WSUS: schedulare la pulizia ordinaria (PowerShell) (aggiornato 01/19)

Avere un server WSUS in azienda aiuta gli amministratori a risparmiare principalmente preziosa banda, e gestire al meglio il rilascio degli aggiornamenti sui client all’interno della stessa rete, fare report, ritirare un fix (KB) in caso di un errore Microsoft (già successo in passato, ogni tanto può capitare). Una mano santa e bla, bla, bla. Ora che il cappello è stato scritto e abbiamo saltato i convenevoli, possiamo parlare del succo della questione e di questo articolo, si parla di pulizia (del WSUS), semplice manutenzione ordinaria! ;-)

Si parte dal presupposto che l’operazione permessa dal software Microsoft vada già più che bene. Sto parlando di quella che puoi lanciare manualmente dalla console andando in Options → Server Cleanup Wizard. In base alle risorse messe a disposizione della tua macchina WSUS, tale operazione potrebbe non essere necessaria per mesi, per poi diventare la tua migliore amica quando ti ritroverai con il disco dati (dedicato alle patch del WSUS) arrivato ormai a tappo.

Un documento di Technet viene in aiuto del malcapitato di turno, suggerendo un intervento via PowerShell, alla quale ci si può affidare per risparmiare tempo e imprecazioni. Il comando è quello di Invoke-WsusServerCleanup, descritto qui. L’unico pre-requisito è quello di andare a sbloccare l’esecuzione di script non firmati, realizzati tipicamente da te (o da me), cosa alla quale sei abituato sul tuo portatile di lavoro per gestire Exchange in Cloud, un po’ meno forse sul server 2012 R2 dove gira WSUS. Apri quindi PowerShell ed esegui:

Set-ExecutionPolicy Unrestricted

Una volta confermato, sei pronto per salvare il seguente codice in un file PS1 che dovrai poi caricare in una cartella del tuo server:

$logfile="C:\Scripts\WSUS-Cleanup-Log.log"

$ErrorActionPreference="SilentlyContinue"
Stop-Transcript | out-null
$ErrorActionPreference = "Continue"
Start-Transcript -path $logfile
$Error.Clear()

Write-Output "$((get-date).ToLongTimeString()) $server - WSUS Cleanup starting..."
Invoke-WsusServerCleanup -CleanupObsoleteUpdates -CleanupUnneededContentFiles -CompressUpdates -DeclineExpiredUpdates -DeclineSupersededUpdates
Write-Output "$((get-date).ToLongTimeString()) $server - WSUS Cleanup complete."

Stop-Transcript
$emailbody = Get-Content $logfile | Out-String
$emailsubject = "WSUS cleanup report on $Env:ComputerName"
if ($error -ne $null){ $emailsubject = "WSUS cleanup report ERROR on $Env:ComputerName"}

Send-MailMessage `
    -From "Script WSUS-Clean <wsus@contoso.com>" `
    -To "Gruppo Alert WSUS <wsusalert@contoso.com>"`
    -Subject "$emailsubject" `
    -Body "$emailbody" `
    -SmtpServer "smtp.contoso.com"
    
# Examples:
#  -From "$env:COMPUTERNAME-alert@domain.tld" `
#  -To "Gruppo Alert WSUS <wsusalert@emmelibri.it>", "Altro Admin <altroadmin@domain.tld>"`

Non si tratta di farina del mio sacco, mi sono limitato a modificare lo script proposto sul blog di “BrianCanFixIT“, un lavoro assolutamente perfetto per l’esigenza, che aggiunge qualche piccolo dettaglio molto comodo alla già comune e conosciuta stringa relativa all’Invoke-WsusServerCleanup.

Ti basterà ritoccare le informazioni che riguardano il server SMTP (per l’invio dei log dell’operazione) e -se vuoi- modificare le operazioni eseguite da PowerShell, quindi salvare lo script e preparare un’operazione schedulata che lo lancerà una volta a settimana, o al mese se preferisci, lo scopo del gioco è quello di tenere un server WSUS in forma, funzionante e pulito da file non più utili che occupano inutilmente spazio su disco.

Se non sai come fare, ti rimando a una semplice guida pubblicata su SpiceWorks: community.spiceworks.com/how_to/17736-run-powershell-scripts-from-task-scheduler. Ti riepilogo cosa c’è da sapere (quindi fare sul tuo server):

• Crea una nuova operazione semplice, una di quelle che esegue un programma.
• Ricorda di specificare l’intervallo di esecuzione dell’operazione (settimanale, scegli il giorno e l’ora).
• Il programma sarà Powershell.exe (il sistema sa già dove andarlo a trovare), negli Arguments dovrai specificare la posizione dello script e -per mera sicurezza- il bypass della policy di esecuzione script di PowerShell, ottenendo quindi qualcosa di simile a -ExecutionPolicy Bypass C:\Script\WSUSClean.ps1 (partendo dal presupposto che WSUSClean.ps1 sia il tuo script PowerShell contenente il codice sopra pubblicato e che tu lo abbia salvato in C:\Script).
• Lo script da utilizzare questa volta, non prevede parametri, non è necessario quindi specificare null’altro e ti basterà completare la configurazione e ricordarti di aprire le opzioni dell’operazione schedulata al termine. Una volta fatto, modifica il tipo di privilegio di esecuzione specificando che si tratta di un’operazione da eseguire a prescindere che qualcuno sia collegato alla macchina e che servono privilegi elevati.

Ti verrà richiesto di inserire la password dell’account amministrativo che lancerà l’operazione, e se non avrai commesso alcun errore tutto filerà liscio già alla prima occasione. Se vuoi puoi forzare l’esecuzione dell’operazione per assicurarti che tutto vada bene, al termine dovresti ricevere una mail contenente il log delle operazioni.

Enjoy.

La pulizia passa anche per SQL

Si perché in realtà, dopo aver messo in moto e lasciato a lavorare lo script di PowerShell per il clean delle patch non più utili, ci si accorge che nel database si vanno a lasciare delle voci anch’esse non più utili, orfane di ciò che non esiste più. Per portare a termine un lavoro più completo, ti basterà salvare questo script nella stessa cartella dove risiede l’altro di PowerShell:

A questo punto, modifica lo script PowerShell che già avevi messo in funzione e inserisci la stringa:

sqlcmd -i C:\Scripts\db_maint.sql -S \\.\pipe\MICROSOFT##WID\tsql\query

prima dello Stop-Transcript. Occhio però: modifica la cartella dove pescare lo script se nel tuo caso è differente (cambia quindi C:\Scripts in qualcosa che riflette l’attuale posizionamento del file sul tuo server!). A questo punto PowerShell si occuperà di fare pulizia delle patch e del database di WSUS, in un colpo solo. Tu riceverai il solito log delle operazioni che ora conterrà anche le informazioni di pulizia del database :-)