Windows 7 SP1: готовимся к развёртыванию через WSUS на корпоративном парке

Microsoft официально объявила: SP1 для Windows 7 и Windows Server 2008 R2 выходит в феврале. RTM уже у партнёров через MSDN/TechNet, публичная раздача - вопрос нескольких недель. Мы решили не ждать релизного дня, а подготовиться заранее - развернуть пилот, прогнать совместимость и к моменту выхода уже иметь готовый план для всех клиентских парков.

Почему не «поставим потом»

Соблазн отложить понятен: пусть мир поставит первым, пусть отпишутся на форумах. Но у нас сейчас около двухсот машин на Windows 7 в сопровождении - это три клиента с парками от сорока до восьмидесяти машин. Если SP1 где-то сломает антивирус или клиент 1С, мы хотим узнать об этом на двадцати машинах, а не на всех сразу.

Ещё один довод: WSUS без правильной настройки может начать раздавать SP1 автоматически, и тогда поезд уйдёт без нашего участия. Лучше взять управление сейчас.

Пилотная группа и её состав

Под тест выделили двадцать машин - по возможности разного «профиля»:

• Несколько бухгалтерских рабочих мест с 1С 8.2 в файловом и клиент-серверном режиме. Именно там обычно и прилетают неприятные сюрпризы после обновлений Windows.
• Машины с корпоративным антивирусом двух вендоров - у разных клиентов разный, и оба присутствуют в пилоте.
• Один ноутбук на каждый клиентский парк - чтобы проверить драйверы, спящий режим и VPN-клиент.
• Пара машин с нестандартным ПО - специализированная отчётность, сканеры с WIA.

Критерий попадания в пилот простой: машина должна быть репрезентативна для своего парка, а не просто «свободна».

WSUS: блокируем SP1 до готовности

Первое действие - ещё до того как SP1 появился в каталоге WSUS - создать отдельную группу компьютеров «Win7-SP1-Pilot» и настроить политику одобрения так, чтобы SP1, когда придёт, автоматически одобрялся только для неё. Остальные группы - в статус «не одобрено».

Звучит очевидно, но мы в 2007-м с Vista так не сделали, и несколько машин обновились раньше, чем мы провели совместимость. Тогда обошлось, но осадочек остался - та история с Vista нас кое-чему научила.

На серверной стороне аналогично: Server 2008 R2 SP1 идёт отдельным пакетом, серверная группа WSUS отдельная, одобрение - только после того как убедимся в стабильности клиентских машин.

Чего ждём от антивируса

Корпоративные антивирусы - исторически самое уязвимое место при установке крупных обновлений Windows. SP1 патчит ядро, несколько компонентов ядерного уровня, и некоторые антивирусные драйверы на это реагируют плохо: либо зависают в процессе установки, либо теряют самозащиту, либо после перезагрузки требуют переустановки агента.

Мы проверили сайты обоих вендоров: один уже выпустил KB с рекомендацией обновить агент до определённой версии перед установкой SP1, второй пока молчит. Для второго пишем тикет в техподдержку - хотим письменное подтверждение совместимости до начала широкого развёртывания.

Схема проверки на пилоте: установить SP1, дождаться перезагрузки, проверить, что антивирусный сервис запущен, база обновляется, и сканирование по расписанию отрабатывает штатно. Ничего сложного, но делать руками на двадцати машинах - уже полдня работы, поэтому скрипт проверки состояния сервисов готовим заранее.

1С 8.2: клиент-серверный режим под лупой

С 1С история отдельная. Платформа 8.2 работает на нескольких слоях: клиент на рабочей станции, сервер приложений, СУБД. SP1 затрагивает только клиентские машины в нашем сценарии, сервер приложений пока не трогаем. Но даже на клиенте возможны сюрпризы: 1С использует COM-компоненты и HASP-ключи, а обновления Windows иногда сбрасывают права или меняют поведение WMI.

На пилотных бухгалтерских машинах после установки SP1 планируем прогнать: открытие базы, проведение документа, формирование пары отчётов, печать. Если всё это работает - считаем 1С зачтённой. Файловый режим проверяем отдельно - там своя специфика с блокировками.

Ещё один момент: у одного клиента стоит HASP-ключ на USB, и мы помним, что при крупных обновлениях Windows драйвер ключа иногда слетает. Проверяем в первую очередь.

Что будет дальше

Пилот - это не конец, а начало. Если за неделю после установки SP1 двадцать машин работают без жалоб, следующий шаг - расширение на остальные машины с двухнедельным окном. Серверный SP1 - отдельный разговор, там согласуем maintenance window с клиентами и будем делать по одному серверу в сессию.

Пока что RTM на руках только через MSDN. Как только SP1 появится в WSUS-каталоге - запускаемся. Сопровождение предполагает, что мы делаем эту работу без звонков клиентам с криком «у вас всё сломалось».