SCCM ile Sunucu Update Süreçlerinin Yönetimi ve Raporlanması.

Merhaba,  bilindiği ve kabul gördüğü üzere Microsoft System Center ürün ailesinin içinde %40 gibi önem payına ve kullanım oranına  sahip  ürün SCCM ürünüdür diyebiliriz. Peki SCCM ürününün içinde en yaygın kullanılan rollerden  biri nedir dersek şüphesiz Update Management  özelliği aklımıza gelir.

Bu yazıyı yazmaya başlamadan önce mevcutta yayınlanmış olan  Türkçe SCCM ile update yönetimi başlıklı kaynakları incelediğimde  sıfırdan SUP rolünün kurulumu konfigürasyonu ve ilk update dağıtımlarına değinilmiş olduğunu görüyorum.  Veya ADR dediğimiz Automatic Deployment Rule özelliği ile otomatik hale getirilmiş update dağıtımlarından söz edilmiş.  ADR ile yapılan dağıtımlar Client sistemler üzerinde tercih edilse de Sunucular da ne yazık ki ADR dediğimiz otomatik hale getirilmiş Windows update dağıtımları tercih edilmemekte.  Manuel yüklemeler tercih edilmekte. Durum böyle olunca hangi sunucularımızın update gereksinimi var hangi sunucularımızda belirli KB’ye sahip updateler yüklü bunları öğrenebiliyor olmamız gerekli. İşlemlere başlamadan önce önceki yazılarımda da vurguladığım gibi SCCM ile detaylı raporlar almak vs istiyorsak Reporting Services Point rolünün SCCM sunucumuzda veya SQL sunucumuz da yüklü olması zorunlu.

Device Collectionlar SCCM yapınızın yönetimi için önem taşımakta. Kritik sunucuları genelde işletim sistemi versiyonuna göre collectionlar altında toplamanızı öneririm. Örneğin Server 2008 R2, 2012 R2 sürümler için ayrı collectionlar oluşturmanız gibi.  Update dağıtımları yaparken bize sağlayacağı kolaylığı fark edeceksiniz.

İşlemlerimize başlamadan önce genel yaygın olarak Updateler nasıl dağıtılıyor ona değinelim.

SCCM sunucumuz üzerinde Software Library\Overview\Software Updates\All Software Updates alanına geldiğimizde 1000 ve üzerinde update görebiliriz. Bu kadar çok update arasında ihtiyacımız olan updateleri nasıl belirleriz. Önce update dağıtımı yapacağımız işletim sistemi versiyonunu belirler, ardından seçtiğimiz işletim sistemi versiyonu için listelenen updatelerin arasından hangileri bize lazım bunları belirleriz. Bize lazım olmayan updatei dağıtmamıza lüzum olmadığı kanısındayım J

Üstteki ekran görüntüsünde inceleyecek olduğunuz üzere  2 arama kriteri belirledim.  Bunlardan ilki Product  yani update gönderimi yapacağımız ürün ailesi. Windows işletim sistemi olabileceği gibi bir Office 365 Client da olabilir, Office sistemi de Exchange updateleri de. Bizim örneğimiz de  server tabanlı işletim sistemlerini update edeceğimiz için  Product seçimini Server 2012 R2 olarak belirledim.  Required  seçeneği  ise 1 olarak belirledim bu sayıyı arttırmanızı önermem. Çünkü listelediği updatelerin içinden 1 tane bile olsa update isteyen sunucuları check edecek ve ona göre size liste sunacaktır.

Elimizde toplu bir update listesi olduğu sunucularımızın update durumlarını check etti ve istemiş olduğu update türlerini listeledi. Bundan sonraki süreç şu şekilde ilerleyecek  ilgili updateler için bir Software update group oluşturmak ve içerisinde yer alan updateleri önce Download edip ardından deploy etmek.

