SCCM’de Yazılım Güncelleme Dağıtımı (Software Update Deployment)

Yazılım güncellemeleri, büyük yazılım firmaları mevcut ürünlerindeki güvenlik açıklarını gidermek için yayınlanır. Bilgisayarları güncel tutmak , siber saldırılara ve zararlı tehditlere karşı koruma sağlamak için çok önemlidir. System Center Configuration Manager yazılım güncellemelerini takip gibi zor bir işin yanı sıra bu güncelleştirmeleri uygulamak için yardımcı araçlar ve kaynakları sağlar.

SCCM’de yazılım güncellemelerini dağıtmak için Automatic ve Manuel olmak üzere iki yol vardır :

Manuel Yazılım Güncelleme Dağıtımı (Manuel Software Update Deployment) : Bir dizi güncelleme Configuration Manager konsolundan seçilir ve bu güncellemelerin ilgili Collection’a dağıtımı yapılır

Automatic Yazılım Güncelleme Dağıtımı (Automatic Software Update Deployment) : Automatic Deployment Rules kullanılarak yazılım güncellemelerinin dağıtımı yapılır. Bu yöntemde aylık yazılım güncellemelerinin dağıtımı ve tanımların (definitions) güncellenmesi yapılır. Bu Automatic Deployment Rule çalıştığında belirtilen ölçütleri karşılayan yazılım güncellemeleri (örneğin geçen hafta yayınlanan tüm güvenlik yazılım güncelleştirmeleri) bir yazılım güncelleştirme grubuna (Software Update Group) eklenir. Yazılım güncellemeleri için indirilen içerik dosyaları ve dağıtım noktalarına kopyalanır. Ardından yazılım güncellemeleri , hedef collection’daki istemci bilgisayarlara dağıtılır.

Yazılım güncellemelerinin manual (el ile) ve automatic (otomatik) kurulumu aşağıda anlatılmaktadır.

Software Update Rolünün Kurulumu

• Configuration Manager Console -> Administration -> Site Configuration -> Sites -> Rol kurulacak site’a sağ tık -> Add Site System Roles seçilir.

• General bölümünde Site code , Site System Installation Account gibi ayarlar yapılır.
• Proxy bölümünde sistemde aktif olarak kullanılan proxy sunucusu varsa bilgileri girilir.
• System Role Selection bölümünde Software Update Point işaretlenir. Next ile devam edilir.

• Software Update Point bölümünde
  • WSUS Configuration bölümünde Windows Server 2012 üzerine WSUS kurulumu yapıldığından WSUS is configured to use ports 8530 and 8531 for client communications (default settings for WSUS on Windows Server 2012) seçeneği seçilir.
  • Client Connection Type bölümünde iç ağdaki client’lar için uygulanması istendiğinden Allow intranet-only client connections seçilir. Next ile devam edilir.

• Proxy and Account Settings bölümünde WSUS Server Connection Account’ta Use credentials to connect to the WSUS server işaretlenip Set seçilerek WSUS Server bağlantısı için kullanılacak hesap seçilir. Örnekte sccmadmin kullanıcısı seçilmiştir. Next ile devam edilir.

• Synchronization Source bölümünde
  • Update’lerin alınacağı kaynak olarak Microsoft Update kullanılacağı için Synchronize from Microsoft Update seçilir.
  • WSUS reporting events’ta client bilgisayarlar için WSUS rapor eventlarının yaratılmasını sağlar. Configuration Manager bu raporları kullanmadığından bu eventlara ihtiyacımız yoktur. Bu nedenle Do not create WSUS reporting events seçilir. Next ile devam edilir.

• Synchronization Schedule bölümünde
  • Enable synchronization on a schedule software , update’lerin belirli aralıklarla senkronize edilmesi istenirse işaretlenir.
  • Synchronization schedule’da Simple schedule seçilip Run every kısmına 7 Hours seçilirse her 7 saatte bir update’ler senkronize edilir.
  • Alert when synchronization fails on any site in the hierarcy , Configuration Manager herhangi bir sitede senkronizasyon yapılamadığında alarm verilmesini sağlar. Next ile devam edilir.

