如何通过组策略为我的所有机器安装更新？

Question

我只是在学习使用组策略来管理我的网络。我发现映射驱动器的方便功能，但它不会在没有更新的情况下在 xp 上工作。我下载了该文件，但是有没有办法在登录到尚未安装它的每个人的机器时安装它？

Answer 1

听起来您是说要使用组策略首选项(GPP)。您发现您的 Windows XP 客户端将忽略设置，而无需加载Windows XP的组策略首选项客户端扩展 (KB943729)更新。

您可以通过其他方式“映射”“驱动器”，但 GPP 相当不错，因此将更新加载到客户端可能是一件好事。

假设您的用户没有“管理员”权限（他们真的不应该，如果他们这样做，您就做错了），登录脚本不会帮助您。这是一个类似于计算机启动脚本的工作。

在所有计算机上获取此更新的最简单方法是将更新粘贴在服务器计算机的中央位置，并将计算机启动脚本分配给所有安装更新的客户端。你可以这样做：

这是一个快速而肮脏的演练：

• 下载“Windows-en-US-KB943729.exe”更新并将其放入\domain-controller-name\netlogon 文件夹中。

• 创建链接到客户端计算机上方的 OU 的新组策略对象。如果它们位于目录根目录下的默认“计算机”容器中，请在目录根目录下创建此新 GPO。将 GPO 命名为“将 KB943729 更新安装到 Windows XP 客户端”（您会在 6 个月后记住的名称）。

• 在该新 GPO 中，转到“计算机配置”、“Windows 设置”和“脚本”。进入“启动脚本”对话框。

• 单击“启动脚本”对话框中的“显示文件...”按钮。在那里创建一个新的文本文件，并将其重命名为“Install_KB943729.cmd”（确保它丢失了“.TXT”扩展名）。对-单击并在记事本中“编辑”该文件。

• 将这些步骤下面的脚本粘贴到该文件中并保存。请务必修改脚本的“SET DC_NAME=”行，以在“=”之后指示域控制器计算机的名称（名称前没有“\”等）。

• 返回“启动脚本”对话框（关闭由“显示文件...”打开的文件夹）并单击“添加...”。单击“浏览...”并选择您创建的“Install_KB943729.cmd”。（再次验证“.txt”扩展名是否也已更改。）

• 关闭“启动脚本”对话框。进入“计算机配置”下的“管理模板”。深入到“系统”和“脚本”。在右侧窗格“运行可见的启动脚本”中找到策略设置，并将该设置设置为“已启用”。这将让您看到在客户端启动期间在窗口中运行的脚本。一旦您知道脚本运行正常，您就可以关闭此设置。

• 重新启动客户端并查看启动过程中运行的脚本。假设您所有的 DNS 设置都很好，等等，客户端将应用您创建的 GPO 并运行脚本。

• 更新所有客户端后，请删除“Netlogon”文件夹中的 GPO 和 .EXE，取消链接 GPO 并保留它，以备将来需要时使用。（在每次启动时不必要地在每台计算机上运行启动脚本会增加一些轻微的启动延迟。有组成员身份的方法可以使这更优雅并且只执行一次，但我在这里进行快速和肮脏.)

要粘贴的脚本：

@echo off
SET DC_NAME=domain-controller-computer-name-here

rem Check to see this is Windows XP
ver | find "Windows XP" >NUL
if errorlevel 1 goto end

rem Check to see if the update is already installed
reg QUERY "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP20\KB943729" >NUL 2>NUL
if errorlevel 1 goto install_update
goto end

:install_update
\\%DC_NAME%\netlogon\Windows-en-US-KB943729.exe /passive /norestart

:end

如果您安装了Windows Server Update Services并以这种方式推出更新会更好，因为它还会让您在未来集中部署 Windows/Microsoft 应用程序软件更新，但这是一个更大的蠕虫罐。看看它，虽然。您想使用 WSUS。

我很高兴看到您正在考虑使用组策略。许多 Windows 管理员对此一无所知。我曾在一些根本不使用组策略的非常大的公司（其中一家是财富 1000 强公司）工作（在 2008 年，不少于）。如果您还不熟悉策略应用顺序的工作原理、如何按安全组或WMI 过滤器进行过滤，您应该进行一些阅读和试用练习，因为您会喜欢这些功能并发现它们很方便。（要获得奖励积分，请了解Loopback Group Policy Processing以获得更多乐趣和功能。）