SUS – Implementação e Administração – Parte 1

Por: Júlio Cesar Fabris Battisti e Leandro Doto Viero

Introdução

Nesta série de artigos, eu e o meu colega de trabalho – Leandro Dotto Viero (infelizmente torcedor do Internacional, mas ninguém é perfeito), faremos uma apresentação sobre o SUS – Software Update Services. O SUS é um serviço da Microsoft, o qual é utilizado para automatizar o download e a instalação para correções de vulnerabilidades e falhas de segurança, no ambiente Windows 2000, Windows Server 2003 e Windows XP.

Introdução ao SUS

O SUS – Software Update Services é um serviço utilizado para automatizar o processo de download e instalação das correções do Windows, a partir do site Windows Update. No Windows Server 2003, em Português, este serviço é denominado de Serviço de Atualizações Automáticas.

Já há alguns anos, que a Microsoft disponibiliza o site Windows Update, através do qual você pode baixar e instalar atualizações e correções de segurança para as diferentes versões do Windows. Porém o usuário deve tomar a iniciativa de usar o comando Iniciar -> Windows Update, para conectar o seu computador com o site do Windows Update, para fazer a instalação das últimas correções disponíveis. O SUS leva este processo um nível a frente. Você instala o SUS em um servidor da rede e pode configurar este servidor para baixar, automaticamente, as atualizações a partir do site Windows Update. Depois de baixadas para o servidor, estas atualizações poderão ser aplicadas, automaticamente, em todos os demais computadores da rede, não sendo recomendado para usuários domésticos e sim para corporações com um maior número de estações de trabalho, visando facilitar o controle e a aplicação dessas correções, poupando muito o trabalho do administrador de rede. O usuário doméstico deve utilizar o recurso Windows Update, para manter o Windows atualizado. Este processo tem inúmeras vantagens, as quais serão descritas nesta série de tutoriais.

A versão mais atual do Service Update Software chama-se SUSSP1 e segundo informações que temos da própria Microsoft, é que já na metade de 2004 teremos uma nova versão dessa ferramenta, que vai passar a se chamar WUS (A mudança no nome é para deixar claro que é um serviço do windows e levar a sua marca). Além da mudança no nome irá incorporar as funcionalidades tradicionais encontradas no SUS e trará as seguintes novidades, dentre outras:

• Atualizações para outros softwares que não sejam somente o Windows, como por exemplo correções para o pacote do Office.
• Capacidade de gerar relatórios
• Mais controle dos administradores no processo de atualização

No endereço abaixo encontramos mais informações sobre o WUS:

http://www.microsoft.com/windowsserversystem/sus/wusfaq.mspx

O SUS é instalado como um site/aplicativo Web, baseado no IIS. Conforme você verá neste tópico, todo o processo de administração do SUS é feito via browser, através da página de administração do SUS.

Importante: Algumas vezes pode acontecer de todos os serviços do SUS pararem de funcionar corretamente. As atualizações não são mais baixadas automaticamente, atualizações que já foram baixadas não são instaladas ou você não consegue se conectar com a página de administração do SUS. Nestas situações, a causa mais provável do problema é que o próprio IIS está com problemas. Como o SUS dependo do IIS, quando isso ocorrer é recomendado que você pare e reinicialize todos os serviços relacionados ao IIS. Normalmente esta reinicialização dos serviços do IIS, faz com que o SUS normalize também.

O SUS é uma aplicação Cliente/Servidor. Você instala o SUS em um servidor baseado no IIS. No servidor você configura um agendamento para o download automático das atualizações, aprova as atualizações críticas de segurança e faz uma série de outras configurações. O Administrador também pode ainda controlar as atualizações através de “Logs”. Nos clientes, você instala o software cliente do SUS (no Windows 2000 SP3 ou superior e Windows XP o serviço já está presente), o qual se comunica com o servidor e baixa e instala, automaticamente, as atualizações disponíveis no servidor.

Componentes do SUS

Neste item faremos uma breve descrição sobre os elementos que compõem o SUS, os quais permitem que seja montado uma infra-estrutura para download e instalação automática das atualizações do Windows. O SUS é formato, basicamente, pelos seguintes componentes:

1. Características do cliente SUS: Os componentes do Cliente SUS possuem as seguintes características:

Segurança de acesso : Somente usuários com privilégios específicos (Usuários Especiais e Administradores Locais) poderão interagir com o cliente de Atualizações Automáticas (Automatic Updates). Isto previne usuários comuns de se ocuparem com a instalação de correções de segurança, e também que os usuários se esqueçam de aplicar as correções devidas.

