Cluster-Aware Uppdatera krav och metodtips

I det här avsnittet beskrivs de krav och beroenden som krävs för att använda Cluster-Aware Update (CAU) för att tillämpa uppdateringar på ett redundanskluster som kör Windows Server.

Installera funktionen Failover-klustring och Failover-klusterverktygen

CAU kräver en installation av funktionen Redundansklustring och redundansklustringsverktygen. Verktygen för redundansklustring innehåller CAU-verktygen (clusterawareupdating.dll), cmdletarna för redundansklustring och andra komponenter som behövs för CAU-åtgärder. Anvisningar för hur du installerar funktionen Failover-klustring finns i Installera funktionen med hjälp av Felväxlingsklusterhanteraren eller PowerShell.

De exakta installationskraven för redundansklusterverktygen beror på om CAU samordnar uppdateringar som en klustrad roll i redundansklustret (med självuppdateringsläge) eller från en fjärrdator. Självuppdateringsläget för CAU kräver dessutom installation av den CAU-klustrade rollen i redundansklustret med hjälp av CAU-verktygen.

I följande tabell sammanfattas kraven på cau-funktionsinstallation för de två CAU-uppdateringslägena.

Skaffa ett administratörskonto

Följande administratörskrav är nödvändiga för att använda CAU-funktioner.

• Om du vill förhandsgranska eller tillämpa uppdateringsåtgärder med hjälp av CAU-användargränssnittet (UI) eller Cluster-Aware Uppdatera cmdletar måste du använda ett domänkonto som har lokala administratörsrättigheter och behörigheter på alla klusternoder. Om kontot inte har tillräcklig behörighet på varje nod uppmanas du i fönstret Cluster-Aware Uppdatera att ange nödvändiga autentiseringsuppgifter när du utför dessa åtgärder. Om du vill använda cmdletarnaCluster-Aware Uppdatera kan du ange nödvändiga autentiseringsuppgifter som en cmdlet-parameter.

• Om du använder CAU i fjärruppdateringsläge när du är inloggad med ett konto som inte har lokala administratörsbehörigheter och behörigheter på klusternoderna, måste du köra CAU-verktygen som administratör med hjälp av ett lokalt administratörskonto på datorn Uppdateringskoordinator eller genom att använda ett konto som har behörigheten Personifiera en klient efter autentisering .

• Om du vill köra CAU Best Practices Analyzer måste du använda ett konto som har administratörsbehörighet på klusternoderna och lokala administrativa privilegier på den dator som används för att köra cmdleten Test-CauSetup eller för att analysera beredskapen för klusteruppdatering med hjälp av fönstret Cluster-Aware Uppdatering. Mer information finns i Testa klusteruppdateringsberedskap.

Verifiera klusterkonfigurationen

Följande är allmänna krav för ett redundanskluster som stöder uppdateringar med hjälp av CAU. Ytterligare konfigurationskrav för fjärrhantering på noderna visas i Konfigurera noderna för fjärrhantering senare i det här avsnittet.

• Tillräckligt många klusternoder måste vara online så att klustret har kvorum.

• Alla klusternoder måste finnas i samma Active Directory-domän.

• Klusternamnet måste lösas på nätverket med hjälp av DNS.

• Om CAU används i fjärruppdateringsläge måste uppdateringskoordinatordatorn ha nätverksanslutning till noderna i redundansklustret och vara i samma Active Directory-domän som redundansklustret.

• Klustertjänsten ska köras på alla klusternoder. Som standard installeras den här tjänsten på alla klusternoder och är konfigurerad att starta automatiskt.

• Om du vill använda PowerShell-föruppdaterings- eller efteruppdateringsskript under en CAU-uppdateringskörning kontrollerar du att skripten är installerade på alla klusternoder eller att de är tillgängliga för alla noder, till exempel på en nätverksfilresurs med hög tillgänglighet. Om skript sparas i en nätverksfilresurs konfigurerar du mappen för läsbehörighet för gruppen Alla.

