Le blog technique

Dans Windows Server 2016, les mises à jour de Windows sont partiellement contrôlées par un nouveau service d’orchestrateur de mise à jour ainsi que par le service de mise à jour de Windows. Le service orchestrateur utilise une série de tâches planifiées pour vérifier les nouvelles mises à jour installées et planifie un redémarrage à tout moment en dehors des « heures actives » de 12 heures si le service détecte qu’une mise à jour a été installée.

Les modèles de stratégie ADMX pour la stratégie de groupe Windows Server 2016 ne semblent pas avoir de contrôle sur les redémarrages des mises à jour pour le moment.

Cependant, il y a une solution de contournement manuelle pour arrêter le redémarrage automatique via l’orchestrateur, tout en autorisant l’installation des mises à jour jusqu’à ce que Microsoft publie des contrôles avec plus de granularité.

Pour désactiver le redémarrage automatique des mises à jour:

1. Ouvrir le planificateur de tâches puis naviguer dans la bibliothèque de tâches Microsoft –> Windows –> UpdateOrchestrator,
2. Désactiver la tâche « Reboot » en cliquant droit sur la tâche de redémarrage comme ci-dessous et en sélectionnant Désactiver dans le menu contextuel.
3. Une fois que la tâche « Reboot » ait le statut Désactivé, fermer le planificateur de tâches.

4. Accéder au dossier C:\Windows\System32\Tasks\Microsoft\Windows\UpdateOrchestrator et cliquer droit sur le fichier de redémarrage puis sélectionner Propriétés. Dans la fenêtre Propriétés de redémarrage, sélectionner l’onglet Sécurité puis Modifier

5. Pour tous les types d’accès, définir la sécurité des fichiers sur Refuser sur SYSTEME, SERVICE LOCAL , SERVICE RESEAU en sélectionnant chacun des utilisateurs mentionnés à tour de rôle et en cochant la case Refuser pour Contrôle total comme ci-dessous (cela empêche Windows de réactiver la tâche de Reboot)

Tous les rapports de non-remise générés peuvent être transférés vers une boîte aux lettres afin que vous puissiez surveiller les rapports de non-remise internes et externes et éviter d’être mis dans la black liste.

Les notifications d’état ne peuvent être transféré qu’à une boîte aux lettres nommé « Postmaster » et non pas à un groupe de distribution.

• Etape 1

Créer une boîte aux lettres avec l’adresse principale: Postmaster@domainname  avec le nom d’adffichage: Postmaster

• Etape 2

– Par défaut, l’adresse postmaster externe sera vide,

– Exécuter la commande suivante afin de récupérer tous les NDR externes (Courrier envoyé de la part d’une BAL externe vers une BAL interne inexistante):

Set-TransportConfig -ExternalPostmasterAddress postmaster@domainename

• Etape 3

– Exécuter la commande suivante afin de récupérer tous les NDR internes (Courrier envoyé de la part d’une BAL interne vers une BAL interne inexistante)

Set-OrganizationConfig -MicrosoftExchangeRecipientReplyRecipient postmaster@domainname

• Etape 4

Avec la cmdlet Set-TransportConfig, utiliser le paramètre GenerateCopyOfDSNFor afin de contrôler les rapports de non-remise (NDR) qui sont copiés sur une boîte aux lettres en spécifiant les codes DSN à surveiller séparés par des virgules.

Exemple:

Set-TransportConfig -GenerateCopyOfDSNfor 5.1.1,5.7.5

–> Pour supprimer ou ajouter des codes DSN :

 Set-TransportConfig -GenerateCopyOfDSNFor @{Add= »5.7.1″; Remove= »5.1.1″}

–> Pour seulement ajouter des codes DSN:

Set-TransportConfig -GenerateCopyOfDSNFor @{Add= »5.7.1″}