wsus补丁分组审批需先建有意义的计算机组（如test-win10），客户端通过gpo/注册表加入对应组；再筛选未批准的安全更新等，右键确认详情后，按组手动批准安装、检测或拒绝，并可设截止时间实现灰度控制。
在 wsus 中实现补丁的分组审批，核心是“先分组、再筛选、后手动点选批准或拒绝”，不是批量全选，而是按业务逻辑精准控制每一批补丁对哪类设备生效。
创建并维护有意义的计算机组
组是审批的前提。不建组，所有机器默认归入“All Computers”，审批就失去意义。
- 在 WSUS 控制台左侧树形菜单中，展开服务器名 → 右键“计算机目标” → “新建计算机组”
- 命名要体现用途和范围，例如：Test-Win10（测试用 Win10 终端）、Prod-AD-DC（生产环境域控制器）、Finance-SQL2019（财务部 SQL Server 2019 实例）
- 客户端需通过 GPO 或注册表配置指向该 WSUS 服务器，并启用“指定目标组”，才能自动报到对应组——否则即使建了组，机器也不会出现在里面
筛选出待操作的具体补丁
直接进“所有更新”列表容易迷失。必须用过滤缩小范围，避免误批。
- 点击顶部“更新” → “所有更新”，在右上角使用筛选器：选择“审批状态 = 未批准”，再配合“分类 = 安全更新”、“产品 = Windows 10/11”、“严重性 = Critical”等组合
- 也可用搜索框输入 KB 编号（如 KB5032189）或关键词（如 “LDAP”、“.NET”）快速定位
- 右键某条更新 → “属性”，确认其是否含“可能请求用户输入”或“需要重启”等关键信息，这些会影响部署方式
对选定补丁执行分组级手动审批
审批动作必须绑定到具体组，且可差异化设置安装行为。
- 在更新列表中勾选一个或多个补丁（Ctrl 多选 / Shift 连选），右键 → “批准”
- 在弹出的“批准更新”对话框中：左侧选目标组（如 Test-Win10），右侧下拉选择动作：“已批准安装”（推送到客户端并自动安装）、“已批准检测”（仅检查是否需要，不安装）、或“拒绝”（明确屏蔽该补丁对该组生效）
- 可为“已批准安装”设定截止时间：填一个过去时间（如昨天），客户端下次联系服务器即立即执行；填未来时间，则按计划触发
- 若需同时批准给多个组，重复上述步骤，每次选不同组即可——同一补丁可对 Test 组“批准安装”，对 Prod 组“拒绝”，实现灰度控制
验证与后续动作
审批不是终点，需确认客户端是否收到指令、是否按预期响应。
- 审批完成后，进入“计算机”节点 → 查看对应组内机器的“更新状态”，观察“所需更新数”是否变化
- 在客户端执行 wuauclt /detectnow 强制向 WSUS 查询，再查 Windows Update 日志（Applications and Services Logs → Windows → WindowsUpdate）确认是否识别到新批准项
- 若某补丁被拒绝但后续需启用，回到“所有更新”列表，右键该补丁 → “撤消拒绝”，再重新走审批流程
