Установка обновлений в windows c помощью power shell модуля ps windows update

При обслуживании корпоративной сети часто возникает необходимость установить и настроить ПО одновременно на нескольких рабочих местах, чтобы не тратить время на ручную подготовку каждого из них.

Одним из решений данной задачи в ОС Windows является установка с помощью групповых политик настроенного приложения сразу для всех компьютеров в домене. Однако данное решение возможно только при наличии MSI-пакета приложения.

В данной статье мы покажем, как развернуть клиентское приложение TrueConf с заданными настройками на всех машинах домена и локально на одной из них.

Серверные ОС часто используются с английским интерфейсом. Поэтому для удобства названия элементов интерфейса в статье приведены на двух языках: русском и английском (через символ “/”).

Установка с параметрами должна производиться от лица пользователя, имеющего административные права. Это необходимо учесть если вы не хотите строго следовать инструкции и произвести установку вручную или с помощью стороннего скрипта (например, PowerShell).

Зачем нужны MSI-пакеты?

Файл с расширением .msi (сокращение от Microsoft Installer) является установщиком для ОС Windows. Внутри он представляет из себя контейнер с инструкциями и данными, необходимыми для установки конкретного приложения.

Более привычной для рядовых пользователей Windows является установка ПО с помощью исполняемых exe-файлов. MSI-установка в свою очередь актуальна для корпоративных задач благодаря основным преимуществам:

• Возможность развернуть MSI-пакет на всех компьютерах домена через групповые политики.
• Возможности настроить процесс установки с помощью параметров (в контексте MSI называемых ключами), а также передать параметры самому приложению (должно быть поддержано его разработчиками).

Список ключей для установки

Подробнее о настройке клиентского приложения TrueConf с помощью JSON-параметров читайте в соответствующей статье нашей базы знаний.

Подготовка файла MST для задания настроек при установке через групповые политики

Ключи для MSI-пакета, устанавливаемого средствами групповых политик, указываются в .mst файле. Создать такой файл можно с помощью утилиты Orca, которая входит в состав Microsoft Windows Installer SDK.

Описанные далее действия можно проделать на любом компьютере, не обязательно чтоб он находился в целевом домене:

1. Скачайте инсталлятор Windows SDK с официального сайта Microsoft и запустите его.
2. Конкретно для нашей задачи на этапе выбора компонентов для установки достаточно отметить только флажок MSI Tools.

   

3. Далее перейдите в директорию, куда установились инструменты Windows SDK (по умолчанию это C:\Program Files (x86)\Windows Kits), а оттуда проследуйте по следующему пути: \bin\sdk_version\x86 (вместо sdk_version будет ваша версия Windows SDK). Здесь вы найдёте MSI-инсталлятор утилиты Orca – обычно это файл с названием Orca-x86_en-us.msi. Установите и запустите утилиту.
4. Через команду меню File → Open откройте MSI-пакет клиентского приложения TrueConf:

   

5. В разделе Tables выберите пункт Property. В правой части окна отобразится список доступных MSI-ключей приложения, а также некоторая служебная информация.

   

6. Далее необходимо перевести утилиту в режим редактирования выбрав команду Transform → New Transform:

   

7. После этого укажите значения необходимых ключей в столбце Value.

   

8. Сохраните настроенные параметры в файле .mst, выбрав команду Transform → Generate Transform:

   

Установка MSI-пакета с помощью групповых политик

Для того чтобы развернуть клиентское приложение TrueConf на всех машинах, объединённых в домен, необходимо выполнить следующие действия на контроллере этого домена:

1. Разместите MSI-установщик клиентского приложения и MST-файл с настроенными ключами на контроллере домена по следующему пути:

   Каталог SYSVOL обязательно должен быть доступен для обнаружения клиентскими машинами в домене. В противном случае установка будет невозможна.