Segurança de instalação : O serviço Automatic Updates verifica sempre a assinatura digital da Microsoft nos arquivos baixados.

Instalação diferenciada : O serviço Automatic Updates utiliza da tecnologia Windows Update para varrer o Sistema Operacional e determinar quais atualizações são específicas para cada computador.

Download em background : O serviço utiliza a tecnologia Background Intelligent Transfer Service (BITS), que é uma inovação tecnológica que utiliza somente a banda ociosa para fazer o download das atualizações, não interferindo no desempenho da rede.

Instalação casada : Quando várias correções são aplicadas ao mesmo tempo, o Automatic Updates instala todas as correções em conjunto, necessitando reiniciar a máquina uma única vez.

Gerenciamento : O administrador de rede pode configurar o comportamento do Automatic Updates através de Políticas de Segurança, scripts ou através do registro. Desta forma, o administrador poderá, por exemplo, determinar o download automático de atualizações para um certo grupo de computadores em uma hora específica, e reiniciar o computador sem intervenção do usuário.

2. Características dos componentes de Servidor do SUS: Os componentes do Servidor SUS possuem as seguintes características:

Nota: O componente servidor do Software Update Services deve rodar em um Windows 2000 Server com o Service Pack 2 ou superior. Além disto, o IIS (Internet Information Services) deve estar habilitado no servidor.

Segurança : As páginas administrativas do SUS são restritas aos administradores locais do servidor que hospeda o serviço. Quando o servidor sincroniza sua base com o servidor da Microsoft ou outro servidor qualquer, o processo verifica os certificados digitais de todos os arquivos baixados. Se o certificado não for da Microsoft, o arquivo é simplesmente descartado.

Aprovação Seletiva : As atualizações baixadas no servidor SUS através da sincronização não são disponibilizadas automaticamente aos clientes. Elas só serão disponibilizadas depois da aprovação do administrador. Este poderá testar as atualizações e liberar apenas aquelas que desejar.

Sincronização de conteúdo : O servidor SUS é sincronizado automaticamente com o serviço público da Microsoft Windows Update em um horário configurado pelo administrador ou manualmente.

Sincronização entre servidores : Para uma melhor distribuição de carga, o servidor que recebe as atualizações diretamente da Microsoft pode repassar estas atualizações diretamente a outros servidores. Estes por sua vez não precisam fazer um acesso remoto ao site da Microsoft para receber as atualizações, podendo recebê-las dentro de sua intranet.

Suporte a vários idiomas : O SUS suporta a publicação de atualizações para todas as versões do Sistema Operacional, podendo conter atualizações de vários idiomas em um mesmo servidor, por exemplo, Inglês e Português.

Administração remota : O gerenciador do serviço SUS é baseado na Web e pode ser acessado por qualquer computador rodando o Internet Explorer 5.5 ou superior, desde que o usuário tenha privilégios administrativos no servidor que hospeda o serviço.

Status das atualizações : O cliente rodando o Automatic Updates pode enviar para qualquer servidor Web estatísticas sobre as atualizações que foram baixadas e instaladas. As estatísticas são enviadas através do protocolo http e aparecem nas logs do servidor Web.

Importante: A solução SUS é suportada apenas pelo Windows 2000 Professional, Server e Advanced Server com Service Pack 3 ou superior, Windows XP Professional, e pela família Windows Server 2003. O SUS não é suportado pelo Windows 9x ou pela família Windows NT 4.0.

O Software Update Services também provê atualizações para o Internet Explorer e Internet Information Services (IIS) rodando em plataforma Windows 2000, XP ou 2003. Por outro lado, ele não suporta atualizações para produtos tais como Microsoft Office, SQL Server ou Exchange Server. O SUS não distribui atualizações de drivers ou atualizações não críticas do Sistema Operacional. Não é possível a inserção de atualizações que não sejam baixadas pelo próprio serviço.

Nota: A partir da versão 1.0 SP1, o Software Update Services provê a distribuição de Service Packs.

