SUS 定位與適用範圍

• 定位： 微軟針對企業客戶的免費補丁內部分發服務，基於 Windows Update 技術
• 支援平台： Windows 2000 (SP3+)、XP (SP1+)、Server 2003 (內建客戶端)
• 不支援： NT 4.0、9x/Me、非 Windows 平台、Service Pack 整合包、非 Windows 產品 (Office、SQL 等需 SMS/SCCM)

架構組件

組件	角色	部署需求
SUS Server	同步微軟更新 → 審核 → 內部分發	Win2K/2003 Server、IIS 5.0+、NTFS、IE 5.5+、直連或防火牆透傳 Internet、建議獨立機器 (避免佔用 80 埠)
SUS Client (AU)	自動偵測/下載/安裝核准更新	Win2K SP3+/XP SP1+ 內建；舊版手動安裝 AU 客戶端；Win2003 內建無需額外安裝

安裝與配置關鍵步驟

1. 下載 SUS SP1 (33 MB) → 雙擊安裝 → 自動安裝 IIS Lockdown (若需共存其他 Web 服務需調整 Lockdown 設定)
2. 管理工具 → Microsoft Software Update Services 或瀏覽器開啟 `https://sus-server/` (需本機管理員權限)
3. 「設定選項」四大核心配置：
   1. Proxy 設定： 若需經 Proxy 上網
   2. 伺服器名稱： 預設電腦名，建議改為內部 FQDN 或 VIP IP (利於客戶端解析)
   3. 更新來源： 直接同步 Microsoft Windows Update / 或從上游 SUS 同步 (多層級架構)
   4. 核准模式： **手動核准 (預設/建議)** — 管理員測試無誤後核准；或「自動核准舊版已核准更新的新版本」
4. 儲存模式： 建議「儲存更新至本機資料夾」→ 客戶端從內網下載，節省外網頻寬；選擇必要語言版本 (繁中/英文) 避免浪費磁碟空間

日常運營流程

1. 同步排程： 建議每日一次 (非尖峰時段)
2. 手動同步： 緊急補丁 (Out-of-band) 發布時立即觸發
3. 審核與核准： 「核准更新」頁面 → 選擇需求更新 → 「核准」→ 選擇目標電腦群組 → 確定
4. 日誌稽核： 同步日誌、核准日誌、客戶端合規報表

進階功能

• 多層級 SUS 階層： 總部 SUS 同步微軟 → 分公司 SUS 同步總部 → 邊緣辦公室
• NLB (Network Load Balancing)： 多台 SUS Server 組叢集，高可用性與負載分擔

客戶端部署與策略控制

群組策略 (推薦)

1. GPMC → 電腦設定 → 管理範本 → Windows 元件 → Windows Update
2. 關鍵設定：
   • 指定內部 Microsoft 更新服務位置 (WUServer / WUStatusServer) = `https://sus-server`
   • 設定自動更新：4 = 自動下載並排程安裝 (建議)
   • 排程安裝日/時：非工作時間 (如週日 03:00)
   • 登入使用者不自動重新開機：啟用 (避免資料遺失)
   • 重新排程等待時間：1-60 分鐘

登錄部署 (無 AD 環境)

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]
"WUServer"="https://sus-server"
"WUStatusServer"="https://sus-server"

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU]
"UseWUServer"=dword:00000001
"AUOptions"=dword:00000004
"ScheduledInstallDay"=dword:00000000
"ScheduledInstallTime"=dword:00000003
"NoAutoRebootWithLoggedOnUsers"=dword:00000001
"RescheduleWaitTime"=dword:00000030

SUS 終止支援與後繼者

微軟已於 2007 年停止 SUS 開發，**後繼產品為 WSUS (Windows Server Update Services)**，功能更強：

• 支援 Office、SQL Server、Exchange 等產品更新
• 支援電腦群組、目標群組、自動核准規則
• 整合報表、E-mail 通知、SSL 加密傳輸
• Windows Server 2012+ 內建角色服務，無需額外安裝

建議現有 SUS 用戶規劃遷移至 WSUS/SCCM/Intune 現代化管理平台。