WSUS 客戶端自動更新配置策略：域環境 GPO 與非域環境注冊表部署指南

WSUS 服務端部署完成後，必須配置客戶端從指定 WSUS 服務器獲取更新。部署方式取決於網絡環境：域環境使用組策略 (GPO)，非域環境使用本地組策略或注冊表直接修改。

域環境：基於 GPO 的集中部署 (推薦)

組策略對象創建原則

• 創建專用 GPO (如 WSUS_Client_Policy) 關聯到目標 OU
• 不修改 默認域策略或默認域控制器策略
• 配置路徑：計算機配置 → 管理模板 → Windows 組件 → Windows Update
• 若缺少模板：右鍵「管理模板」→ 添加/刪除模板 → 添加 %systemroot%\inf\wuau.adm

必配項目 (設置為「已啟用」)

自動更新四種模式選擇指南

進階可選配置

• 自動更新檢測頻率：默認 22 小時隨機偏移，可改為固定間隔 (如每 8 小時)
• 允許自動更新立即安裝：啟用後，關鍵更新可跳過計劃立即安裝
• 允許客戶端目標設置：關鍵。配合 WSUS 服務端「客戶端定位」模式，指定客戶端自動加入的目標組名 (如 Workstations_Sales)，實現分組管理

非域環境：本地組策略 / 注冊表部署

方法一：本地組策略編輯器 (gpedit.msc)

路徑同域策略：計算機配置 → 管理模板 → Windows 組件 → Windows Update。逐項配置上述必配/可選項。缺點：需逐機器操作，不利於批量管理。

方法二：注冊表直接導入 (適合腳本批量部署)

關鍵注冊表鍵值 (HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate)：

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]
"WUServer"="https://wsus.corp.local:8530"
"WUStatusServer"="https://wsus.corp.local:8530"

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU]
"NoAutoUpdate"=dword:00000000
"AUOptions"=dword:00000004  ; 4=自動下載並計劃安裝
"ScheduledInstallDay"=dword:00000000  ; 0=每天
"ScheduledInstallTime"=dword:00000003  ; 3=凌晨3點
"UseWUServer"=dword:00000001
"TargetGroup"="Workstations_General"  ; 客戶端目標組名
"TargetGroupEnabled"=dword:00000001

保存為 wsus_client.reg，批量推送執行：regedit /s wsus_client.reg。

生效驗證與故障排查

1. 客戶端執行 wuauclt /detectnow (或 wuauclt /resetauthorization /detectnow) 強制觸發檢測
2. 檢查 %windir%\WindowsUpdate.log 確認連接 WSUS 服務器、下載元數據、報告狀態
3. WSUS 控制台「電腦」視圖中應出現該客戶端，歸屬正確目標組
4. 控制面板「自動更新」圖標變灰/不可編輯，表明 GPO 生效

注意：部署 GPO 後，客戶端控制面板「自動更新」將失效 (灰色不可操作)，所有配置由策略強制管控。