3. O site do SUS rodando em um servidor com o IIS: Ao instalar o SUS será criado um site no servidor IIS, no qual estão todos os recursos necessários a administração e a configuração do SUS. Este é o componente de servidor do SUS. Este é o componente responsável por entrar em contato com o site Windows Update e por baixar as atualizações disponíveis. Você verá que é possível configurar um agendamento, para que o SUS verifique sobre a disponibilidade de novas atualizações no site Windows Update. Nesta série de tutoriais, você aprenderá a instalar o SUS e a fazer as principais configurações disponíveis. Mostraremos que a interface de administração do SUS são simplesmente páginas hospedadas no IIS, as quais você acessa através do Internet Explorer.

4. O site de Administração do SUS: Esta é o componente de administração do SUS. A interface de administração do SUS nada mais é do que um conjunto de páginas, hospedadas em um site do IIS. Ao instalar o SUS, o site de administração é criado e configurado. Toda a administração do SUS é feita usando o navegador.

5. Atualizações Automáticas: Este é o componente cliente, na arquitetura Cliente/Servidor do SUS. O cliente é instalado em cada estação de trabalho e pode ser configurado para baixar as atualizações diretamente do site Windows Update ou de um servidor SUS. O cliente também pode ser configurado para buscar por atualizações dentro de um agendamento determinado. Você pode definir se as atualizações devem ser aplicadas automaticamente ou se deve ser apenas exibido um aviso sobre a disponibilidade das novas atualizações, de tal maneira que o usuário opte por iniciar ou não a instalação das novas atualizações.

6. Configurações das políticas de segurança: Este é um aspecto muito importante e que você deve conhecer muito bem, principalmente para o exame 70-290. Por padrão, o cliente de Atualizações Automáticas, é configurado para baixar as atualizações a partir do site Windows Update. Você pode alterar estas configurações, para fazer com que o cliente de Atualizações Automáticas, baixe as atualizações a partir de um servidor com o SUS instalado. Estas configurações podem ser feitas via GPO (que é a maneira preferencial, a qual automatiza o processo de configuração), ou alterando, manualmente, a Registry de cada computador da rede. Nas próximas partes deste tutorial mostraremos qual a diretiva de GPO a ser alterada e qual a chave da Registry, caso você tenha optado por fazer as configurações do cliente via Registry.

Requisitos Para Instalação

Para o servidor que irá hospedar o Software Update Services, a documentação da Microsoft recomenda os seguintes requisitos de hardware e software:

• Processador Pentium 700MHz;
• 512 MB de RAM;
• 6 GB de espaço livre em disco;
• Windows 2000 Server Service Pack 3 ou superior (anteriormente o serviço não podia ser instalado em um Controlador de Domínio. A partir do SUS 1.0 Service Pack 1 o serviço pode ser instalado em servidores com o Active Directory);
• IIS 5.0 (Internet Information Services) rodando – O SUS instala automaticamente as ferramentas de segurança IIS Lockdown e URL Scan;
• Internet Explorer 6.0.

Segundo a Microsoft, servidores com as configurações acima rodando o Software Update Services suportam até 15.000 clientes cada.

Instalando o SUS

O SUS não é incluído como parte do Windows Server 2003. O SUS é gratuito e pode ser copiado do site da Microsoft, a partir do seguinte endereço:

http://www.microsoft.com/windowsserversystem/sus/default.mspx

Importante: No momento em que escrevemos este tutorial, o SUS está disponível somente nas versões em Inglês e Japonês. Um ponto importante a salientar é que o que está em Inglês é a interface de administração do SUS, mas isso não impede que você possa utilizá-lo para baixar atualizações para o Windows em outros idiomas, como por exemplo, Português do Brasil. Você verá mais adiante, que ao configurar o SUS, você define para quais idiomas (o termo técnico ao invés de Idioma seria Localidade) você quer que um servidor com o SUS baixe as atualizações. Por exemplo, se a sua empresa tem escritórios no Brasil, EUA e Itália, você pode configurar um único servidor SUS, para baixar atualizações para os três idiomas. O cliente de Atualizações Automáticas saberá identificar, automaticamente, as correções adequadas ao idioma da estação de trabalho. Ainda usando o exemplo da empresa que tem filiais no Brasil, EUA e Itália, cabe salientar que se você estiver usando um servidor SUS em cada localidade, você deve configurar este servidor para baixar apenas as atualizações para a respectiva localidade. Por exemplo, o servidor da filial da Itália deve ser configurado para baixar apenas as atualizações para o idioma Italiano; o servidor da filial Brasileira, deve ser configurado para baixar apenas as atualizações para o idioma Português/Brasil e assim por diante. Este procedimento reduz o tráfego nos links de WAN e libera a banda disponível para outros serviços.