Konfigurera noderna för fjärrhantering

Om du vill använda Cluster-Aware Uppdatering måste alla noder i klustret konfigureras för fjärrhantering. Som standard är den enda uppgift som du måste utföra för att konfigurera noderna för fjärrhantering att aktivera en brandväggsregel för att tillåta automatiska omstarter.

I följande tabell visas de fullständiga kraven för fjärrhantering, om din miljö avviker från standardvärdena.

Dessa krav är utöver installationskraven för funktionen Installera redundansklustring och redundansklustringsverktygen och de allmänna klustringskraven som beskrivs i föregående avsnitt i det här avsnittet.

Aktivera en brandväggsregel för att tillåta automatiska omstarter

Om du vill tillåta automatiska omstarter efter att uppdateringar har tillämpats (om installationen av en uppdatering kräver en omstart), om Windows-brandväggen eller en brandvägg som inte är från Microsoft används på klusternoderna, måste en brandväggsregel aktiveras på varje nod som tillåter följande trafik:

• Protokoll: TCP

• Riktning: inkommande

• Program: wininit.exe

• Portar: Dynamiska RPC-portar

• Profil: Domän

Om Windows-brandväggen används på klusternoderna kan du göra det genom att aktivera regelgruppen Fjärrstängning av Windows-brandväggen på varje klusternod. När du använder fönstret Cluster-Aware Uppdatering för att tillämpa uppdateringar och konfigurera självuppdateringsalternativ aktiveras regelgruppen Fjärrstängning av Windows-brandvägg automatiskt på varje klusternod.

Brandväggsregelgruppen Fjärrstängning aktiveras också genom att ange parametern –EnableFirewallRules när du kör följande CAU-cmdletar: Add-CauClusterRole, Invoke-CauRun och SetCauClusterRole.

I följande PowerShell-exempel visas ytterligare en metod för att aktivera automatiska omstarter på en klusternod.

Set-NetFirewallRule -Group "@firewallapi.dll,-36751" -Profile Domain -Enabled true

Aktivera Windows Management Instrumentation (WMI)

Alla klusternoder måste konfigureras för fjärrhantering med hjälp av Windows Management Instrumentation (WMI). Detta är aktiverat som standard.

Om du vill aktivera fjärrhantering manuellt gör du följande:

1. I tjänstkonsolen startar du Windows Remote Management-tjänsten och anger starttypen till Automatisk.

2. Kör cmdleten Set-WSManQuickConfig eller kör följande kommando från en upphöjd kommandotolk:

   winrm quickconfig -q
   

För att stödja WMI-fjärrkommunikation måste den inkommande brandväggsregeln för Windows Remote Management (HTTP-In) aktiveras på varje nod, om Windows-brandväggen används på klusternoderna. Som standard är den här regeln aktiverad.

Aktivera Windows PowerShell och Windows PowerShell-fjärrstyrning

För att aktivera självuppdateringsläge och vissa CAU-funktioner i fjärruppdateringsläge måste PowerShell installeras och aktiveras för att köra fjärrkommandon på alla klusternoder. Som standardinställning är PowerShell installerat och aktiverat för fjärrstyrning.

För att aktivera PowerShell-remoting använder du någon av följande metoder:

• Kör cmdleten Enable-PSRemoting .

• Konfigurera en grupprincipinställning på domännivå för Windows Remote Management (WinRM).

Mer information om hur du aktiverar PowerShell-fjärrkommunikation finns i Om fjärrkrav.

Installera .NET Framework 4.6 eller 4.5

För att aktivera självuppdateringsläge och vissa CAU-funktioner i fjärruppdateringsläge måste.NET Framework 4.6 eller .NET Framework 4.5 (på Windows Server 2012 R2) installeras på alla klusternoder. Som standard installeras NET Framework.