   

2. Перейдите в консоль управления групповыми политиками. Для этого нажмите клавиши Win + R, и в появившемся окне введите команду gpmc.msc.
3. Создайте новый объект групповой политики (GPO, Group Policy Object). Для этого нажмите правой кнопкой мыши на нужном домене и в появившемся меню выберите пункт Создать объект групповой политики в этом домене и связать его / Create a GPO in this domain, and link in here:

   

4. Введите имя созданной политики и нажмите OK.
5. Правой кнопкой мыши нажмите на созданном GPO и выберите команду Правка… / Edit… в контекстном меню.
6. Появится окно настройки объекта групповой политики. В дереве настроек, расположенном в левой части окна, нажмите правой кнопкой мыши на пункте Конфигурация компьютера / Computer Configuration → Политики / Policies → Конфигурация программ / Software Settings → Установка программ / Software installation, а затем выберите Создать / New → Пакет / Package:

   

7. В окне проводника выберите MSI-установщик, размещённый в сетевом каталоге SYSVOL в 1 пункте как показано выше.
8. После этого появится окно выбора типа развёртывания. Здесь нужно выбрать Особый / Advanced:

   Если не выбрать опцию Особый / Advanced, то не будет возможности добавить MST-файл с настройками.

   

9. Далее появится окно настройки процесса развёртывания. Здесь перейдите на вкладку Модификации / Modifications, нажмите кнопку Добавить / Add и в появившемся окне проводника выберите файл настроек. После загрузки файла, нажмите ОК.

   

10. Обновите настройки GPO, выполнив в консоли команду:
    

    Настройки GPO обновятся, и приложения будут установлены на клиентских машинах во время следующего входа их пользователей в свои учётные записи.

Удаление приложения со всех машин домена

Для того чтобы централизованно удалить приложение, установленное на машинах в домене:

1. Откройте консоль управления групповыми политиками gpmc.msc.
2. Правой кнопкой мыши нажмите на объект групповой политики, с помощью которого настраивалось доменное развёртывание MSI-пакета.
3. В появившемся контекстном меню выберите команду Правка… / Edit…:

   

4. Откроется окно настройки объекта групповой политики. В дереве настроек в левой части окна выберите пункт Конфигурация компьютера / Computer Configuration → Политики / Policies → Конфигурация программ / Software Settings → Установка программ / Software installation.
5. Справа отобразится список приложений, установленных в рамках редактируемой групповой политики. Правой кнопкой мыши нажмите на приложении TrueConf Client и в появившемся контекстном меню выберите Все задачи / All Tasks → Удалить / Remove.

   

6. В открывшемся окне выберите опцию Немедленное удаление этого приложения с компьютеров всех пользователей / Immediately uninstall the software from users and computers и нажмите OK:

   

7. Затем обновите настройки GPO, выполнив в консоли команду:
   

   При следующем входе пользователей в свои учётные записи на их машинах произойдёт деинсталляция приложения TrueConf.

Локальная установка MSI-пакета

MSI-пакет также можно установить локально, на одной машине. Для этого:

1. Скачайте его с официального сайта TrueConf.
2. Откройте командную строку и перейдите в каталог со скачанным MSI-установщиком.
3. Выполните следующую команду для установки приложения:
   

   Вместо your_params укажите необходимые параметры, состоящие из MSI-ключа и его значения по следующему шаблону:

   Параметры должны быть разделены пробелами. Пример команды для установки с параметрами представлен ниже:

После этого клиентское приложение TrueConf с указанными настройками будет установлено на нужной машине.

\\\
"2022.08.24 9:02(44.749) ""Запущен Мастер Установки ПроАТМ 5.7.7 (rev 31876)."
"2022.08.24 9:03(08.273) ""Запущена установка приложения ПроАТМ 5.7.7 (rev 31876)."
"2022.08.24 9:03(45.230) ""Установка приложения ПроАТМ 5.7.7 (rev 31876) успешно завершена"

  \        "<путь к папке>\Custom"

Установку Kaspersky Endpoint Security из командной строки можно выполнить в одном из следующих режимов:

• В интерактивном режиме с помощью мастера установки приложения.
• В тихом режиме. После запуска установки в тихом режиме ваше участие в процессе установки не требуется (тихая установка). Для установки приложения в тихом режиме используйте ключи /s и /qn.

