SUS补丁管理：从入门到精通（2）

　　SUS 安装过程

　　一般而言，你安装SUS需要如下步骤：

　　** 安装运行SUS基于平台是windows 2000server或 2003 server

　　** 在服务器上安装IIS服务

　　** 下载并且安装SUS

　　** 安装结束后，使用SUS的web管理方式连接到windows update然后下载相关补丁文件

　　** 选择你想要的升级补丁文件

　　** 安装SUS客户端软件在2000，XP，或2003系统上

　　** 通过注册表、本地计算机或者组策略来配置SUS客户端软件

　　SUS服务器端安装步骤

　　SUS服务软件必须运行在基于windows 2000 server（sp2或更高版本）或者windows 2003 server上，而且IIS服务必须开启。（如果你对此设置不了解请参阅17章 2000或2003主控关系）

　　在有关SUS的文章中，大多数人强烈建议不要在域控制服务器上运行SUS，这个建议也许难以理解，如果系统是域控都不要运行SUS吗？笔者的意思是因为SUS是基于IIS服务的，而通常IIS服务是不在域控上运行的，所以在域控上运行SUS不是个好的想法。我不曾遇见SUS是提供大量服务，或者直接在公网上提供服务的。总体而言，将一台域控暴露在互联网上不是个明智的选择。如果你只有一台服务器，而且你又想运行SUS，那你就去做吧，就算它是域控也没有关系。（只是不要将系统暴露在互联网上）。

　　先下载软件升级服务工具（SUS1.1）： 如果这个链接无法下载，那么你也可以去www.microsoft.com/downloads 查找关键字"Software Update Services."下载（每天在微软网站上都会有对链接进行整理）。软件的大小是30兆左右。

　　你可以选择一种“普通”的安装。如果你选择自定义安装，你也只要回答几个简单的问题：

　　1.你将在那里安放下载的补丁文件（内容）？一般选择默认的路径：c:\sus\content

　　2.当微软公司发布一个针对较老版本的补丁文件的更新文件时，是否让SUS自动地更新呢？通常地，你设置SUS是让它检测和接收任何新的补丁文件。但是现在微软公司推出现有补丁和原因是如果你依然喜欢其先前版本的补丁，那么SUS将不接收更新的补丁。这是一个尝试――就个人而言，我接收这个选项，但是它也许对你的组织机构没有意义。我被告知对一些管理员而言服务器的每一次重新启动是一种“耻辱的标志”，而你又不想因为那些无关紧要的“补丁之补丁”而导致出发一次额外的重启的可能。

　　3.什么颜色是你最喜欢的？

　　当你完成了安装SUS后，你通过WEB界面去管理。打开IE浏览器，然后在地址栏中输入SUS服务器名，后面再加一个“/susadmin”选项。例如，如果你的SUS服务器名为‘webserv2.bigfirm.biz’，你在打开IE后在地址栏中输入‘webserv2.bigfirm.biz/susadmin’并且回车，系统会要求你提供管理员的密码，以获得对管理员的信任。然后你将会看见一个欢迎的WEB页面。现在我们打算要求windows升级每一个你所知道的关键更新，那么你或许会想阻止SUS所担心因某种或某些语言限制而产生的一些升级文件。在左边，点击‘设定选项’。在右边就会展开‘选择你想安放的升级文件目录’；然后你在构选你想要的语言设置，最后你点击应用。（当你在设定选项时，请注意其他的选项设置――代理服务器的配置，比如服务器的名称。你要配置你的SUS将会从哪台服务器中获得更新补丁文件和你将如何处理升级针对旧版本补丁的升级文件。除非你已经通过代理服务器从INTERNET上获得新的补丁文件否则你不需要立刻打乱现有文件。在你配置服务器前，你也最好能知道这些文件存放地点。）

