WSUS 与 SCCM 集成

1. 概述

System Center Configuration Manager (SCCM) 使用 WSUS 作为后端同步引擎，提供更强大的软件更新管理功能。SCCM 可以管理更新部署、维护窗口、客户端合规性报告，而 WSUS 负责与微软更新目录同步。

2. 架构设计

SCCM + WSUS 集成架构：

顶层 WSUS：连接微软更新，SCCM 软件更新点 (SUP) 角色
SCCM 站点服务器：管理更新包、部署、维护窗口
分发点 (DP)：存储更新内容，供客户端下载
客户端：通过 SCCM 客户端接收更新策略

3. 配置集成

在 SCCM 站点服务器上，打开Configuration Manager 控制台

导航到管理 → 站点配置 → 服务器和站点系统角色

添加软件更新点角色，指定 WSUS 服务器（如 wsus.iehang.cn）

配置同步计划（建议每天一次），选择需要同步的产品和分类

完成向导，等待首次同步完成

PowerShell - 配置 SUP

# SCCM PowerShell 模块
Import-Module ConfigurationManager
Set-Location PS1:\

# 添加软件更新点角色
$siteCode = "PRI"
$serverName = "sccm.iehang.cn"
$wsusServer = "wsus.iehang.cn"
$wsusPort = 8530

# 创建 SUP 角色
New-CMSoftwareUpdatePoint -SiteCode $siteCode -SiteSystemServerName $serverName `
    -WsusServerName $wsusServer -WsusIisPort $wsusPort -WsusSsl $false

# 配置同步计划
Set-CMSoftwareUpdatePointComponent -SiteCode $siteCode `
    -SynchronizationSchedule (New-CMSchedule -RecurInterval Days -RecurCount 1)

Write-Host "SCCM 软件更新点配置完成"

4. 软件更新管理

SCCM 软件更新部署流程：

同步更新：从 WSUS 同步更新元数据到 SCCM 数据库
创建更新组：将相关更新组织为软件更新组
下载内容：将更新文件下载到分发点
创建部署：指定目标集合、维护窗口、重启行为
监控合规性：通过 SCCM 报告跟踪部署状态

在 SCCM 控制台中，导航到软件库 → 软件更新 → 所有软件更新

选择需要的更新，右键点击创建软件更新组

输入更新组名称，点击创建

右键点击更新组，选择下载，指定分发点

下载完成后，右键点击更新组，选择部署，配置目标集合和计划

PowerShell - 部署更新

# 创建软件更新组并部署
Import-Module ConfigurationManager
Set-Location PS1:\

# 获取更新
$updates = Get-CMSoftwareUpdate -Name "*2025*" | Where-Object {$_.IsSuperseded -eq $false}

# 创建更新组
$updateGroup = New-CMSoftwareUpdateGroup -Name "2025年安全更新" -SoftwareUpdate $updates

# 下载内容
Save-CMSoftwareUpdate -SoftwareUpdateGroup $updateGroup -DeploymentPackageName "更新包-2025"

# 创建部署
New-CMSoftwareUpdateDeployment -SoftwareUpdateGroup $updateGroup `
    -CollectionName "所有服务器" -DeploymentName "2025安全更新部署" `
    -AvailableDateTime (Get-Date) -DeadlineDateTime (Get-Date).AddDays(7) `
    -UserNotification DisplaySoftwareCenterOnly -AllowRestart $true

Write-Host "软件更新部署创建完成"

5. 常见问题

Q1：SCCM 和 WSUS 端口冲突

SCCM SUP 使用 WSUS 的 8530/8531 端口，确保没有与其他服务冲突。可以在不同服务器上部署 WSUS 和 SCCM。

Q2：同步失败错误 0x80072EE2

检查 WSUS 服务器网络连接、防火墙设置，确认 WSUS 服务运行正常。查看 WCM.log 和 WSUSCtrl.log 排查详细错误。

📑 目录

1. 概述

2. 架构设计

3. 配置集成

4. 软件更新管理

5. 常见问题