WSUS против SCCM 2007 R2: выбираем инструмент управления патчами для 400 рабочих мест
Microsoft выпустила SCCM 2007 R2 с расширенным patch management. Сравниваем с WSUS на реальном клиенте с 400 машинами: где SCCM выигрывает и во что обходится.
Выход Microsoft SCCM 2007 R2 с расширенным управлением патчами, инвентаризацией и поддержкой нестандартного ПО для крупных корпоративных сред
На прошлой неделе Microsoft выпустила SCCM 2007 R2 - очередной апдейт к System Center Configuration Manager. В анонсах много слов о «расширенном управлении патчами» и «улучшенной инвентаризации». Мы как раз в разгаре проекта у клиента с парком около 400 рабочих мест, где вопрос patch management стоит давно - и довольно болезненно. Решили сравнить WSUS и SCCM в реальных условиях, а не на стенде.
Предыстория. Клиент - производственная компания, смешанный парк: Windows XP SP3 на рабочих станциях, пара Server 2003, один Server 2008. Пользователи работают со специализированным ПО - несколько систем автоматизации, которые Microsoft Update и WSUS в упор не видят. До нас патчи ставились вручную или не ставились вовсе - это стало очевидно после волны Conficker в феврале, когда несколько машин оказались без MS08-067. WSUS уже стоял, но настроен был по принципу «лишь бы было».
Что WSUS делает хорошо. Если речь только об обновлениях Microsoft - WSUS справляется. Настройка через GPO, одобрение патчей по группам, базовые отчёты о соответствии. Для небольшой или однородной среды этого хватает. Клиент у нас получил работающий WSUS ещё в начале года, и критические патчи на Windows начали доезжать по расписанию.
Но как только мы попытались понять, что реально стоит на 400 машинах помимо Windows - WSUS замолчал. Он не знает про сторонние продукты. Отчёт «все ли машины обновлены» касается только Microsoft-продуктов. Версии драйверов, состояние специализированного ПО, наличие агентов безопасности - это нужно собирать отдельными костылями. PowerShell-скрипты, WMI-запросы, ручная сверка - всё это мы делали, и это отнимало время.
Что добавляет SCCM 2007 R2. Главное - инвентаризация. Hardware inventory, software inventory, можно настроить сбор кастомных WMI-классов. Мы за несколько часов увидели реальную картину по парку: какие версии 1С, есть ли антивирус и насколько свежий, какое железо и где. Это то, что с WSUS пришлось бы собирать неделями.
Patch management в SCCM работает через Software Updates - по сути надстройка над WSUS, но с дополнительным уровнем оркестрации. Можно делать Deployment Packages, настраивать Maintenance Windows, управлять последовательностью установки. Для нестандартного ПО - Packages и Programs, можно организовать установку любого дистрибутива с нужными ключами и проверкой результата.
Отчётность - принципиальная разница. Здесь SCCM выигрывает без вопросов. Встроенные отчёты через SQL Server Reporting Services дают нормальный дашборд: сколько машин соответствуют политике, где что не поставилось и почему. В WSUS отчёты - это Excel-экспорт с минимальной фильтрацией. Клиент попросил еженедельный срез по patch compliance - в WSUS это была бы ручная работа, в SCCM - настроить один отчёт и поставить в расписание.
Обратная сторона: инфраструктура. SCCM не разворачивается на том же сервере, что WSUS. Нужен выделенный SQL Server - желательно отдельный от всего остального, потому что база SCCM при полной инвентаризации 400 машин растёт ощутимо. Мы подняли SQL Server 2008 на отдельной виртуальной машине. Плюс Site Server, плюс Distribution Points если сеть сегментирована. У клиента два удалённых офиса - туда нужны DP, иначе пакеты будут тянуться через WAN при каждом деплое.
Итого на инфраструктуру SCCM ушло около двух недель: планирование мощностей, установка, настройка Discovery, клиентские агенты по GPO, первые коллекции. WSUS был готов за день. Это честная цена, её надо закладывать в проект.
Лицензирование. SCCM входит в Microsoft Core CAL Suite - у клиента это уже было. Если нет - вопрос стоимости становится отдельным разговором. Для небольшого парка WSUS плюс нормальный мониторинг могут оказаться разумнее.
Где сейчас. SCCM работает первую полную неделю в боевом режиме. Инвентаризация собрана, первый Deployment Package с накопленными обновлениями доехал до большинства машин. Несколько рабочих станций в цехах не поймали агент - разбираемся с сетевой изоляцией. Это как раз те моменты, которые в WSUS были бы незаметны: машина просто не отчиталась бы, и всё.
Переход от «патчи ставятся когда придётся» к управляемому процессу - это не про инструмент, это про сопровождение инфраструктуры как таковое. SCCM 2007 R2 даёт хороший фундамент для этого при парке от нескольких сотен машин. Но без SQL-инфраструктуры и человека, который будет это вести, любой инструмент становится просто красивой консолью.