在域环境中，用组策略统一配置自动更新需三步：一、启用windows update服务并设为自动（延迟启动）；二、配置自动更新行为，推荐“4 - 自动下载并计划安装”并设重启时间；三、指向内网wsus服务器，填入正确地址并启用相关策略。

在域环境中，用组策略统一配置自动更新是最稳妥、可批量管理的方式。关键不是“能不能设”，而是设对位置、设对参数、设对服务状态——三者缺一不可。

一、确认并启用 Windows Update 服务

组策略再完善，如果服务本身没启动或被禁用，更新根本不会触发。加域电脑默认状态不统一，必须显式检查和设置：

• 进入组策略编辑器 → 计算机配置 → 策略 → Windows 设置 → 安全设置 → 系统服务
• 找到 Windows Update 服务，双击打开 → 设为“已启用”，启动类型选“自动（延迟启动）”
• 勾选“即使服务停止也重新启动该服务”，避免被第三方软件或脚本误停

二、配置自动更新行为（核心策略）

路径：计算机配置 → 管理模板 → Windows 组件 → Windows 更新

计算机网络安全服务公司网站模板

计算机网络安全服务公司网站模板是一款适合提供云安全、网络安全、服务器管理。数据安全服务公司宣传网站模板下载。提示：本模板调用到谷歌字体库，可能会出现页面打开比较缓慢。

下载

• 配置自动更新：启用，并选择“2 - 通知安装”或“4 - 自动下载并计划安装”（推荐后者，适合内网可控环境）
• 指定计划的安装时间：例如设为每周日凌晨3:00，避开业务高峰
• 始终在计划的时间重新启动：启用，确保补丁生效；若需人工确认重启，可配合“交互式用户已登录时不要重新启动”一起设
• 允许自动更新立即安装：启用，让高危紧急补丁（如 KB4012212 类）无需等待计划时间

三、指向内网更新源（WSUS 或本地服务器）

若单位部署了 WSUS，必须让客户端放弃连接微软公网：

• 启用策略：指定 Intranet Microsoft 更新服务位置
• 填入 WSUS 服务器地址，格式为：http://wsus-server.contoso.com:8530（端口按实际配置填写）
• 同时启用：将 DNS SRV 记录用于定位更新服务（可选，用于更灵活的服务发现）
• 注意：此设置仅影响 Windows Update 流量，不影响 Microsoft Store 或 Edge 自动更新

四、验证与强制刷新策略

策略配置后不会实时生效，需主动触发并确认：

• 在域控上修改 GPO 后，建议等 15–30 分钟让组策略自动复制；也可手动运行 gpupdate /force 强制刷新
• 在客户端执行 wuauclt /detectnow（Win10/11 中已弃用，改用 usoclient StartScan）触发立即检测
• 检查更新日志：事件查看器 → Windows 日志 → System → 搜索事件 ID 19/20/21，确认是否成功联系更新源并下载
• 查看注册表项 HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU，确认策略值已写入