可通过组策略统一管控域内客户端Windows更新，包括更新源（如WSUS）、安装模式（3/4/5）、重启行为、延迟策略、驱动及Microsoft产品更新、带宽限制和预览更新启用。

可以通过组策略统一控制域内所有客户端的 windows 更新行为，包括更新来源、安装时机、是否重启、带宽占用等。核心是使用域控制器上的组策略管理控制台（gpmc）创建并链接 gpo，再配置对应策略路径下的设置。

配置自动更新模式

这是最基础也最关键的设置，决定客户端如何响应更新：

• 路径：计算机配置 → 管理模板 → Windows 组件 → Windows 更新 → 管理最终用户体验 → 配置自动更新
• 启用后可选模式： • “3 - 自动下载并通知安装”：适合需人工确认安装时间的终端 • “4 - 自动下载并计划安装”：必须配合“安装时间”设置（如设为凌晨2点），适用于批量静默部署 • “5 - 允许本地管理员选择设置”：保留部分控制权，但不能禁用自动更新
• 注意：若同时部署 WSUS，该策略仍生效，但更新源由“指定 Intranet 更新服务位置”决定

指定内部更新服务器（WSUS）

让客户端不再连接微软公网，转而从内网 WSUS 服务器获取已审核的更新：

• 路径：计算机配置 → 管理模板 → Windows 组件 → Windows 更新 → 指定 Intranet Microsoft 更新服务位置
• 启用后填写两个地址（通常相同）： • “设置检测更新的 Intranet 更新服务”：如 http://wsus-server • “设置 Intranet 统计服务器”：同上
• 配套启用：不要连接到任何 Windows 更新 Internet 位置（防止绕过 WSUS）

控制重启与用户体验

避免业务中断，尤其对无人值守或关键设备：

• 禁止自动重启：启用以下三项 • “对于已登录的用户，不要显示‘重启现在’对话框” • “不要在登录页面显示‘重启现在’对话框” • “有用户登录时，对于计划的自动更新安装不自动重启”（路径在 Windows 更新 → Windows 更新代理）
• 延迟更新：使用“Windows 更新客户端策略”中的延迟选项（如延迟功能更新30天），路径为 计算机配置 → 管理模板 → Windows 组件 → Windows 更新 → Windows 更新客户端策略

扩展管理能力

除系统更新外，还可覆盖更多场景：

• 驱动程序与 Microsoft 产品更新：在“配置自动汇报”策略中勾选“安装其他 Microsoft 产品的更新”，即可让 Office、.NET 等一并更新（需 WSUS 或 Configuration Manager 支持同步）
• 带宽限制：启用 计算机配置 → 管理模板 → Windows 组件 → Delivery Optimization → 下载限制，设定最大带宽百分比，避免影响办公网络
• 预览更新启用：对新功能做灰度测试时，需先安装对应 KB 的 .msi 策略包，再在 管理模板 → KB###### 功能预览 下启用策略