Üstteki ekran görüntüsünde göreceğiniz üzere belirlediğimiz kriterlere uyan updateleri topluca seçip  sağ click  dediğimiz de Create SUG seçeneği beliriyor. Sonraki adımları Türkçe olarak internet üzerinde rahatlıkla bulabilirsiniz.

Peki  bize listelediği update paketlerini başka türlü elde edebilir miyiz ? mümkün. Reporting point services rolümü yüklüyse aşağıdaki alana erişerek bu raporun daha detaylısını alabiliriz.

SCCM sunucu üzerinde \Monitoring\Overview\Reporting\Reports\Software Updates - B Deployment Management alanına geldiğimizde istediğimiz türde raporlar mevcut. Update gereksinim durumlarını bize verecek olan rapor türü  aşağıdaki rapordur.

Updates required but not deployed raporuna sağ click Run dediğimizde karşımıza aşağıdaki seçenekler çıkmakta.

İlk seçimimiz Collection olacak, dikkat ederseniz yazımın başında  Sunucu işletim sistemlerinize uygun Device Collectionlar oluşturmanızı önermiştim. 

2. seçim olarak Vendor seçimi yapıyoruz  Microsoft seçimi yeterli.

Son seçimimiz Update Class seçimi burada yüklemeyi istediğimiz update türünü seçiyoruz. Critical, updates, Security updates veya Definition updates seçimi yapabilirsiniz.

Seçimlerinizi  yapıp View report butonuna tıkladığınızda  seçtiğiniz collection içindeki sunucular da seçtiğiniz update türünde yükleme gereksinimi olan updateleri size listeleyecektir.

Ben üstteki ekran görüntüsünde Collection olarak Server 2008 R2 seçtim. Çünkü 2012 R2 sistemlerim full updated durumda listeyi boş çıkartacak J

Dilerseniz aldığınız listeyi üstteki gibi excele Export edip detaylı inceleyebilirsiniz.

Peki, elimizde bir liste var, update isteyen sunucular kim bunu nasıl öğreneceğiz diyebilirsiniz çözümü basit, yine raporlardan faydalanacağız.

Hatta bu updateleri var olan bir Software Update grup içerisine üye değillerse üye yapabilir dağıtıma hazır hale getirebiliriz. Aşama aşama ilerleyelim.

İlk kontrol etmemiz gereken alan eksik olan updatelerin durumu. Download edilmiş mi ? herhangi bir Collectiona deploy edilmiş mi ?

Üstteki ekran görüntüsünde paylaştığım  3172605 id’li KB nin durumunu kontrol edelim.

SCCM Sunucu \Software Library\Overview\Software Updates\All Software Updates alanından bu  id’yi arattığımda durum aşağıdaki gibi.

Henüz Download edilmemiş dolayısıyla Deploy edilmemiş durumda. Öncelikle Bu update paketini download etmeliyiz. Sağ click Download seçimi ile ilerleyelim.

Üstteki ekranda yeni Bir deployment paketi oluşturmayacağım. Çünkü önceden var olan Server 2008 R2 sunucularım için indirdiğim updateleri barındıran bir Deployment paketim var Browse seçimi ile onu göstereceğim.

Updatei doğrudan Microsoft’tan indirmesi için seçimim aşağıdaki gibi olacak.

Diğer aşamalar klasik dil seçimi, birden fazla dil seçim şansına sahipsiniz. Önerim işletim sistemi dilinize uygun seçim yapmanız yönünde.

Update paketim başarılı olarak indirildi. Yapmamız gereken bir işlem daha var.

Göreceğiniz üzere Download alanı “Yes” olarak değişti fakat Deployed kısmı halen “No”. Bunun otomatik deploy edilebilmesi için  Edit Membership diyerek üyeliğini belirlemeliyiz.

2008R2_Updates_All  isimli önceden update dağıtımında kullandığım Software Update Group içerisine üye yapıyorum.

Update paketimin üyeliğini gerçekleştirdim.  İlgili SUG gelip sağ click veya  üstteki menüden  Run summarization tıklamam yeterli. Veya bir süre beklemek.