• Supersedence Rules bölümünde , güncellemelerin daha yeni versiyonu çıktığında software update’leri konusunda Configuration Manager’ın nasıl davranacağı seçilir. Güncel update’lerin daha yeni versiyonu çıktığında expire olması isteniyorsa Supersedence Behavior’da Immediatelly expire a superseded software update seçilir. Next ile devam edilir.

• Classifications bölümünde hangi tür update’lerin dağıtımının yapılacağı seçilir. Örnekte Critical Updates , Definition Updates ve Security Updates seçilmiştir. Next ile devam edilir.

• Products bölümünde hangi ürünler için güncellemelerin dağıtımının yapılacağı seçilir. Örnekte Windows 7 , Windows 8 , Windows Server 2012 ve Forefront Endpoint Protection seçilmiştir. Next ile devam edilir.

• Languages bölümünde güncellemelerin hangi dilde dağıtılacağı seçilir. Örnekte İngilizce ve Türkçe seçilmiştir. Next ile devam edilir.

• Completion bölümünde işlemlerin tamamlandığı görülüp Close ile bitirilir.

Updatelerin Senkronize Edilmesi :

• Configuration Manager Console -> Software Library -> Software Updates -> All Software Updates’e sağ tık -> Synchronize Software Updates seçilir.

• Senkronizasyonu hemen çalıştırmak için Yes ile senkronizasyon başlatılır.
• wsyncmgr.log ve WCM.log logları incelenerek update’lerin senkronizasyonunun yapıldığı ve tamamlandığı görülebilir.

Manual (El İle) Software Update Deployment

Software Update Group Oluşturulması :

• All Software Updates bölümünde bulunan tüm updateleri ürünlere göre filtreleyip Software Update Group’ları oluşturabiliriz.
• Search bölümünde Add Criteria sekmesi açılıp filtrede istenilen kriterler seçilir. Örnekte Bulletin ID , Expired , Product ve Superseded filtreleri seçilmiştir.
• Filtrelenmiş update’lerin hepsi seçilir (Shift + Page Down) ve sağ tıklanıp Create Software Update Group seçilir.

• Software Update Group için bir isim belirlenir.

• Örnekte Windows Windows 7, Windows 8 ve Windows 8.1 clientları için Update Group oluşturulmuştur.

Updatelerin Collection’a Dağıtımı :

• Oluşturulan software update group sağ tıklanır ve Deploy seçilir.

• General bölümünde
  • Deployment Name’de deployment’a isim verilir.
  • Description’a deployment ile ilgili açıklama yazılabilir.
  • Collection’da Browse ile deployment’ın yapılacağı collection seçilir. Next ile devam edilir.

• Deployment Settings bölümünde
  • Type of deployment’te Required seçilir. Required seçilmesinin nedeni update’lerin kullanıcının tercihine bırakmayıp otomatik olarak kurulmasını tercih etmemizdir.
  • Use Wake-on-LAN to wake up clients for required deployments seçildiğinde Wake-on-LAN özelliğine sahip ve bu özelliği aktif olan makinelerin güncellemeye ihtiyaçları varsa makineler otomatik olarak açılır ve güncellemeleri yüklenir.
  • Detail level’da kullanıcının ne tip bildirimler alacağını belirlenir. Only success and error messages seçilirse kullanıcı işlem sırasında sadece güncelleme kurulumlarının başarılı veya başarısız olduğunu görür. Next ile devam edilir.

• Scheduling bölümünde
  • Schedule evaluation’da deployment’ın Universal Coordinated Time (UTC)’a göre mi client’ın yerel saatine göre mi yapılacağı seçilir.
  • Software available time’da software update’lerin ne zaman kullanılabilir olacağı seçilir. As soon as possible seçilirse hemen kullanılabilir olacaktır. Specific time seçilirse belirtilen tarih ve saatte kullanılabilir olacaktır.
  • Installation deadline’da software update’lerin deadline zamanının belirlenmesini sağlar. Bu bölümü As soon as possible seçilmesi önemlidir. Nedeni ise zamanı geçen update’lerin hemen kaldırılmasının istenmesidir. Next ile devam edilir.

