那天是周三凌晨 1:40，湾仔机房外面还有人排队买茶餐厅的宵夜。我盯着大屏，看着 生产 Nginx 反向代理池 里最后一台 Windows Server 2022 节点从 “draining” 变成 “offline”，CAU（Cluster-Aware Updating）在 SQL AlwaysOn 集群里优雅地挪了主，API 的 P95 延迟只抬了 8ms，报警器全程安静。

我知道，这次之所以顺滑，是因为前面两周“金丝雀（Canary）→ 试点（Pilot）→ 生产（Prod）”的 WSUS 批核、组策略细分、带宽节流、以及一堆看起来“啰嗦”的小设置都踩在了点上。

下面，我把这套 “不打断业务的补丁治理” 从架构到脚本，一口气讲全。

一、场景与目标

区域：香港机房（1Gbps 保障带宽，10Gbps 峰值，跨境专线 200Mbps）

对象：Windows Server 2016/2019/2022（包含 IIS/API 节点、AD/DC、SQL AlwaysOn、RDS 会话主机、任务队列节点等）

目标：

• 用 WSUS 统一控更、可回溯；
• 用 组策略（GPO） 精准“分环 + 分角色 + 限流 + 无感重启”；
• 维护窗口内 完成安装与重启，窗口外绝不自动重启；
• 可灰度回滚，出现异常能把影响压在“金丝雀/试点”。

二、硬件与系统基线（我的落地参数）

2.1 WSUS 主机与存储

为什么不用 WID？ WID 简单，但维护/查询不如 SQL Express 方便；Express 10GB 上限够我们 800+ 台服务器的规模（严格控“产品/分类/语言”）。

2.2 WSUS 站点与 IIS 调优（关键）

启用 SSL：在 IIS 为 WSUS 管理站点绑定内网 CA 证书，wsusutil.exe configuressl wsus.example.local；客户端统一用 https://wsus.example.local:8531。

WsusPool：

• PrivateMemoryLimit(KB)：8388608（=8GB）
• Queue Length：3000
• Regular Time-out：00:00:00（禁用空闲超时，避免大同步被杀）

WSUS 选项：

• 只勾选 Windows Server 2016/2019/2022、.NET、SQL Server、VC++ 再发行（严格按需）
• 仅英语（English）（多语言会炸库体积与索引）
• 仅 Critical/Security/Update Rollups/Servicing Stack Updates
• Express 安装文件：启用（客户端差分快、WSUS 内容库会大幅变大）

实测（我们环境）：

• 关闭 Express：内容库 ~ 350GB，客户端安装时间偏长。
• 开启 Express：内容库 ~ 1.2TB，客户端下载/安装明显加速（尤其跨境带宽紧张时）。
• 结合你的磁盘与网络，权衡取舍。我们用了 RAID10 + 定期清理（见后文）。

三、分环与组织单元（OU）设计

分环策略（按风险递减）：

AD 结构（示意）：

HK-Servers（域）
├─ OU=WSUS-Canary
├─ OU=WSUS-Pilot
└─ OU=WSUS-Prod

（各 OU 再细分：IIS、SQL、RDS、Batch…）

好处：GPO 链接清晰、回滚和“临时下放”很快；WSUS 组与 GPO 客户端侧目标（Client-Side Targeting）一一对应。

四、WSUS 组、自动审批与手工把关

WSUS 电脑组：WSUS-Canary / WSUS-Pilot / WSUS-Prod

客户端侧目标（GPO）自动把域成员放进对应电脑组（见下一节）

自动审批规则：

• 安全与关键更新 → 自动批准给 Canary
• 其他更新（非安全、驱动、预览）→ 不自动批准

脚本延后审批（我们做了“观测 3~7 天后自动批核给 Pilot/Prod”的计划任务）：

# Approve-WSUSUpdates.ps1
param(
  [string]$TargetGroup = "WSUS-Pilot",
  [int]$AgeDays = 3
)

$wsus = Get-WsusServer -Name "wsus.example.local" -Port 8531 -UseSsl
$group = $wsus.GetComputerTargetGroups() | ? { $_.Name -eq $TargetGroup }

$approved = $wsus.GetUpdates() | ? {
  $_.IsApproved -eq $false -and
  $_.ArrivalDate -le (Get-Date).AddDays(-$AgeDays) -and
  $_.UpdateClassificationTitle -in @("Security Updates","Critical Updates","Update Rollups","Service Packs","Definition Updates","Update")
}

foreach($u in $approved){
  try {
    $u.Approve("Install",$group)
    Write-Host "Approved $($u.Title) to $TargetGroup"
  } catch {
    Write-Warning "Failed: $($u.Title) - $_"
  }
}

习惯：Canary 自动→ 3 天无事 → Pilot 脚本批核 → 再 4 天无事 → Prod 脚本批核。

如果 Canary/Pilot 报告异常，直接停止后续批核并“拒绝/取消批准”对应更新。

五、组策略（GPO）核心配置

GPO 模板（每个环一个 GPO：GPO-WSUS-Canary/GPO-WSUS-Pilot/GPO-WSUS-Prod），并用 WMI 过滤器 限定“仅 Server 系列”。

