批量安装Windows服务器补丁

Posted 2020-12-01

场景

Windows Server经常需要安装安全补丁，wsus安装补丁的策略，尤其在重启服务器这块，不满足需求，人工逐台安装又需要大量的时间。因此部署一台控制机，通过运行PowerShell脚本远程批量安装Windows补丁，可以极大的提升工作效率。

目标

批量安装Windows server补丁。

引言

Microsoft定义了一个 WS-Management 的协议，这个协议为计算机设备远程交换管理数据提供了一个公开的标准。在 Windows 平台上，MS 通过 Windows 远程管理服务(Windows Remote Management service，简称 WinRM) 实现了 WS-Management 协议。这就是我们可以通过 PowerShell 执行远程操作的基础，因为 PowerShell 就是通过 WinRM 服务来进行远程操作的。

---

但实际测试中，当我们使用如下命令远程安装时候，却总是安装失败。

Invoke-Command -ComputerName  $Computer -ScriptBlock { wusa.exe   xxx.msu /quiet /norestart}

通过日志可以看到，报错如下: 无法安装 Windows 更新 ，因为发生错误: 2147942405“拒绝访问。“

原来，微软不支持使用wusa和其API远程安装补丁更新，解决方案是使用dism代替。

https://support.microsoft.com/en-us/help/2773898/windows-update-standalone-installer-wusa-returns-0x5-error-access-deni

实现

批量安装主要三步：

• 拷贝补丁文件【下载补丁->控制机->目标机】
• 远程安装补丁文件
• 验证安装结果

第一步: 拷贝文件

下载补丁文件(.msu)，拷贝到控制机对应目录(如c:fix)，通过脚本将其解压(加压后便于dism安装)并拷贝到目标机。

"computer_list.txt" 用户存储目标机器名称，每行一个。这个文件是唯二需要管理员手工编辑的(另一个就是下载补丁拷贝到控制机)。

#Script_name:copy.ps1

$PC = Get-Content("C:scripts_wusacomputer_list.txt")
$FileMSU = Get-ChildItem C:fix -Name
$CAB_PATH = "C:fix_cab"
wusa.exe "C:fix$FileMSU" /extract:$CAB_PATH
#解压过程休息90s
Start-Sleep -Seconds 90

$i = 0

foreach ($h in $PC){

$i++
Copy-Item -Path $CAB_PATH -Destination \$hC$ -Recurse -Force

if ($h -eq $PC[-1]){
    Write-Progress -Activity "进度显示" -status "正在处理最后一台主机 $h !"
    Write-Output "总计处理 $i 台主机,传输完毕!"
    #Start-Sleep -Seconds 20
    pause
}
else{
    Write-Progress -Activity "进度显示" -status "正在处理 第 $i 台主机 $h ,请耐心等待!"  -PercentComplete  ($i/$PC.count*100)
}

}

第二步: 运行远程安装脚本
这个步骤共2个脚本，一个脚本用来执行安装动作，另一个脚本用来调用第一个，执行远程操作。

要注意的是： 域内计算机，域管理员登陆控制机后，远程操作时不用在进行认证。域外计算机，必须要通过参数 -Credential 提供远程操作管理凭据认证。

安装脚本：

#Script_name:action_fix.ps1

$FileCAB = Get-ChildItem  C:fix_cab  *KB*.cab -Name
Foreach ($file in $FileCAB)
{
 Add-WindowsPackage -Online -PackagePath C:fix_cab$file  -NoRestart  
}

远程调用：

#Script_name:Remote_install.ps1

$PC = Get-Content("C:scripts_wusacomputer_list.txt")
$i=0
foreach ($h in $PC){

$i++
#域内计算机
Invoke-Command -ComputerName $h -FilePath C:scripts_wusaaction_fix.ps1
#未加域计算机
#Invoke-Command -ComputerName $h -FilePath C:action_fix.ps1 -Credential administrator
Write-Progress -Activity "安装进度" -Status "正在为主机 $h 安装补丁，请耐心等待!" -PercentComplete ($i/$PC.Count*100)

}

第三步： 远程安装结果验证

这个步骤也2个脚本，一个脚本用来执行检查动作，另一个脚本用来调用第一个，执行远程操作。

检查安装结果：

#Script_name:check_show

$FileCAB = Get-ChildItem  C:fix_cab  *KB*.cab -Name

Function Get_fix()
{
     foreach ($i in $FileCAB){
        $KB = $i.Split("-")[1]
        Get-hotfix | where {$_.HotFixID -eq $KB }
      }
}

Get_fix

远程调用：

#Script_name:check_fix_install.ps1

$PCs = Get-Content("C:scripts_wusacomputer_list.txt")

foreach ($h in $PCs)
{ 
    $result = Invoke-Command -ComputerName $h -FilePath C:scripts_wusaget_fix.ps1
    if ($result){
        Write-Output "$h  install Sucess!"
    }
    else{
        Write-Output "$h  install Failure!"  
    }

}

看一下第三步的运行结果（可以只打印安装失败的主机，毕竟我们更关心安装失败的）：

补丁安装成功后，剩下的就是管理员选择合理的时间，将服务器重启就可以了,也可以通过婆powershell 远程批量重启。【Restart-Computer -ComputerName pc-1,pc-2,pc-N -Force】