  Перед установкой приложения в тихом режиме откройте и прочитайте Лицензионное соглашение и текст Политики конфиденциальности. Лицензионное соглашение и текст Политики конфиденциальности входят в комплект поставки Kaspersky Endpoint Security. Приступайте к установке приложения, только если вы полностью прочитали, понимаете и принимаете положения и условия Лицензионного соглашения, если вы понимаете и соглашаетесь, что ваши данные будут обрабатываться и пересылаться (в том числе в третьи страны), согласно Политике конфиденциальности, если вы полностью прочитали и понимаете Политику конфиденциальности. Если вы не принимаете положения и условия Лицензионного соглашения и Политику конфиденциальности, не устанавливайте и не используйте Kaspersky Endpoint Security.

Вы можете просмотреть список команд для установки приложения с помощью команды /h. Чтобы получить справку по синтаксису команды установки, введите setup_kes.exe /h. В результате инсталлятор покажет окно с описанием параметров команды (см. рис. ниже).

Описание параметров команды установки

Чтобы установить приложение или обновить предыдущую версию приложения, выполните следующие действия:

1. Запустите интерпретатор командной строки cmd от имени администратора.
2. Перейдите в папку, в которой расположен дистрибутив Kaspersky Endpoint Security.
3. Выполните команду:

В результате приложение будет установлено на компьютер. Вы можете убедиться, что приложение установлено, и проверить параметры приложения с помощью команды status.

Параметры установки приложения

После установки приложения Kaspersky Endpoint Security происходит активация по пробной лицензии, если вы не указали код активации в файле setup.ini. Пробная лицензия обычно имеет небольшой срок действия. По истечении срока действия пробной лицензии Kaspersky Endpoint Security прекращает выполнять все свои функции. Чтобы продолжить использование приложения, вам нужно активировать приложение по коммерческой лицензии с помощью мастера активации приложения или специальной команды.

Во время установки приложения или обновления версии приложения в тихом режиме поддерживается использование следующих файлов:

Чтобы применить параметры из файлов setup.ini, install.cfg и setup.reg, разместите эти файлы в папке с дистрибутивом Kaspersky Endpoint Security. Также вы можете разместить файл setup.reg в другой папке. В этом случае вам нужно указать путь к файлу в команде установки приложения: SETUPREG=<path to the setup.reg file>.

Установка модуля управления обновлениями PSWindowsUpdate

В современных версиях Windows 10/11 и Windows Server 2022/2019/2016 модуль PSWindowsUpdate можно установить из онлайн репозитория PowerShell Gallery с помощью команды:

Install-Module -Name PSWindowsUpdate

Подтвердите добавление репозитариев, нажав Y. Проверьте, что модуль управлениям обновлениями установлен в Windows:

Get-Package -Name PSWindowsUpdate

Можно удаленно установить PSWindowsUpdate на другие компьютеры в сети. Следующая команда скопирует файлы модуля на указанные компьютеры (для доступа к удаленным компьютерам используется WinRM).

$Targets = "srv1.winitpro.loc", "srv2.winitpro.loc"
Update-WUModule -ComputerName $Targets -local

Политика выполнения PowerShell скриптов в Windows по умолчанию блокирует запуск командлетов из сторонних модулей, в том числе PSWindowsUpdate. Чтобы разрешить запуск любых локальных скриптов, выполните команду:

Set-ExecutionPolicy –ExecutionPolicy RemoteSigned -force

Либо вы можете разрешить запускать команды модуля в текущей сессии PowerShell:

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope Process

Импортируйте модуль в сессию PowerShell:

Выведите список доступных командлетов:

Get-command -module PSWindowsUpdate

Проверить текущие настройки клиента Windows Update:

