WSUS 更新管理是什么
WSUS（Windows Server Update Services）让内网 Windows 主机集中从内部服务器获取更新，而不是各自直连互联网。管理员在服务端按目标组审批更新，客户端通过组策略指向 WSUS 并归入对应分组。它带来的不只是带宽节省，更关键的是审批与分批能力：先给试点组审批，观察一段时间再扩大范围。排错时最常遇到的是客户端未上报或组策略未生效，此时先看客户端是否真的拿到了策略。
基本信息
| 适用对象 | 域内 Windows 服务器与终端 |
|---|---|
| 配置方式 | 组策略指定 WSUS 服务器地址、端口与目标组名 |
| 审批模型 | 按目标组分批审批，先试点再扩大 |
| 常用排查命令 | gpresult、Get-WindowsUpdateLog、注册表策略查询 |
典型使用场景
- 新建终端分批归组，先审批试点组的累积更新
- 紧急漏洞发布时走单独审批通道，避免与其他更新混在一批
- 排查终端长期不更新：确认策略是否生效、客户端能否连通 WSUS
- 定期核对目标组名称与组策略中的设置是否一致，避免同名歧义
- 统计补丁合规率时按最近上线时间分桶，避免离线终端拉低整体数据
策略与生效核查
策略与生效核查
# 查看生效的更新策略（含 WSUS 服务器与目标组）
gpresult /scope computer /h report.html
# 查看注册表中的 WSUS 配置
reg query "HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" /s
# 合并更新日志，便于定位失败原因
Get-WindowsUpdateLog
# 手动触发检测（客户端侧）
# wuauclt /detectnow 在较新系统上已被 USOClient 取代常见故障与原因
| 现象 | 常见原因 | 排查方向 |
|---|---|---|
| 客户端未上报 | 策略未生效或网络不通 | gpresult 与连通性测试 |
| 更新下载失败 | 磁盘空间不足或证书问题 | 系统盘余量与 WSUS 证书 |
| 组归属错误 | 目标组名称与策略不一致 | 核对组名与策略配置 |
| 长期不更新 | 终端长期离线后集中恢复 | 按最近上线时间分桶统计 |
长期离线或休眠的终端会在恢复后集中上报：分支机构的补丁合规率要按『最近上线时间』分桶看，否则整体数字会被大量离线设备拉低而掩盖真实情况。
审批只做试点而不扩大范围，是这类环境最常见的失效模式：账面有更新流程，实际大部分主机停留在旧补丁级别。