Nota: Antes de baixar e instalar o SUS é importante que você saiba que a partição onde o SUS será instalado e a partição do sistema, devem estar formatadas com o sistema de arquivos NTFS. Esta não é uma recomendação, mas sim um pré-requisito para que o SUS possa ser instalado.

A instalação do SUS faz com que os seguintes componentes sejam instalados no servidor:

• O serviço Software Update Synchronization Service, o qual é responsável por fazer o download das correções do site Windows Update para o servidor SUS
• Um site no IIS, o qual é utilizado para administração do SUS.
• Uma página para administração do SUS, a qual é utilizada para sincronização do servidor SUS e para aprovação das atualizações que foram baixadas, antes que estas sejam instaladas nos clientes.

Importante: As atualizações que precisam, obrigatoriamente, ser aprovadas, antes de serem instaladas nos clientes, são as atualizações críticas de segurança. Pode ocorrer de ser publicada uma atualização da atualização. Ou em outras palavras, uma correção da correção. Nestas situações, você pode configurar o SUS para que ele aprove automaticamente, uma correção a uma correção que já foi aprovada previamente. Por exemplo, imagine que na segunda-feira você baixou uma correção crítica de segurança e usou o SUS para aprovar esta correção. Na sexta-feira, a equipe da Microsoft disponibiliza uma correção a esta correção baixada na segunda-feira. Você pode configurar o SUS para que baixe esta correção à correção e que a aprove, automaticamente, uma vez que ele é uma correção a uma correção já aprovada anteriormente.

Importante: O SUS também pode ser instalado em um servidor com o Windows 2000 Server e com o IIS 5.0. Neste caso, durante a instalação, será executado o assistente conhecido como Lockdown Wizzard. Este assistente irá configurar o IIS para deixá-lo mais seguro, desativando serviços e portas que não sejam necessárias.

Ao fazer o download do SUS, você irá copiar para o servidor o seguinte arquivo:

SUS10SP1.exe

Esta é a versão do SUS já com o SP1 do SUS, ou seja, já com um pacote de correções do SUS, em relação a primeira versão que foi lançada. Este arquivo tem 32,2 MB. A seguir descrevo os passos para instalação do SUS:

Para instalar o SUS, siga os passos indicados a seguir:

1. Faça um logon com uma conta com permissão de Administrador, em um servidor com o IIS já instalado.

2. Faça o download do SUS, usando o endereço descrito anteriormente.

3. Após ter feito o download deste arquivo, basta dar um clique duplo no arquivo SUS10SP1.exe para iniciar a instalação do SUS. Ao dar um clique duplo no arquivo SUS10SP1.exe, será aberto o assistente de instalação do SUS.

4. A primeira tela do assistente é apenas informativa. Clique em Next para seguir para a próxima etapa do assistente.

5. Na segunda etapa você deve aceitar o contrato de licença. Marque a opção “I accept the terms in the License Agreement” e clique em Next para seguir para a próxima etapa do assistente.

6. Nesta etapa você deve optar por fazer uma instalação Típica (Typical) ou Personalizada (Custom), conforme indicado na Figura 1:

Figura 1 - Definindo o tipo de instalação do SUS

7. Clique em Custom.

8. Nesta etapa você define se o SUS deve baixar as atualizações para uma pasta local no servidor (por padrão é sugerida a pasta C:\SUS) ou se deve deixar as atualizações no site Windows Update e baixar apenas as informações sobre quais atualizações estão disponíveis. O mais usual é baixar as atualizações para o disco local do servidor. Os clientes então conectam-se com o servidor SUS da rede local e fazem a instalação a partir deste servidor. Certifique-se de que a opção Save the updates to this local folder esteja selecionada, conforme indicado na Figura 2:

Figura 2 - Baixando as atualizações para o servidor SUS.

