wsus客户端安装更新时可能静默重启，须组合启用三项组策略并设置noautorebootwithloggedonusers注册表值为1方可有效阻止；策略含隐藏提示、锁屏拦截及后台重启禁用，且需验证事件日志与wuauclt触发效果。
windows 客户端在通过 wsus 安装更新时默认可能自动重启，尤其当更新包含需重启生效的组件（如 windows installer 3.1），即使用户已登录也无提示。要阻止这种行为，必须组合使用组策略和注册表两项关键设置——仅靠其中一项往往无效。
启用三项核心组策略禁用自动重启
这些策略位于“计算机配置 → 管理模板 → Windows 组件 → Windows 更新 → 管理最终用户体验”路径下，全部设为“已启用”：
- 对于已登录的用户，不要显示“重启现在”对话框：隐藏桌面弹窗提示
- 不要在登录页面显示“重启现在”对话框：防止锁屏界面出现重启按钮
- 有用户登录时，对于计划的自动更新安装不自动重启：这是最关键的策略，直接拦截后台强制重启逻辑
补充注册表项确保策略生效
部分 WSUS 场景（尤其是旧版客户端或含 Installer 3.1 的更新）会绕过组策略。需手动添加注册表值增强控制：
- 打开注册表编辑器（regedit），定位到：
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU - 新建或修改 DWORD 值：NoAutoRebootWithLoggedOnUsers
- 将其数值数据设为 1
- 修改后需重启计算机，使设置真正加载
验证是否生效的关键操作
策略部署后不能仅看设置状态，需实际验证行为：
- 在客户端执行 wuauclt /detectnow 触发一次 WSUS 更新扫描
- 等待一个需重启的更新（如累积更新）完成下载与安装
- 保持用户处于已登录状态，观察是否弹出重启提示或发生静默重启
- 检查事件查看器中“System”日志，筛选事件 ID 1074（计划重启）或 1065（自动重启尝试）可确认拦截效果
注意 WSUS 服务器端的同步影响
若 WSUS 服务器同步了标记为“必需重启”的更新（例如某些 .NET Framework 或内核补丁），客户端即使配置了上述策略，仍可能因更新自身要求而触发重启。此时应：
- 在 WSUS 控制台中审查更新批准状态，对非紧急更新暂缓批准
- 利用“分类”功能过滤掉带重启标识的更新（如选择“仅质量更新”，避开功能更新）
- 对关键业务机启用“延迟安装”策略，争取人工干预窗口
