch auszuführen. [...]
Habe ich Chancen mit dem Vorschlag?

Kurz gesagt: Nein.

Installiert man ein System frisch/neu, so ist der Dienst "automatische Updates" nicht deaktiviert.
Ist er dennoch deaktiviert, wenn WOU ausgeführt werden soll, hat ein Administrator des Rechners dies also manuell und (hoffentlich) absichtsvoll getan.
Hier werde ich nicht "hineinregieren" und dem Computeradministrator seine Konfiguration "unter dem Hintern wegziehen".
Gleiches gilt übrigens für WMI & WSH: Wenn diese Dienste "abgedreht" wurden, funktioniert WOU nicht; es sind einfach Vorbedingungen.
Wenn ein Programm eine Internetverbindung herstellen will, schaltet es ja (hoffentlich) auch nicht einfach die Firewall ab, sondern reagiert ggf. mit einem Fehler.

GTW

WSUSUpdateAdmin wrote:

Lenge wrote:Mein Vorschlag ist nun, die Schritte 1 und 3 automatisch auszuführen. [...]
Habe ich Chancen mit dem Vorschlag?

Kurz gesagt: Nein.

Nicht gerade was ich hören wollte, aber zumindest eine klare Antwort.

WSUSUpdateAdmin wrote:Installiert man ein System frisch/neu, so ist der Dienst "automatische Updates" nicht deaktiviert.

Korrekt. Und sämtliche Benutzer haben immer volle Adminrechte. Dennoch kann es zuweilen durchaus sinnvoll sein, diesen Zustand zu verändern.

WSUSUpdateAdmin wrote:Ist er dennoch deaktiviert, wenn WOU ausgeführt werden soll, hat ein Administrator des Rechners dies also manuell und (hoffentlich) absichtsvoll getan. Hier werde ich nicht "hineinregieren" und dem Computeradministrator seine Konfiguration "unter dem Hintern wegziehen".

Gegen eine vorübergehende Umkonfiguration spricht IMO nichts, wenn am Ende wieder der Ausgangszustand wiederhergestellt wird - und die Alternative die ist, dass der Updater schlicht nicht funktioniert. Aber okay, ich akzeptiere die Entscheidung und "forke" es für mich selbst rein, dann sind alle zufrieden.

WSUSUpdateAdmin wrote:Gleiches gilt übrigens für WMI & WSH: Wenn diese Dienste "abgedreht" wurden, funktioniert WOU nicht; es sind einfach Vorbedingungen.

Danke, wichtiger Hinweis, werde ich bei Gelegenheit auch einbauen. Sind noch weitere Dienste betroffen?

WSUSUpdateAdmin wrote:Wenn ein Programm eine Internetverbindung herstellen will, schaltet es ja (hoffentlich) auch nicht einfach die Firewall ab, sondern reagiert ggf. mit einem Fehler.

Good point. Dennoch mache ich hier schon Unterschiede zwischen einem "normalen" Programm und einem Offline-Updater, dessen alleiniger Zweck (das Updaten) andernfalls nicht erreicht wird.