WSUS中需手动创建语义明确的计算机分组（如Finance-Servers）以实现分阶段补丁审批；新建分组后须通过组策略、手动注册或脚本将客户端分配入组，方可设置独立审批规则。
在 WSUS 中创建计算机分组
wsus 默认只存在“所有计算机”和“未分配的计算机”两个基础组，新加入域的客户端会自动归入“所有计算机”，但不会自动进入你自建的业务组——必须手动或通过策略分配。创建分组是实现分阶段补丁审批的前提。
按业务角色或部门命名分组
分组名称要有明确语义，便于后续审批规则识别。例如：
- Test-Desktops：用于测试环境的办公终端
- Finance-Servers：财务系统相关服务器
- Production-Workstations：生产一线操作员使用的工控类 PC
- Accounting：会计部全部设备（含笔记本与台式机）
避免使用模糊名称如“Group1”或“NewGroup”，否则审批时易混淆，也影响 GPO 策略绑定准确性。
通过 WSUS 控制台新建分组
操作路径清晰，无需额外工具：
Windows TTS (WSL2)
下载
在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。
- 打开 WSUS 管理控制台 → 展开左侧树形菜单：更新服务 > WSUS > 计算机 > 所有计算机
- 右键单击“所有计算机” → 选择“添加计算机组”
- 输入组名（如 Finance-Servers），点击“添加”
- 新组将出现在“所有计算机”同级位置，初始为空
注意：该操作仅创建逻辑容器，不自动拉入任何机器；客户端仍需通过组策略、注册表或手动方式归属到对应组。
把客户端分配进指定分组
有三种常用方式，推荐组合使用：
-
组策略自动归属：在 GPO 中配置“指定目标组”策略（Computer Configuration → Policies → Administrative Templates → Windows Components → Windows Update → Specify intranet Microsoft update service location），同时启用“将计算机分配给指定组”策略（需配合注册表项
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate下的TargetGroup和TargetGroupEnabled） -
客户端手动注册：在目标计算机上运行命令
wuauclt /resetauthorization /detectnow并确保已配置正确 WSUS 地址，重启 Windows Update 服务后，设备会在几小时内出现在 WSUS 控制台的“未分配的计算机”中，再右键拖入目标组 - 批量脚本导入：对大量终端，可用 PowerShell 脚本调用 WSUS API 或修改客户端注册表后触发检测，实现集中归属
完成分配后，在对应分组下即可看到设备列表，此时才能为其单独设置审批规则或安装策略。