• User Experience bölümünde
  • User notifications’da kullanıcıların Software Center’da görebileceği bildirimlerin hangileri olacağı seçilir. Display in Software Center and Show all notifications seçildiğinde Software Center’da tüm bildirimlerin görülmesi sağlanır.
  • Deadline behaviour’da kurulum süresi Maintenance Window zaman aralığını aşarsa sistemin davranış şekli seçilir.
    • Software updates installation seçilirse güncellemelerin kurulmasını
    • System restart (if necessary) yeniden başlatma gerekliyse başlatılmasını sağlar.
  • Device restart behaviour’da kurulduktan sonra yeniden başlatma (restart) gerektiren update’ler kurulduktan sonra hangi sistemlerin yeniden başlatmasının erteleneceği seçilir. Next ile devam edilir.

• Alerts bölümünde işlem başarısız olursa alarm üretip üretmeyeceği seçilir.

• Download Settings bölümünde sırasıyla
  • Client yavaş veya güvenilmez bir bağlantıya sahipse , veya fallback kaynağı kullanıyorsa sistemin davranışı belirlenir. Deployment options’ta
    • Do not install software updates seçildiğinde güncellemeler kurulmaz.
    • Download software updates from distribution point and install seçildiğinde güncellemeler dağıtım noktasından indirilip kurulur.
  • Client dağıtım noktasındaki güncellemelere erişemiyorsa sistemin davranışı belirlenir. Deployment options’ta
    • Do not install software updates seçildiğinde güncellemeler kurulmaz.
    • Download and install software updates from the fallback content source location seçildiğinde güncellemeler fallback kaynağından indirilip kurulur.
  • Allow clients tos hare content with other clients on the same subnet seçildiğinde aynı ağda bulunan istemciler güncellemeleri birbirleriyle paylaşabilirler.
  • If software updates are not available on preferred distribution point or remote distribution point, download content from Microsoft Updates seçildiğinde güncellemelere tercih edilen ve uzaktaki distribution point’lerden ulaşılamıyorsa Microsoft Update üzerinden güncellemeler edinilir.
  • Allow clients on a metered Internet connection to download content after the installation deadline, which might incur additional costs seçildiğinde sınırlı internet bağlantısı kullanan client’lara deadline zamanından sonra da indirmek için izin verilir. Next ile devam edilir.

• Deployment Package bölümünde
  • Create a new deployment package’de
    • Name’de deployment için oluşturulacak pakete (package)’a isim verilir.
    • Package source’da paketlerin nerede tutulacağı seçilir. Burada paylaşılacak yola herkes (everyone) için Read / Write yetkisi verilmelidir.
    • Sending priority’de gönderme önceliği seçilir. Güncellemeler kritik ise High seçilir. Next ile devam edilir.

• Distribution Points bölümünde güncellemelerin yapılacağı distribution point (dağıtım noktası) Add bölümünden seçilir. Next ile devam edilir.

• Download Location bölümünde güncellemelerin nereden indirileceği seçilir.
  • Download software updates from the internet seçildiğinde güncellemeler internet üzerinden indirilir.
  • Download software updates from a location on my network seçildiğinde güncellemeler ağımızda paylaşılan belirli bir kaynaktan alınır. Next ile devam edilir.

• Language Selection bölümünde hangi dildeki güncellemelerin indirileceği seçilir. Örnekte İngilizce ve Türkçe seçilmiştir. Next ile devam edilir.

• Completion bölümünde deployment işlemimizin başarılı bir şekilde olduğu görülür. Close ile bitirilir.

• Client’larda son durum aşağıdaki gibi olacaktır.

Automatic (Otomatik) Software Update Deployment

• Configuration Manager Console -> Software Library -> Software Updates -> Automatic Deployment Rules’a sağ tık -> Create Automatic Deployment Rule seçilir.