ComputerName                                 : WKS22122
WUServer                                     : http://MS-WSUS:8530
WUStatusServer                               : http://MS-WSUS:8530
AcceptTrustedPublisherCerts                  : 1
ElevateNonAdmins                             : 1
DoNotConnectToWindowsUpdateInternetLocations : 1
 TargetGroupEnabled                           : 1
TargetGroup                                  : WorkstationsProd
NoAutoUpdate                                 : 0
AUOptions                                    : 3 - Notify before installation
ScheduledInstallDay                          : 0 - Every Day
ScheduledInstallTime                         : 3
UseWUServer                                  : 1
AutoInstallMinorUpdates                      : 0
AlwaysAutoRebootAtScheduledTime              : 0
DetectionFrequencyEnabled                    : 1
DetectionFrequency                           : 4

В данном примере клиент Windows Update на компьютере настроен с помощью GPO на получение обновлений с локального сервера обновлений WSUS.

Сканировать и загрузить обновления Windows с помощью PowerShell

Чтобы просканировать компьютер на сервере обновлений и вывести список обновлений, которые ему требуется, выполните команду:

Команда должна вывести список обновлений, которые нужно установить на вашем компьютере.

Команда Get-WindowsUpdate при первом запуске может вернуть ошибку:

Value does not fall within the expected range.

Чтобы проверить, откуда получает ли Windows обновлений с серверов Windows Update в Интернете или локального WSUS, выполните команду:

В этом примере вы видите, компьютер настроен на получение обновлений с локального сервера WSUS (Windows Server Update Service = True). В этом случае вы должны увидеть список обновлений, одобренных для вашего компьютера на WSUS.

Если вы хотите просканировать ваш компьютер на серверах Microsoft Update в Интернете (кроме обновлений Windows на этих серверах содержатся обновления Office и других продуктов), выполните команду:

Вы получаете предупреждение:

Get-WUlist : Service Windows Update was not found on computer

Чтобы разрешить сканирование на Microsoft Update, выполните команду:

Чтобы убрать определенные продукты или конкретные KB из списка обновлений, которые получает ваш компьютер, вы их можете исключить по:

• Категории (-NotCategory);
• Названию (-NotTitle);
• Номеру обновления (-NotKBArticleID).

Например, чтобы исключить из списка обновления драйверов, OneDrive, и одну конкретную KB:

Get-WUlist -NotCategory "Drivers" -NotTitle OneDrive -NotKBArticleID KB4533002

Get-WindowsUpdate -Download -AcceptAll

Windows загрузит все доступные патчи сервера обновлений (MSU и CAB файлы) в локальный каталог обновлений, но не запустит их автоматическую установку.

Установка обновлений Windows с помощью команды Install-WindowsUpdate

Install-WindowsUpdate -MicrosoftUpdate -AcceptAll -AutoReboot

Ключ AcceptAll включает одобрение установки для всех пакетов, а AutoReboot разрешает автоматическую перезагрузку Windows после завершения установки обновлений.

Также можно использовать следующе параметры:

• IgnoreReboot – запретить автоматическую перезагрузку;
• ScheduleReboot – задать точное время перезагрузки компьютера.

Можете сохранить историю установки обновлений в лог файл (можно использовать вместо WindowsUpdate.log).

Можно установить только конкретные обновления по номерам KB:

Get-WindowsUpdate -KBArticleID KB2267602, KB4533002 -Install

Если вы хотите пропустить некоторые обновления при установке, выполните:

Install-WindowsUpdate -NotCategory "Drivers" -NotTitle OneDrive -NotKBArticleID KB4011670 -AcceptAll -IgnoreReboot

Проверить, нужна ли перезагрузка компьютеру после установки обновления (атрибуты RebootRequired и RebootScheduled):

>Просмотр истории установленных обновлений в Windows

С помощью команды Get-WUHistory вы можете получить список обновлений, установленных на компьютере ранее автоматически или вручную.