Om du vill installera .NET Framework 4.6 (eller 4.5) med PowerShell om det inte redan är installerat använder du följande kommando:

Install-WindowsFeature -Name NET-Framework-45-Core

Rekommendationer för bästa praxis för att använda uppdatering Cluster-Aware

Rekommendationer för att tillämpa Microsoft-uppdateringar

Vi rekommenderar att du slutar använda andra metoder för att installera programuppdateringar från Microsoft på klusternoderna när du börjar använda CAU för att tillämpa uppdateringar med standardprogrammet Microsoft.WindowsUpdatePlugin i ett kluster.

Vi rekommenderar att du följer dessa riktlinjer:

• För optimala resultat rekommenderar vi att du inaktiverar inställningar på klusternoderna för automatisk uppdatering, till exempel via inställningarna för automatiska uppdateringar på Kontrollpanelen eller i inställningar som har konfigurerats med grupprincip.

  Caution

  Automatisk installation av uppdateringar på klusternoderna kan störa installationen av uppdateringar av CAU och kan orsaka CAU-fel.

  Om de behövs är följande inställningar för automatiska uppdateringar kompatibla med CAU eftersom administratören kan styra tidpunkten för uppdateringsinstallationen:

  • Inställningar för att meddela innan uppdateringar laddas ned och meddelas före installationen

  • Inställningar för att automatiskt ladda ned uppdateringar och meddela innan installationen

  Men om automatiska uppdateringar laddar ned uppdateringar samtidigt som en CAU-uppdateringskörning kan uppdateringskörningen ta längre tid att slutföra.

• Konfigurera inte ett uppdateringssystem som Windows Server Update Services (WSUS) för att tillämpa uppdateringar automatiskt (enligt ett fast tidsschema) på klusternoder.

• Alla klusternoder ska vara enhetligt konfigurerade för att använda samma uppdateringskälla, till exempel en WSUS-server, Windows Update eller Microsoft Update.

• Om du använder ett konfigurationshanteringssystem för att tillämpa programuppdateringar på datorer i nätverket undantar du klusternoder från alla nödvändiga eller automatiska uppdateringar. Exempel på konfigurationshanteringssystem är Microsoft Endpoint Configuration Manager och Microsoft System Center Virtual Machine Manager 2008.

• Om interna programdistributionsservrar (till exempel WSUS-servrar) används för att innehålla och distribuera uppdateringarna kontrollerar du att dessa servrar korrekt identifierar de godkända uppdateringarna för klusternoderna.

Tillämpa Microsoft-uppdateringar i scenarier för avdelningskontor

Om du vill ladda ned Microsoft-uppdateringar från Microsoft Update eller Windows Update till klusternoder i vissa scenarier för avdelningskontor kan du behöva konfigurera proxyinställningar för det lokala systemkontot på varje nod. Du kan till exempel behöva göra detta om dina avdelningskontorskluster har åtkomst till Microsoft Update eller Windows Update för att ladda ned uppdateringar med hjälp av en lokal proxyserver.

Om det behövs konfigurerar du WinHTTP-proxyinställningar på varje nod för att ange en lokal proxyserver och konfigurera lokala adressfel (d.s.a. en förbikopplingslista för lokala adresser). För att göra detta kan du köra följande kommando på varje klusternod från en upphöjd kommandotolk:

netsh winhttp set proxy <ProxyServerFQDN >:<port> "<local>"

där <ProxyServerFQDN> är det fullständigt kvalificerade domännamnet för proxyservern och <porten> är porten som ska kommuniceras över (vanligtvis port 443).