5.1 WMI 过滤器（仅服务器）

SELECT * FROM Win32_OperatingSystem
WHERE (ProductType = 2 OR ProductType = 3)
-- 2=Domain Controller, 3=Member Server；排除工作站

5.2 关键策略项（计算机配置）

路径：计算机配置 → 策略 → 管理模板 → Windows 组件 → Windows Update

注册表核对（节选）

HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate

WUServer=https://wsus.example.local:8531

WUStatusServer=https://wsus.example.local:8531
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU

AUOptions=3/4

NoAutoRebootWithLoggedOnUsers=1

ScheduledInstallDay=3/0（0=每天，1..7=周一..周日）

ScheduledInstallTime=1（01:00，单位小时）

5.3 BranchCache（可选）

WSUS 与 BITS 能配合 BranchCache，在同网段节点间做 P2P 缓存，降低跨段/跨境带宽：

Enable-BCLocal
Set-BCCache -Size 20GB
# GPO 中启用：计算机配置 → 管理模板 → 网络 → BranchCache → 打开 BranchCache

注：Delivery Optimization 更偏向直连云端的更新分发场景；在严格 WSUS 模式下，建议优先用 BranchCache。

六、维护窗口编排：如何“不打断业务”

6.1 有状态集群（SQL AlwaysOn / 文件群集）

用 Cluster-Aware Updating（CAU） 搭配 WSUS（客户端已指向 WSUS 即可），顺序滚动、自动停/启服务：

# 管理机执行
Install-WindowsFeature RSAT-Clustering, RSAT-Clustering-Mgmt, RSAT-Clustering-PowerShell, RSAT-Clustering-CmdInterface, RSAT-CAU

Invoke-CauRun -ClusterName "HK-SQL-AG" `
  -CauPlugins "Microsoft.WindowsUpdatePlugin" `
  -MaxRetriesPerNode 2 `
  -RequireAllNodesOnline `
  -EnableFirewallRules `
  -UpdatingRunProfileName "Nightly" `
  -SuspendNodeTimeoutMinutes 20

顺序：

• 先修复/更新 次要副本 → 同步健康 → 计划性主从切换 → 更新原主 → 整体健康检查。
• 监控：AlwaysOn Dashboard、事务延迟、AG Role 变更事件、应用重连。

6.2 无状态/可水平扩展（IIS/API/RDS）

维护前：把 LB（F5/NGINX/ALB） 的目标节点设为 drain（完成现有连接再摘除）。

批量脚本（示例）：

# 滚动更新 API 池（简化示例）
$servers = @("api01","api02","api03","api04")
foreach($s in $servers){
  Write-Host "Draining $s from LB..."
  # 这里调用你的 LB API/脚本把 $s 摘出
  Invoke-Command -ComputerName $s -ScriptBlock {
    # 安装已批准更新但不自动重启
    Install-Module -Name PSWindowsUpdate -Force -Scope AllUsers
    Import-Module PSWindowsUpdate
    Get-WindowsUpdate -MicrosoftUpdate -AcceptAll -Install -IgnoreReboot
    Restart-Computer -Force
    Start-Sleep -s 120
    # 可选：健康检查脚本
  }
  Write-Host "Adding $s back to LB..."
  # 调回 LB
}

我们实际做了：每批 20-25% 节点滚动，心跳/探针 全量绿了再放下一批，窗口内若报警上升，立即暂停。

七、客户端侧：触发与验证

同步组策略：gpupdate /force

触发检测（新旧兼容）：

• usoclient StartScan（WS 2016+）
• wuauclt /detectnow（兼容旧式）

检查指向与状态：

• Get-WindowsUpdateLog（必要时生成日志）
• reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate /s
• 事件查看器：Applications and Services Logs → Microsoft → Windows → WindowsUpdateClient

八、监控与报表：WSUS 端 + Prometheus 辅助

WSUS 控制台的 “计算机状态”、“更新状态” 两个报表常看。

我们额外拉了一个 定时 PowerShell，把 WSUS 审批/安装百分比、失败代码（0x8024xxxx）、重启待定计数，推到 Prometheus Pushgateway，Grafana 做看板和阈值告警。

简易导出（片段）：

$wsus = Get-WsusServer -Name "wsus.example.local" -Port 8531 -UseSsl
$computers = $wsus.GetComputerTargets()
$pendingReboot = $computers | ? { $_.ComputerTargetGroupNames -contains "WSUS-Prod" } |
  % { $_.GetUpdateInstallationInfoPerUpdate() } |
  ? { $_.UpdateInstallationState -eq "DownloadSucceeded" -or $_.UpdateInstallationState -eq "InstalledPendingReboot" } |
  Measure-Object | Select -ExpandProperty Count

"wsus_pending_reboot $pendingReboot" | Out-File C:\metrics\wsus.prom -Encoding ascii

