前言：為什麼企業需要 WSUS？
微軟每月發布安全更新，企業若所有電腦直接連線 Microsoft Update 下載，不僅消耗大量外頻寬度，速度緩慢，離線電腦更無法更新。部署 WSUS 內部更新伺服器，可集中下載一次補丁，再由內網電腦高速獲取，節省頻寬、加速部署、支援離線機器，並提供報表與審核控管能力。
一、WSUS 3.0 安裝前置需求
- 作業系統：Windows Server 2003 SP2 / 2008 / 2008 R2
- IIS 6.0 或 7.0（需啟用 ASP.NET、Windows 驗證、靜態內容等角色服務）
- .NET Framework 2.0 / 3.0 / 3.5
- MMC 3.0、Report Viewer 2005
- 資料庫：Windows Internal Database (預設) 或 SQL Server 2005/2008/2012
- 磁碟空間：更新儲存分區建議 ≥ 100 GB（非系統盤）
二、安裝 WSUS 3.0 服務端
- 執行
WSUSSetup.exe，選擇「完整伺服器安裝（含管理主控台）」。
- 授權協議 → 我接受。
- 更新來源：勾選「在本機儲存更新」，指定非系統盤路徑（如
D:\WSUS\Updates），空間 ≥ 20 GB（建議 100 GB+）。
- 資料庫：選擇「使用此電腦上的現有資料庫伺服器」，輸入 SQL 實例名（格式：
ServerName\InstanceName），或使用預設 Windows Internal Database。
- 網站：建議選「建立新網站使用連接埠 8530」，避免佔用 80 連接埠衝突。
- 確認設定 → 下一步 → 完成安裝，自動啟動設定精靈。
三、WSUS 3.0 設定精靈關鍵步驟
1. 上游伺服器
- 選「從 Microsoft Update 同步」（根 WSUS）或「從上游伺服器同步」（下游複本）。
- 若使用 SSL，勾選「同步時使用 SSL」（需雙方支援，連接埠 443）。
2. 代理伺服器（可選）
企業若需經 Proxy 上網，填入 Proxy 位址/連接埠/認證；否則略過。
3. 開始連線
點擊「開始連線」下載中繼資料，成功後進入語言選擇。
4. 選擇更新語言
建議僅選擇企業實際需要的語言（如「中文(繁體)」、「英文」），節省磁碟空間。
5. 選擇產品與分類
- 產品：勾選企業實際部署的產品（Windows 10/11、Server 2016/2019、Office 2016/2019、SQL Server 等），避免全選浪費空間。
- 分類：至少勾選「關鍵更新」、「安全性更新」、「更新彙總套件」、「Service Pack」、「定義更新」。
6. 同步排程
設定每日自動同步（建議離峰時段，如凌晨 02:00），或手動觸發。
四、客戶端自動更新部署（群組原則 GPO）
- 開啟
gpmc.msc，在目標 OU 建立新 GPO（如 WSUS_Client_Config）。
- 編輯 GPO：
電腦設定 → 系統管理範本 → Windows 元件 → Windows Update。
- 指定內部 Microsoft 更新服務位置：啟用，兩個欄位皆填
https://WSUS伺服器名:8530。
- 設定自動更新：啟用，選「自動下載並排程安裝」（建議每日 03:00），或依政策選「通知下載/安裝」。
立即生效技巧： 伺服器端執行 gpupdate /force，客戶端執行 gpupdate /force 或 wuauclt /detectnow（非網域機），無需等待 90 分鐘背景重新整理。
五、建立電腦群組與分類管理
在 WSUS 主控台 電腦 → 所有電腦 右鍵「新增電腦群組」，依部門/角色/OS 分組（如 Servers_Win2019、Clients_Win10_IT、Test_Group）。
- 優點：可先部署測試群組驗證相容性，再推送至生產群組。
- 移動電腦：選取電腦 → 右鍵「變更成員資格」→ 勾選目標群組。
六、更新審核與部署流程
- 主控台
更新 → 所有更新，依分類/狀態篩選。
- 選取需部署的更新（可 Shift/Ctrl 多選）。
- 右鍵「核准」→ 選擇目標群組（如
Test_Group）→ 「核准安裝」→ 確定。
- 觀察「核准進度」視窗，完成後關閉。
七、首次同步與常見維護
- 設定精靈最後頁勾選「開始初步同步」，啟動首次下載（視頻寬/更新數量可能需數小時）。
- 定期執行 伺服器清理精靈（選項：未使用的更新、已過期更新、壓縮更新、不需要的更新檔案、電腦清理），釋放磁碟空間。
- 監控
SoftwareDistribution\Log 記錄檔排查同步失敗。
八、關鍵安裝補充（避坑指南）
- 必裝 IIS 元件：「應用程式伺服器 → ASP.NET」與「IIS → 通用 HTTP 功能 → 靜態內容」，缺少會導致客戶端無法回報狀態。
- 連接埠 8530：防火牆需開放 TCP 8530（預設 WSUS 網站連接埠）。
- SQL 實例名格式：務必用
ServerName\InstanceName，錯誤會導致資料庫連線失敗。