• General bölümünde
  • Name’de otomatik software update rule için isim belirtilir.
  • Description’da bu rule ile ilgili açıklama yapılabilir.
  • Template bölümünde template’imiz varsa bu template seçilir. Örnekte Patch Tuesday isimli template seçilmiştir.
  • Each time the rule runs and finds new updates’de software update group’lar için iki seçeneğimiz vardır.
    • Add to an existing Software Update Group seçildiğinde otomatik güncelleme kuralı ilk çalıştığında yeni bir Yazılım Güncelleme Grubu (Software Update Group) oluşturur ve bundan sonra çalışacak tüm yeni otomatik güncellemeler bu grubun içine eklenir.
    • Create a new Software Update Group seçildiğinde otomatik güncelleme kuralı her çalıştığında yeni bir yazılım güncelleme grubu oluşturulur.
    • Bu noktada dikkat edilmesi gereken konu eğer ilk seçeneği işaretleyerek güncellemeleri mevcut Yazılım Güncelleme Grubu içine almayı seçtiysek, SCCM bu grubu kendisi oluşturur. Biz kendimiz bir grup oluştursak dahi SCCM bu grubu kullanmaz. SCCM tarafından kullanılan bir grup adının aynısı ile biz bir grup oluştursak dahi, SCCM yine bu isimle bir grup oluşturacak ve güncelleme grubu olarak kendi oluşturduğu grubu kullanacaktır.
  • Enable the deployment after this rule is run seçildiğinde sihirbaz tamamlandığında otomatik kurulum hemen başlar. Next ile devam edilir.

• Deployment Settings bölümünde
  • Use Wake-on-LAN to wake up clients for required deployments seçildiğinde Wake-on-LAN özelliğine sahip ve bu özelliği aktif olan makinelerin güncellemeye ihtiyaçları varsa makineler otomatik olarak açılır ve güncellemeleri yüklenir.
  • Detail level’da kullanıcının ne tip bildirimler alacağını belirlenir. Only success and error messages seçilirse kullanıcı işlem sırasında sadece güncelleme kurulumlarının başarılı veya başarısız olduğunu görür.
  • Automatically deploy all software updates found by this rule, and approve any license agreements uygulanması için lisans anlaşması isteyen bazı güncellemelerin anlaşmasının otomatik olarak kabul edilmesi için işaretlenir. Next ile devam edilir.

• Software Updates bölümünde
  • Date released or revised , Language , Product ve Update Classification işaretlenerek ilgili bilgiler girilir. Next ile devam edilir.

• Evaluation Schedule bölümünde software update pointlerin senkronizasyon aralığı seçilir. Kuralın hangi tarihte ve hangi zaman aralıklarında çalıştırılacağı belirleneceği için Run the rule on a schedule seçilir. Değişiklik isteniyorsa Customize bölümünden yapılabilir.

• Deployment Schedule bölümünde software update’lerin kurulumları zamanlanır.
  • Schedule evaluation’da kurulumların Uluslararası Zaman Koordinasyonu (UTC) zaman diliminde mi yoksa client’ların kendi yerel saatlerine göre mi yapılacağı seçilir. Örnekte UTC seçilmiştir. Nedeni güncelleme işlemi birçok ülkede faaliyet gösteren bir kuruluşa aitse UTC seçiminin ülkeler arasındaki zaman farkından dolayı çıkacak sorunları ortadan kaldırmasıdır.
  • Software available time’da yapılan işlemler şu şekilde açıklanabilir. Software update’ler Microsoft ile senkronize olduktan sonra diğer içerik sunucularına (Content Server) dağıtılır. Eğer site’da birden çok içerik sunucusu varsa update’lerin tamamen indirilmesi , belirli bir zaman sonra içerik sunucularına dağıtılması , güncelleme sunucusunun güncellemeleri eşitleme işleme ve dağıtması gibi işlemler için geniş bir zaman dilimi gerekmektedir. Software available time’da bu işlemler için gerekli zaman belirlenir.
  • Installation deadline’da software update’lerin kurulacağı en son zaman seçilir. Deadline (süre bitimi) zamanı geldiğinde client’lara hala güncellemelerin tümü kurulmadıysa kuruluma hazır olan güncellemelerin kurulumları yapılır ve client’ın yeniden başlatılması gerekiyorsa yeniden başlatılır.
  • Bu aşamaya kadar yapılan tercihlerle gerçekleşecek durum aşağıdaki gibidir :
  • Güncellemeler her gün saat 01:00’da eşitlenir.
  • Güncellemeler eşitlendikten sonra 03:00’da içerik sunucularına dağıtılır.
  • Süre bitimi olarak 2 saat seçildiğinden 05:00’a kadar kurulumlar tamamlanır ve gerekiyorsa client’lar yeniden başlatılır.
  • Türkiye saati UTC+2 olduğundan burada yapılacak olan işlemler 07:00’da bitecektir.
  • Kurulumların hemen yapılarak client’ların yeniden başlatılması isteniyorsa As soos as possible seçilir (Bu durumda süre bitimi UTC olarak saat 03:00 olacaktır). Next ile devam edilir.