　　这里指出，你需要下载补丁，请点击页面左边的‘与服务器同步（Synchronize server）’，然后你会看见‘立刻同步更新（Synchronize Now）’和‘同步更新时间表（Synchronization Schedule）’。如果你点击‘马上同步更新’，你的SUS服务器马上就会下载与windows 2000，XP和200所有相关的补丁时，你就可以去准备午餐，或者再准备一顿晚餐或许你还可以去看一场‘指环王’三部曲的电影。因为我在写这篇文章是在2004年1月，总共下载的文件量超过600兆。

　　当下载结束后，SUS自动跳转到‘同意更新（Approve Updates）’的页面。在第一次运行SUS的时候都会有这样的页面出现。通过配置它，你可以选择在以后下载后也可以出现这样的确认页面。配置结束后，你点击‘同意（Approve）’然后你就会得到你确认的对话框；再选择‘是（yes）’，你会看见一个‘你是否同意软件许可使用协议？’的对话框。我特别关注最新更新时出现的部分许可证协议：

　　‘在没有获得微软预先批准的情况下，你不得将操作系统组建基于.NET构架的测试结果公布给第三方。’

　　听上去有点怪？让你疑惑的是为什么本田汽车公司和丰田汽车公司之间对于燃油电力汽车的最少耗油量的竞争如此激烈。他们所做的一切是为生产出最好的SUV（四轮驱动）汽车，比如对汽车进行改进，要求每加仑汽油能行使150英里，还有他们会对每一个购买汽车的用户签订一个保密协议…言归正传，我们依然讨论SUS的安装。我在寻找‘我同意（I Agree）’按钮的时候出了点小麻烦，我想也许是因为我的显示器的分辨率设置在1600*1200，并且使用了大字体，显然微软在设计程序的时候，显示对话框的字体时是不检测用户设置的字体。

　　‘我同意’的按钮是在协议对话框的下面。（我希望关于字体的问题不算是透露.NET构架的一些问题！如果算是的话，我认为这是‘伪造’的！）我发现可以使用‘TAB’键在目录中进行‘接收协议’或‘不接协议’的按钮间的切换。当完成上述的过程后，你将会得到一个完成的确认信息，然后用户的PC机就可以通过这个服务器获得更新了。

　　在你结束配置之前，请你再返回‘与服务器同步（Synchronize Server）’的链接并且选择‘同步时间表（Synchronization Schedule）’。你可以设置SUS服务器检测微软网站更新文件的时间表。我设置自己的SUS服务器是每天早上2点。但是我没有设置服务器自动接收所有的补丁，所有我还是要每天都检查下载的补丁是否都被接受。如果服务器收到新的补丁能自动给我发个email，那该多好呀，但是现在的版本不行（或许在下一个版本会新增功能）。

　　安装SUS客户端软件

　　任何一种基于服务器端和客户端的软件都有两个部分：运行在服务器端软件部分还有是运行在客户端软件部分。通常是配置服务器端相对于客户端复杂，但是你也只要在一台或两台上安装服务器软件。这客户端部分虽然简单但是确要在每台客户机上安装，这是件比较烦人的工作。这里所说的‘客户机’是指公司内部的所有运行windows2000，XP或2003的机器，无论它们是工作站，成员服务器或是域控制器。

　　下载微软提供的SUS客户端软件，文件格式是MSI的，你可以通过活动目录组策略自动发布并安装该软件。请参阅windows2000和2003中使用组策略配置软件的相关章节。但是你可以不需要在每个SUS客户端上都安装这个软件，因为这个软件已经包括在windows 2000 SP3，SP4和XP SP1和windows 2003中。这的确是个好消息，因为你不必要在每台机器上安装客户端软件了，你或许已经获得最新的SUS客户端软件了。（到年中时候，Windows Update将会成为Microsoft Update, 到那个时候SUS2.0版本将会面世了）

　　如果你必须去安装SUS客户端软件，那么你就从上述地址下载软件，然后通过组策略派发或者自己一台台地安装。安装时直接双击MSI的文件或者使用’msiexec /i’，安装时应该没有任何问题。