9. Clique em Next para seguir para a próxima etapa do assistente.

10. Nesta etapa é que você define para qual ou quais idiomas é que devem ser baixadas as atualizações. Vou repetir o que foi colocado antes, devido a importância . A interface do SUS, por enquanto, está disponível apenas em Inglês e Japonês. Neste exemplo estou utilizando a interface em Inglês. Uma coisa é o idioma da interface de administração e outra, completamente separada é o idioma para os quais serão baixadas as atualizações. Nesta etapa é que você define para qual ou quais idiomas, o SUS irá baixar as atualizações a partir do site Windows Update. Você pode selecionar a opção English only, para baixar apenas as atualizações para o Windows em Inglês, ou você pode selecionar All available languages, para baixar todas as atualizações disponíveis, em todos os idiomas. Conforme descrito anteriormente, esta não é uma boa opção. Você deve configurar o SUS para baixar as atualizações, somente para os idiomas que serão realmente utilizados. Por exemplo, se na rede onde o servidor SUS está sendo instalado, você tem computadores que utilizam o Windows em Inglês e outros que utilizam o Windows em Português, você deve configurar o SUS para baixar as atualizações apenas para estes dois idiomas. Para configurar quais as versões para as quais serão baixadas as atualizações, clique na opção Specific languages. O botão Choose Languages será habilitado, conforme indicado na Figura 3:

Figura 3 - A opção Choose Languages.

11. Clique no botão Choose Languages.

12. Na janela que é exibida, deixe selecionados apenas os idiomas para os quais você deseja baixar as atualizações, conforme exemplo da Figura 4, onde deixamos marcado apenas as opções English e Portuguese (Brazilian):

Figura 4 - Selecionando os idiomas.

13. Após ter selecionado os idiomas clique em OK. Você estará de volta ao assistente de instalação do SUS.

14. Clique em Next para seguir para a próxima etapa do assistente.

15. Nesta etapa é que você define como deverão ser tratadas, novas versões de atualizações já previamente aprovadas. Você pode optar por aprovar automaticamente as novas versões de atualizações já previamente aprovadas (Automatically aprove new versions of previously approved updates) ou pode definir que as novas versões de atualizações já previamente aprovadas, devam ser novamente aprovadas pelo Administrador (I will manually aprove new versions of approved updates). Selecione a opção desejada e clique em Next para seguir para a próxima etapa do assistente.

16. Será exibida a tela final do assistente. Nesta tela tem uma informação muito importante. Nesta tela é informado o endereço que deve ser informado nos clientes (quer seja via Registry ou via GPO). Ou seja, é informada a URL com a qual os clientes devem se conectar, para baixar as atualizações disponíveis no SUS. Por padrão a URL é formada pelo nome do servidor. No exemplo da figura 5, estamos instalando o SUS em um servidor cujo nome é SRV70-290. Com isso, a URL de conexão para os clientes é http://SRV70-290, conforme destacado na Figura 5:

Figura 5 - A URL de conexão para os clientes.

17. Clique em Install para finalizar a instalação do SUS.

18. O assistente irá finalizar o processo de instalação e exibir uma mensagem informando que a instalação foi concluída com sucesso. Clique em Finish para fechar esta mensagem.

19. Após concluir a instalação, a página de administração do SUS será automaticamente carregada no Internet Explorer. Observe o endereço da página de administração, o qual é no seguinte formato: http://nome-do-servidor/SUSAdmin. No nosso exemplo, onde o SUS foi instalado no servidor SRV70-290, a página de administração do SUS é acessada no seguinte endereço: http://srv70-290/SUSADmin, conforme indicado na Figura 6:

Figura 6 - O site de administração do SUS.

Muito bem, o SUS foi instalado e está pronto para ser configurado e utilizado. Agora temos mais duas etapas a vencer:

• Aprender a administrar o SUS.
• Configurar os clientes para utilizar o SUS.

Estes são justamente os assuntos das próximas partes deste tutorial.

Conclusão:

Neste tutorial, apresentamos a definição do SUS e quais as vantagens em utilizar o SUS. Também mostramos como baixar e instalar o SUS. Nas próximas partes deste tutorial, você aprenderá a administrar o SUS e a configurar as estações de trabalho da rede, para que utilizem o SUS.

Em caso de dúvidas, sobre o conteúdo deste tutorial ou para enviar sugestões sobre novos tutoriais que você gostaria de ver publicados neste site, entre com contato através de e-mail: webmaster@juliobattisti.com.br