• User Experience bölümünde
  • User notifications’da kullanıcıların Software Center’da görebileceği bildirimlerin hangileri olacağı seçilir. Display in Software Center and Show all notifications seçildiğinde Software Center’da tüm bildirimlerin görülmesi sağlanır.
  • Deadline behaviour’da kurulum süresi Maintenance Window zaman aralığını aşarsa sistemin davranış şekli seçilir.
    • Software updates installation seçilirse güncellemelerin kurulmasını
    • System restart (if necessary) yeniden başlatma gerekliyse başlatılmasını sağlar.
  • Device restart behaviour’da kurulduktan sonra yeniden başlatma (restart) gerektiren update’ler kurulduktan sonra hangi sistemlerin yeniden başlatmasının erteleneceği seçilir. Next ile devam edilir.

• Alerts bölümünde işlem başarısız olursa alarm üretip üretmeyeceği seçilir.

• Download Settings bölümünde sırasıyla
  • Client yavaş veya güvenilmez bir bağlantıya sahipse , veya fallback kaynağı kullanıyorsa sistemin davranışı belirlenir. Deployment options’ta
    • Do not install software updates seçildiğinde güncellemeler kurulmaz.
    • Download software updates from distribution point and install seçildiğinde güncellemeler dağıtım noktasından indirilip kurulur.
  • Client dağıtım noktasındaki güncellemelere erişemiyorsa sistemin davranışı belirlenir. Deployment options’ta
    • Do not install software updates seçildiğinde güncellemeler kurulmaz.
    • Download and install software updates from the fallback content source location seçildiğinde güncellemeler fallback kaynağından indirilip kurulur.
  • Allow clients tos hare content with other clients on the same subnet seçildiğinde aynı ağda bulunan istemciler güncellemeleri birbirleriyle paylaşabilirler.
  • If software updates are not available on preferred distribution point or remote distribution point, download content from Microsoft Updates seçildiğinde güncellemelere tercih edilen ve uzaktaki distribution point’lerden ulaşılamıyorsa Microsoft Update üzerinden güncellemeler edinilir.
  • Allow clients on a metered Internet connection to download content after the installation deadline, which might incur additional costs seçildiğinde sınırlı internet bağlantısı kullanan client’lara deadline zamanından sonra da indirmek için izin verilir. Next ile devam edilir.

• Deployment Package bölümünde software update’leri için varsa paket seçilir yoksa paket oluşturulur. Deployment için yeni paket oluşturulacaksa

• Create a new deployment package’de
  • Name’de deployment için oluşturulacak pakete (package)’a isim verilir.
  • Package source’da paketlerin nerede tutulacağı seçilir. Burada paylaşılacak yola herkes (everyone) için Read / Write yetkisi verilmelidir.
  • Sending priority’de gönderme önceliği seçilir. Güncellemeler kritik ise High seçilir. Next ile devam edilir.

• Distribution Points bölümünde güncellemelerin yapılacağı distribution point (dağıtım noktası) Add bölümünden seçilir. Next ile devam edilir.

• Download Location bölümünde güncellemelerin nereden indirileceği seçilir.
  • Download software updates from the internet seçildiğinde güncellemeler internet üzerinden indirilir.
  • Download software updates from a location on my network seçildiğinde güncellemeler ağımızda paylaşılan belirli bir kaynaktan alınır. Next ile devam edilir.

• Language Selection bölümünde hangi dildeki güncellemelerin indirileceği seçilir. Örnekte İngilizce ve Türkçe seçilmiştir. Next ile devam edilir.

• Completion bölümünde deployment işlemimizin başarılı bir şekilde olduğu görülür. Close ile bitirilir.

Böylece SCCM üzerinde Software Update Point kurulumu yapılmış ve hem Manuel hem de Automatic Deployment Rule aracılığıyla Software Update Deployment işlemleri tamamlanmış olur.

Faydalı olması dileğiyle…