Bakın Run Summarization işlemi sonrası Deployed alanı “Yes” olarak değişti.

Yapmamız gereken seçimize kalmış bir işlem daha var. Eğer ilgili update’in eksik olan sunucuya hemen uygulanmasını istiyorsak  ilgili Device collection üzerine gelip aşağıdaki tetiklemeyi gerçekleştirelim.  Client Notification > Download Computer Policy.

Peki bu update’in eksik olduğu sunucumuz hangisi bunu nasıl öğreneceğiz.

SCCM sunucumuz üzerinde \Monitoring\Overview\Reporting\Reports\Software Updates - A Compliance alanına gelerek aşağıdaki raporu çalıştıralım.

Seçimlerimiz aşağıdaki gibi olmalı.

Update Filter kısmına update id bilgisini girerseniz  Update seçimi alanında o id’ye sahip update paketi direk gelecektir.

Collection alanında ise update gereksinimi olan 2008 tabanlı sunucularınız olduğu collection seçimini yapmalısınız. View report diyerek sonucu görüntüleyelim.

Update is Required alanı ilk aldığımız raporda da olduğu üzere 1 peki bu sunucu hangi sunucu onu görüntüleyelim J

Sunucumuzun ismini bize verdi.  Bu update paketi restart isteyen bir update paketi olsaydı  Restart edilmesi gerekecekti. Üzerinde kritik uygulama çalışan bir Application sunucu ise  iş sahipleriyle görüşerek planlı kesinti isteyecektiniz ve uygun zaman diliminde sunucunun reboot edilmesi işlemini kendilerine bırakacaktınız. Yüzlerce Windows server 2008 R2  sunucunuzun olduğu ortamda 1 tane eksik update’in hangi sunucunuzda  eksik olduğunu bulmak   size hız kazandıran bir yöntem J

Görüldüğü üzere ilgili sunucumuz updatei almış yüklemiş ve restart istiyor J

Sunucu bu update yüklemesi sonrası uygun bir zamanda restart edilebilir. Tabii öncelik uygulama sahibinin onayında ve uygun göreceği zaman diliminde. Telco, Finans gibi kurumlar da sunucu restart edilmesi bir hayli onay ve risk gerektiren süreçlerdir J

Update yüklemesinin son durumunu nasıl öğreneceğiz derseniz aşağıdaki rapor işinize yarayacaktır.

SCCM sunucu \Monitoring\Overview\Reporting\Reports\Software Updates - C Deployment States

Pending System Restart kısmını tıklarsanız  aynı sunucunun ismini görüyor olacaksınız.

Peki, bir örnekle yazımızı sonlandıralım. Bildiğiniz üzere mayıs 2017 de hatta tam tarih vereyim 13 mayıs 2017 günü  WannaCry virüsü yüzünden sistemlerimizi patchlemiştik.   İlgili KB id’ler her OS için farklıydı.  Client Windows 7 tarafta ve Server 2008 R2 tarafta aynı  İd’ye sahip update  geçmiştik. KB 4012212  bu update paketine ihtiyacı olan server 2008 R2 sistemlerimizi kontrol etmek istersek nasıl bir yol izleyeeğiz. ?

SCCM sunucumuz da \Monitoring\Overview\Reporting\Reports\Software Updates - A Compliance bölümüne kadar geliyoruz  ve aşağıdaki raporu çalıştırıyoruz.

Windows 7 ve Server 2008 R2 için aynı id’li update paketi çıkarıldığı için sistem bize platform seçimi soruyor. Server platformunu seçip View Report dediğimiz de liste aşağıdaki gibi çıkacaktır.

İlgili update paketine ihtiyacı olan Sunucum çok şükür yok J olsaydı burada sayısı listelenecekti ve makalemize konu olan yöntemle hangi sunucularımız olduğunu öğrenebiliyor olacaktır.

Başka bir yazıda görüşmek dileğiyle.