Om du till exempel vill konfigurera WinHTTP-proxyinställningar för det lokala systemkontot som anger proxyservern MyProxy.CONTOSO.com, med undantag för port 443 och lokal adress, skriver du följande kommando:

netsh winhttp set proxy MyProxy.CONTOSO.com:443 "<local>"

Rekommendationer för att använda Microsoft.HotfixPlugin

• Vi rekommenderar att du konfigurerar behörigheter i snabbkorrigeringsrotmappen och snabbkorrigeringskonfigurationsfilen för att begränsa skrivåtkomsten till endast lokala administratörer på de datorer som används för att lagra dessa filer. Detta förhindrar manipulering av dessa filer av obehöriga användare som kan äventyra funktionerna i redundansklustret när snabbkorrigeringar tillämpas.

• För att säkerställa dataintegritet för SMB-anslutningar (Server Message Block) som används för att komma åt snabbkorrigeringsrotmappen bör du konfigurera SMB-kryptering i den delade SMB-mappen om det är möjligt att konfigurera den. Microsoft.HotfixPlugin kräver att SMB-signering eller SMB-kryptering är konfigurerat för att säkerställa dataintegriteten för SMB-anslutningarna.

  Mer information finns i Begränsa åtkomsten till rotmappen för snabbkorrigering och konfigurationsfilen för snabbkorrigeringen.

Ytterligare rekommendationer

• Om du vill undvika att störa en CAU-uppdateringskörning som kan schemaläggas samtidigt ska du inte schemalägga lösenordsändringar för klusternamnsobjekt och virtuella datorobjekt under schemalagda underhållsperioder.

• Du bör ange lämpliga behörigheter för föruppdaterings- och efteruppdateringsskript som sparas i delade nätverksmappar för att förhindra eventuell manipulering av dessa filer av obehöriga användare.

• För att konfigurera CAU i självuppdateringsläge måste ett virtuellt datorobjekt (VCO) för den CAU-klustrade rollen skapas i Active Directory. CAU kan automatiskt skapa det här objektet när den CAU-klustrade rollen läggs till, förutsatt att failover-klustret har tillräckliga behörigheter. På grund av säkerhetsprinciperna i vissa organisationer kan det dock vara nödvändigt att förinstallera objektet i Active Directory. För en procedur om hur du gör detta, se Steg för att förinstallera ett konto för en klustrad roll.

• Om du vill spara och återanvända inställningar för uppdateringskörning i redundanskluster med liknande uppdateringsbehov i IT-organisationen kan du skapa profiler för uppdateringskörning. Beroende på uppdateringsläget kan du dessutom spara och hantera uppdateringskörningsprofilerna på en filresurs som är tillgänglig för alla fjärranslutna uppdateringskoordinatordatorer eller redundanskluster. Mer information finns i Avancerade alternativ och Uppdatera körningsprofiler för CAU.

Testa klusteruppdateringsberedskap

Du kan köra BPA-modellen (CAU Best Practices Analyzer) för att testa om ett redundanskluster och nätverksmiljön uppfyller många av kraven för att programuppdateringar ska tillämpas av CAU. Många av testerna kontrollerar om miljön är redo att tillämpa Microsoft-uppdateringar med hjälp av standard-plugin-programmet Microsoft.WindowsUpdatePlugin.

Du kan köra BPA på följande två sätt:

1. Välj Analysera klusteruppdateringsberedskap i CAU-konsolen. När BPA har slutfört beredskapstesterna visas en testrapport. Om problem identifieras på klusternoder identifieras de specifika problemen och noderna där problemen visas så att du kan vidta korrigerande åtgärder. Det kan ta flera minuter att slutföra testerna.

2. Kör cmdleten Test-CauSetup . Du kan köra cmdleten på en lokal dator eller fjärrdator där modulen för redundansklustring för Windows PowerShell (en del av verktygen för redundansklustring) är installerad. Du kan också köra cmdleten på en nod i redundansklustret.

Tester för klusteruppdateringsberedskap

I följande tabell visas de kluster som uppdaterar beredskapstester, några vanliga problem och lösningssteg.

Ytterligare referenser

• Cluster-Aware Uppdatera översikt