Можно получить информацию о дате установки конкретного обновления:

Вывести даты последнего сканирования и установки обновлении на компьютере:

Удаление обновлений в Windows с помощью PowerShell

Для корректного удаления обновления Windows используется командлет Remove-WindowsUpdate. Вам достаточно указать номер KB в качестве аргумента параметра KBArticleID.

Remove-WindowsUpdate -KBArticleID KB4011634

Скрыть ненужные обновления Windows с помощью PowerShell

Вы можете скрыть определенные обновления, чтобы они никогда не устанавливались службой обновлений Windows Update на вашем компьютер (чаще всего скрывают обновления драйверов). Например, чтобы скрыть обновления KB2538243 и KB4524570, выполните такие команды:

$HideList = "KB2538243", "KB4524570"
Get-WindowsUpdate -KBArticleID $HideList -Hide

или используйте alias:

Hide-WindowsUpdate -KBArticleID $HideList -Verbose

Теперь при следующем сканировании обновлений с помощью команды Get-WindowsUpdate скрытые обновления не будут отображаться в списке доступных для установки.

Вывести список скрытых обновлений:

Обратите внимание, что в колонке Status у скрытых обновлений появился атрибут H (Hidden).

Отменить скрытие обновлений можно так:

Get-WindowsUpdate -KBArticleID $HideList -WithHidden -Hide:$false

Show-WindowsUpdate -KBArticleID $HideList

Управление обновлениями Windows на удаленных компьютерах через PowerShell

Практически все командлеты модуля PSWindowsUpdate позволяют управлять обновлеями на удаленных компьютерах. Для этого используется атрибут
-Computername Host1, Host2, Host3
. На удаленных компьютерах должен быть включен и настроен WinRM (вручную или через GPO). Модуль PSWindowsUpdate можно использовать для удаленного управлений обновлениями Windows как на компьютерах в домене AD, так и в рабочей группе (потребует определенной настройки PowerShell Remoting).

Для удаленного управления обновлениями компьютерах, нужно добавить имена компьютеров доверенных хостов winrm, или настроить удаленное управление PSRemoting через WinRM HTTPS:

Или с помощью PowerShell:
Set-Item wsman:\localhost\client\TrustedHosts -Value wsk-w10BO1 -Force

С помощью Invoke-Command можно разрешить использовать модуль PSWindowsUpdate на удаленных компьютерах и открыть необходимые порты в Windows Defender Firewall (команда
Enable-WURemoting
):

Проверить список доступных обновлений на удаленном компьютере:

Get-WUList –ComputerName server2

Командлет Invoke-WUJob (ранее командлет назывался Invoke-WUInstall) создаст на удаленном компьютере задание планировщика, запускаемое от SYSTEM. Можно указать точное время для установки обновлений Windows:

Проверить статус задания установки обновлений:

Get-WUJob -ComputerName $ServerNames

Если команда вернет пустой список, значит задача установки на всех компьютерах выполнена.

Проверьте наличие обновления на нескольких удаленных компьютерах:

Получить дату последней установки обновлений на всех компьютерах в домене можно с помощью командлета Get-ADComputer из модуля AD PowerShell:

PowerShell модуль PSWindowsUpdate удобно использовать для загрузки и установки обновлений Windows из командной строки (единственный доступны вариант в случае установки обновлений на хосты без графического интерфейса: Windows Server Core и Hyper-V Server). Также этот модуль незаменим, когда нужно одновременно запустить и проконтролировать установку обновлений сразу на множестве серверов/рабочих станциях Windows.

Похожее:

При установке приложения касперский использует ошибку Framework или Desktop Runtime……………………….))))***” Не запускается установщик касперского в виндовс 10 и как активировать касперского если не запускается. Почему не запускается “Касперский”? Что делать? Решение проблем с установкой Kaspersky Anti-Virus в Windows 7 Развертывание антивирусной защиты через Kaspersky Security Center