企业需部署wsus服务器并配置客户端组策略，通过审批更新、建立计算机组及细化更新行为实现内网windows更新的统一控制。
如果企业需要在内网环境中统一控制 Windows 更新的分发节奏、审批内容与目标设备范围，则需借助 WSUS（Windows Server Update Services）构建本地更新源。以下是实现该目标的具体操作路径：
一、部署并初始化WSUS服务器
WSUS 作为 Windows Server 的内置角色，提供更新缓存、审批、分类与定向分发能力。其核心价值在于将原本直连微软更新服务器的客户端流量收敛至内部网络，同时赋予管理员对补丁生命周期的完全控制权。
1、在 Windows Server 系统中打开“服务器管理器”，选择“添加角色和功能”。
2、在角色列表中勾选“Windows Server 更新服务”，保持默认设置完成安装。
3、安装完成后，通过“工具”菜单启动“WSUS 管理控制台”。
4、首次运行时触发配置向导，上游服务器选择“Microsoft Update”，语言选项勾选“中文”与“英文”。
5、产品类别中至少勾选“Windows 10/11”、“Windows Server 2016/2019/2022”，同步类型选择“手动同步”，避免初始同步占用带宽。
6、点击“开始连接”后等待状态变为“已完成”，此时 WSUS 已具备基础服务能力。
二、配置客户端指向WSUS服务器
客户端必须明确识别内网更新源地址，否则仍将尝试连接公网 Microsoft Update。此过程依赖组策略强制重定向 Windows Update 客户端行为，确保所有受控设备仅从指定 WSUS 实例获取元数据与补丁文件。
1、在域控制器或管理机上运行 gpedit.msc（本地策略）或打开“组策略管理控制台”（域策略）。
2、导航至“计算机配置 → 管理模板 → Windows 组件 → Windows 更新”。
3、双击“指定 Intranet Microsoft 更新服务位置”，设置为“已启用”。
4、在“设置用于检测更新的内网更新服务”栏输入 WSUS 服务器地址，格式为 http://wsus-server-name:8530（若使用 HTTPS 则端口为 8531）。
5、在“设置内网统计服务器”栏填写相同地址，确保统计上报路径一致。
6、执行 gpupdate /force 命令刷新策略，重启 Windows Update 服务使配置生效。
三、审批与分发更新补丁
WSUS 不自动推送补丁，所有更新必须经人工或规则审批后才进入下载与分发队列。审批动作决定哪些补丁可被客户端发现、下载及安装，是安全策略落地的关键环节。
在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。
1、登录 WSUS 控制台，在左侧导航栏点击“更新”→“所有更新”。
2、点击“筛选器”按钮，设置状态为“未批准”，分类为“关键更新”或“安全更新”。
3、勾选待审批条目，右键选择“批准”，弹出窗口中指定目标计算机组（如“研发部-Win11”）。
4、审批后，WSUS 后台自动开始下载补丁文件至本地存储路径（默认 %ProgramFiles%\Update Services\Content）。
5、客户端将在下次检查更新时（默认每22小时）拉取已批准更新列表，并根据本地策略决定是否自动下载安装。
6、可在“计算机”节点下查看各设备的更新状态，确认“所需更新数”是否归零以验证分发效果。
四、基于组策略细化更新行为
除指定更新源外，还需通过组策略约束客户端更新时机、延迟周期与交互方式，防止补丁干扰业务连续性。这些策略与 WSUS 协同构成完整更新治理模型。
1、在相同组策略编辑器路径下，启用“配置自动更新”策略，模式选择“3 - 自动下载并通知安装”。
2、启用“推迟功能更新”策略，设置“DeferFeatureUpdatesPeriodInDays”值为 180（最大允许值），避免非计划功能升级。
3、启用“推迟质量更新”策略，设置“DeferQualityUpdatesPeriodInDays”值为 30，保障安全补丁及时性的同时保留测试窗口。
4、启用“不要在登录时进行自动更新安装”策略，防止用户会话中断。
5、启用“在自动更新重启前通知用户”策略，设定提前通知时间为 15分钟，提升终端用户体验。
6、完成配置后再次执行 gpupdate /force 并重启 Windows Update 服务。
五、建立计算机组实现差异化更新策略
企业环境中不同部门、设备类型或安全等级需适配不同更新节奏。WSUS 支持按组划分设备，使审批、报告与部署动作可精确到组级别，避免“一刀切”风险。
1、在 WSUS 控制台左侧选择“计算机”，右键“所有计算机”，选择“创建计算机组”。
2、输入组名如“生产服务器-2022”，选择“静态组”或“动态组”（后者支持基于注册表或 Active Directory 属性自动归类）。
3、将目标设备手动拖入该组，或通过客户端部署脚本自动加入（使用 PowerShell 调用 Add-WsusComputer cmdlet）。
4、审批更新时，在“批准更新”对话框中仅选择该组为目标，确保补丁仅下发至指定范围。
5、在“报告”节点下生成“按计算机组的更新状态”报表，快速定位某组内未完成更新的设备清单。
6、对高敏感组（如域控制器），可额外启用“仅批准已验证签名的更新”策略，增强来源可信度。
