小编Max*_*mus的帖子

就像我想很多人一样，我们有一个 Windows/Active Directory 环境和许多需要 Java 的内部业务线应用程序。我们的经验是，Java 在这样的企业网络环境中表现不佳。初始安装没问题（至少现在有一个 MSI），但保持一切正常可能是一个很大的挑战。

我们遇到的具体问题包括：

• Java 有它自己的更新程序，因此它不会绑定到我们的内部补丁管理系统中。
• 缺乏通过 GPO 管理 Java 设置的任何工具。
• 要求用户手动配置某些设置。
• 每台机器上有多个 Java 运行时（Oracle Jinitiator 是这里的罪魁祸首）。
• 存储在 Program Files 文件夹下的关键设置文件。

对我们来说，它主要是一批登录脚本和骇人听闻的解决方法，但我很想听听其他人如何处理这些项目，以及是否还有其他需要注意的事情。

带有 KB4086143 修补程序汇总的 SCCM 1710，在 Windows Server 2012 R2 上运行，在同一服务器上配置了软件更新点和 WSUS。

SUP 和 WSUS 都没有配置为下载快速更新。客户端策略设置为不使用快速更新。

创建了一个“基准”软件更新组和部署包，其中正确地不包含快速更新。

创建了一个自动部署规则，这是一个持续下载快速更新的规则；上个月的全套更新（仅限！）为 65GB。将其微调为仅包含安全更新为 25GB。

删除和重新创建 ADR 没有区别。

我不准备丢弃和重新创建 SUP 和 WSUS，除非我有合理的保证它会解决；时间就是金钱，我已经浪费得够多了。

我似乎在 TechNet 上有人说这是一个应该在 180x 中修复的错误；我愿意升级到 1802，但我们现在正在进行部署，团队成员会很生气。如果 1802 解决了，我会考虑这个问题，但在发行说明或知识库中找不到任何指示。

一个疯狂的想法是构建和配置另一个 WSUS，将其用作上游，然后击败它，直到它不下载 Express Updates。我不知道它在实践中如何工作，我更喜欢更干净的修复，但我愿意尝试将其作为临时措施。

这些选项中的任何一个是可行的、推荐的，还是有另一种更好的方法来驯服这头野兽？

预期的答案可能假设此环境是正确构建的，并且符合文档和推荐的最佳实践。

场景是：Server1 和 Server2，两者都在同一补丁级别上运行 Windows Server 2012 R2，当前位于负载平衡群集中。Server1 有应用程序问题，建议更换它。它已从集群中移除，并且 Server3 正在被配置为它的替代品。

在最初构建 Server1 和 Server2 时，没有使用补丁管理解决方案。它们是同时建造的，只是修补到当时的最新水平。

目标是将 Server3 修补到与 Server2 相同的级别。

如前所述，没有可用的补丁管理解决方案。

逐一完成 Server2 上的更新并将它们应用到 Server3 上当然是一种选择，但我们应该能够做比这更好的事情。毕竟是2017年。

可以通过 PowerShell 和 KB 编号检索 Server2 上所有更新的列表，并且此列表可用。

但是如何将这些更新（仅这些更新）下载并应用到 Server3 呢？

初步研究发现了许多 Windows 更新脚本，包括 VBS 和 PowerShell，但它们都未能满足并非所有当前更新都必须应用的关键要求。

将 Server2 的补丁级别设置为当前，然后对 Server3 也是如此，也是一种选择，但由于必须安排停机/维护窗口（集群中没有可行的 Server1），我更愿意避免这种选择，然后是一堆应用测试。让我们把它作为最后的手段。

所以-什么是我在一个合理的方式自动执行此合理的方案，给出了上述约束？

似乎我的很多用户都选中了“密码永不过期”框。这绕过了我的密码策略。

我的所有用户都在一个 OU 文件夹下，当然还有很多子文件夹。我正在寻找一种方法来删除该主 OU 文件夹下所有用户的“密码永不过期”复选框。

最好的方法是......我不知道。

任何帮助将不胜感激