GPO不直接分发补丁，而是通过配置Windows Update客户端指向WSUS服务器实现可控更新；需部署配置WSUS、配置GPO指定更新源与自动更新策略、设置审批和用户干预策略，并验证客户端注册表、更新扫描及事件日志。

windows域环境中，gpo本身不直接分发补丁文件，而是通过配置windows update客户端行为，统一控制补丁的获取源、安装时机、通知方式与审批流程。核心是把所有域内计算机导向企业内部wsus服务器或microsoft update catalog代理，再结合审批策略实现可控更新。

明确补丁分发架构定位

先确认你的补丁管理基础设施是否就绪：

• 已部署并配置好WSUS服务器（推荐Windows Server 2016+），且已完成初始同步（如同步“Critical Updates”“Security Updates”）
• WSUS服务器已加入域，并在DNS中可被客户端通过主机名（如wsus.contoso.com）解析
• 域计算机账户（DOMAIN\Computers）对WSUS服务器的IIS站点有读取权限，防火墙放行TCP 8530（HTTP）或8531（HTTPS）端口
• 若使用HTTPS，需提前将WSUS服务器证书导入客户端“受信任的根证书颁发机构”存储区

配置GPO强制指向内部更新源

在GPO编辑器中，导航至：计算机配置 → 策略 → 管理模板 → Windows组件 → Windows更新，启用以下关键策略：

• 指定Intranet Microsoft更新服务位置：填入WSUS服务器地址，例如：
  — 内部更新服务URL：http://wsus.contoso.com:8530
  — 内部统计服务器URL：http://wsus.contoso.com:8530
• 配置自动更新：选择“4 - 自动下载并计划安装”，并设置安装时间为非业务时段（如每周日凌晨3点）
• 不要在“关闭自动更新”上打勾：该策略会完全禁用Windows Update服务，导致WSUS策略失效
• （可选）启用允许从其他Microsoft更新网站接收更新：仅当需同时获取.NET、Defender等独立更新时启用

细化补丁审批与用户干预策略

避免补丁未经测试直接推送到生产机，需配合WSUS端审批流程使用：

• 在GPO中启用配置目标组，填写WSUS中的目标组名（如“研发部-测试机”），确保客户端自动归类，便于WSUS后台按组审批
• 启用设置非活动小时：定义每天2小时为“非活动时间”，系统不会在此期间重启，减少业务中断
• 禁用显示‘安装更新并关机’选项和交互式安装前不显示通知，防止终端用户误操作跳过更新
• 若需人工确认关键更新，可启用在更新安装前通知用户，但不建议在服务器或无人值守工作站启用

验证与日常维护要点

策略部署后不能只看GPO链接状态，必须验证客户端实际行为：

• 在目标计算机运行：gpupdate /force，然后检查注册表项：
  HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\WUServer 是否为你的WSUS地址
• 执行：usoclient StartScan（Win10/11）或手动触发Windows Update检查，观察是否列出WSUS已批准的更新
• 查看事件日志 → Windows日志 → System，筛选来源为“WindowsUpdateClient”，关注事件ID 20、41、43等成功上报记录
• 定期导出WSUS控制台中的“未分配更新”报告，及时审批高危补丁；对长期未上报的客户端，检查其wuauserv服务状态及网络连通性