前提条件
- 操作人员具备基本的AD域部署和管控知识
- 操作人员具备天翼云电脑控制台基本操作知识
- 已部署AD域控及WSUS服务
我们要让客户端计算机能够通过WSUS服务器下载更新程序，而这个设置可以通过以下两种方法来完成。
1.组策略:在AD域环境下，可以通过组策略进行设置。
2.本地计算机策略：如果没有AD域环境，或客户端计算机未加入域，则可以通过本地计算机策略进行设置。
我们利用组策略来进行说明。目前AD域控和WSUS均已部署在当前机器上，我们在域中创建一个GPO，WSUS策略，然后通过这个GPO来设置域内的所有客户端计算机的自动更新配置。
操作步骤
一、新建组策略
1.按下win+R键，打开运行窗口，输入gpmc.msc，打开组策略管理窗口，
2.依次点击 林:adtest.com->域->adtest.com->组策略对象，在空白处右键新建WSUS策略
3.填写名称后点击确定
4.右键点击新建立的WSUS策略并点击“编辑”
5.依次双击 计算机配置->策略->管理模板->Windows组件->Windows更新->配置自动更新，打开如下窗口，并选择“已启用”
其中，所选选项意义如下：
通知下载并通知安装：在下载更新程序前会通知已登录的系统管理员，由他自行决定是否现在下载；下载完成后和准备安装前也会通知系统管理员，然后由他自行决定是否现在安装。
自动下载并通知安装：自动下载更新程序，下载完成后和准备安装前会通知已登录的系统管理员，然后由他自行决定是否现在安装。
自动下载并计划安装：自动下载更新程序，并且会在指定的时间自动安装。需要指定安装时间。
允许本地管理员选择设置：此选项让在客户端的本地管理员可以通过控制面板自行选择更新方式。
6.点击“下一个设置”直到“指定Intranet Microsoft更新服务位置”窗口，点击“已启用”，并在“设置检测更新的Intranet更新服务”和“设置Intranet统计服务器”中填写WSUS服务器,计算机名可以通过右键“此电脑”，打开属性查看
二、创建新计算机组
为了便于利用WSUS管理控制台来部署客户端计算机所需的更新程序，建议将计算机进行分组。例如要创建一个名为业务部计算机的组，并将隶属于业务部的计算机移动到此组内。
1.点击左下角windows图标，打开windows管理工具，打开“Windows Server更新服务”，并依次点击“Update Services”->你的计算机名->计算机->所有计算机
2.点击“添加计算机组”，输入想指定的名称，创建计算机组，可以将计算机添加进你新建的计算机组，后续可以分组进行程序更新的下发
三、审批更新程序的安装
WSUS下载的所有更新程序都要经过审批后，客户端计算机才可以安装此更新程序，此处假设要审批某个安全更新，以便让业务组计算机安装此更新。
1.依次点击“Update Services”->你的计算机名->更新->所有更新，然后对需要下发的更新单击右键，点击“审批”后，对需要下发的计算机组单击右键，点击“已审批进行安装”即可
由于WSUS默认会延迟下载更新程序，也就是WSUS服务器与Microsoft Update同步时仅会下载更新程序的metadata。当我们审批更新程序后，更新程序才会下载。由于我们刚审批上述更新，WSUS服务器正要开始下载此更新，必须等下载完成后，客户端计算机才可以开始安装此更新。
下图，审批栏目出现了安装1/3字样，表示当前有3个计算机组，只有其中一个组已经被审批安装此更新。
客户端每隔一段时间才会连接服务器检查是否有更新程序下载，可利用wuauclt/detectnow来手动检查。检查到后根据组策略的设置来进行更新。
2.客户端可以通过组策略自动更新检测频率来更新检查时间。如果希望客户端计算机能够早一点自动检测，可以修改此值。
只要客户端检查到可用下载，会自动右下角提示有更新。
3.如果要拒绝更新程序，单击某个程序右侧的拒绝，则系统将解除其审批，同时在WSUS数据库内与此更新有关的报告数据都将删除，还有在此界面上也看不到此更新程序。如果要看到被拒绝的更新程序，请到审批处选择已拒绝后单击重新整理。
四、自动审批更新程序
可以设置自动审批下载的更新程序。
1.单击选项后单击“自动审批”
2.在前景图中勾选默认的自动审批规则。在规则属性里选择自动更新的种类和需要下发的计算机组，然后单击运行规则。