九、WSUS 清理与健康（把库“瘦下来”）

每月一次（或大版本后）：WSUS 服务器 → 选项 → 服务器清理向导，勾选：

• 未使用的更新和更新修订
• 被替代的更新
• 计算机过期（例如 30 天未联系）
• 未使用更新文件

并跑一个“硬核”脚本：

# Reset WSUS content & index（注意：会占用 IO）
Stop-Service W3SVC
Invoke-WsusServerCleanup -CleanupObsoleteComputers -CleanupObsoleteUpdates -CleanupUnneededContentFiles -CompressUpdates
& "C:\Program Files\Update Services\Tools\wsusutil.exe" reset
Restart-Service W3SVC

坑 1：DB 满（SQL Express 10GB）

• 缩产品/分类/语言；
• 跑清理向导；
• 必要时迁移到标准版 SQL。

坑 2：IIS 池回收 导致客户端 500/503

• 拉高 WsusPool 内存限制、禁用空闲超时。

坑 3：同步卡死/速度慢

• 只选必需产品/分类；
• 首次同步用 100Mbps 以上的出口，确保 443 到 MS 更新域名畅通；
• 代理/SSL 检查设备记得放行。

坑 4：Express 开启后磁盘告急

• 内容盘 RAID10 + TB 级空间；
• 定期清理 + 归档老补丁；
• 真的顶不住，就关 Express（但客户端安装时间会受影响）。

十、变更SOP（我们贴在机柜门里的那份）

十一、两段实战小记（现场问题 & 处理）

案例 A：RDS 会话主机补丁后，用户登录黑屏

现象：Canary 阶段即复现，Event Viewer 中 Winlogon 超时。

处理：立即 Decline 指定 KB，在 Canary 组做卸载；GPO 中暂时把 RDS OU 从目标 GPO 链接移除；联系厂商复现后给了兼容性补丁，下一周再入 Pilot。

案例 B：SQL AG 滚动时，某节点重启超时

现象：CAU 在 SuspendNodeTimeoutMinutes 超时。

处理：脚本增加 -MaxRetriesPerNode 2，并在 AG 里加 同步阈值检查（延迟>60s 则暂停下一节点），同时把该节点的 Windows Defender 排除 加上数据目录，避免更新后首次扫描拖慢启动。

十二、快速校验单机“是否合规”（小工具）

# Test-WSUSCompliance.ps1
$wsus = Get-ItemProperty "HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate"
$au   = Get-ItemProperty "HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU"

[pscustomobject]@{
  WUServer = $wsus.WUServer
  AUOptions = $au.AUOptions
  ScheduledInstallDay = $au.ScheduledInstallDay
  ScheduledInstallTime = $au.ScheduledInstallTime
  NoAutoRebootWithLoggedOnUsers = $au.NoAutoRebootWithLoggedOnUsers
  LastWUScan = (Get-EventLog -LogName System -Source WindowsUpdateClient -Newest 1).TimeGenerated
}

十三、最小可行清单（你可以照着做）

• 装好 WSUS + SQL Express，IIS WsusPool 调优，SSL 8531 通。
• 只选必要的 产品/分类/语言，开启 Express（磁盘足够再开）。
• 建 AD OU + WSUS 组：Canary / Pilot / Prod。
• 每环一个 GPO：指向 WSUS、AUOptions=3/4、禁止驱动、限流 BITS、客户端侧目标。
• WMI 过滤 限定只应用到服务器。
• 自动审批 + 延时批核脚本：先 Canary，再 Pilot，再 Prod。
• 有状态用 CAU、无状态用 LB drain，滚动 20-25%。
• 定期清理 WSUS，监控失败码与待重启计数。
• 把 SOP 贴出来，每次维护后写“小结”。

结尾：凌晨 4:20 的奶茶

维护结束，我从冷飕飕的机房走到走廊，买了一杯热奶茶。
手机里没有任何“Error rate up”的弹窗，Grafana 也稳得像一条直线。
过去几年我一直相信：补丁治理不是一次“安装”，而是一门“流程工程”。
当你把 WSUS 的审批节奏、GPO 的策略颗粒度、带宽与重启窗口、灰度和回滚 全部变成日常纪律，
补丁夜，就只是一杯会慢慢变凉的奶茶——而不是一把悬在头顶的刀。

附：常用命令速查

# 客户端侧
gpupdate /force
usoclient StartScan
wuauclt /detectnow

# WSUS 清理
Invoke-WsusServerCleanup -CleanupObsoleteComputers -CleanupObsoleteUpdates -CleanupUnneededContentFiles -CompressUpdates
& "C:\Program Files\Update Services\Tools\wsusutil.exe" reset

# CAU 一键跑
Invoke-CauRun -ClusterName "HK-SQL-AG" -CauPlugins "Microsoft.WindowsUpdatePlugin" -MaxRetriesPerNode 2 -RequireAllNodesOnline

# PSWindowsUpdate（安装与触发）
Install-Module -Name PSWindowsUpdate -Force -Scope AllUsers
Import-Module PSWindowsUpdate
Get-WindowsUpdate -MicrosoftUpdate -AcceptAll -Install -IgnoreReboot