Интеграция обновлений в установочный образ Windows 10

В этой инструкции мы покажем, как интегрировать новые пакеты обновлений системы в установочный офлайн образ Windows 10 / Windows 8.1 с помощью встроенных средств системы. Аналогичным образом вы можете добавить последние обновления безопасности в дистрибутив Windows Server 2012 R2 / 2016.

В этом примере мы покажем процесс добавления последних кумулятивных обновлений безопасности (от декабря 2018 года) в установочный образ Windows 10 1803. Итак, нам понадобятся:

• Установочный образ Windows 10 в ISO формате или его WIM файл;
• Обновления в формате .msu, которые нужно скачать с сервера обновлений Microsoft (как вручную скачать msu файлы обновлений).

На вашем компьютере создайте следующую структуру каталогов:

• C:\updates\mnt – папка, в которую нужно смонтировать файл install.wim с установочным образом Windows;
• C:\updates\msu –  каталог, в который нужно поместить обновления для вашей версии Windows в формате MSU (в этом примере мы скачали 2 обновления безопасности для Windows 10 1803, вышедших в декабря 2018 в рамках Patch Tuesday — KB4471331 и KB4471324) ;
• C:\updates\Win10Image\ — в этот каталог нужно скопировать файл install.wim из вашего установочного образа Windows 10. В этом примере мы смонтировали и распаковали в него содержимое iso образа оригинального дистрибутива Windows10x64-1803.iso. Однако это может быть и wim файл из виртуальной машины, ее шаблона, образа WDS или образа, хранящегося в другой системе автоматического развертывания ОС (например, SCCM) и т.д.
  Если в вашем ISO образе Windows 10 есть только файл c:\sources\install.esd, вы сможете сконвертировать файл ESD в формат WIM с помощью утилиты DISM: dism /export-image /SourceImageFile:"C:\updates\Win10Image\install.esd" /SourceIndex:4 /DestinationImageFile:C:\updates\Win10Image\win10pro.wim /Compress:max /CheckIntegrity 

Смонтируйте файл c установочным образом Windows 10 (install.wim) в каталог C:\updates\mnt , выполнив в командной строке с правами администратора команду:

dism /mount-wim /wimfile:C:\updates\Win10Image\install.wim /index:1 /mountdir:C:\updates\mnt

Теперь вы можете запустить процесс интеграции в образ Windows подходящих MSU обновлений, расположенных в указанном каталоге.

dism /image:C:\updates\mnt /add-package /packagepath:C:\updates\msu

Если система обнаружит неподходящее обновление (не соответствует версия ОС, разрядность или если обновление уже установлено), оно будет пропущено, а в лог C:\Windows\Logs\DISM\dism.log будет записана соответствующая информация.

Чтобы уменьшить размер образа за счет удаления файлов неиспользуемых обновлений (см. статью об очистке папки WinSxS), выполните команду:

dism  /image:C:\updates\mnt /Cleanup-Image /StartComponentCleanup /ResetBase /ScratchDir:C:\Temp

Если в вашем распоряжении уже имеется компьютер с аналогичной версией Windows 10, на котором уже установлены последние обновления безопасности, вы можете получить все необходимые файлы обновления непосредственно с него. В этом случае вам не нужно вручную выбирать и скачивать MSU файлы обновлений из каталога обновлений Microsoft в Интернете. Дело в том, что Windows сохраняет все cab файлы обновлений, полученные с серверов Windows Update или сервера WSUS в каталог C:\Windows\SoftwareDistribution\Download.

Смонтируйте установочный Wim образ Windows, который вы хотите обновить:

dism /mount-wim /wimfile:C:\updates\Win10\install.wim /index:1 /mountdir:C:\updates\mnt

С помощью следующей команды вы запустите интеграцию в образ install.wim файлов обновлений, которые уже скачаны и установлены на другом компьютере, через локальную сеть:

Start /w for /R \\Win10x64Patched\C$\Windows\SoftwareDistribution\Download\ %f in (*.cab) do dism /image:C:\updates\mnt /add-package /packagepath:”%f”

В этом примере Win10x64Patched – имя компьютера, на котором уже установлены нужные обновления (версия и разрядность ОС должны совпадать). Естественно, что данный компьютер был доступен по сети, а ваша учетная запись должна обладать на нем правами администратора. В результате запуска команды, откроется новое окно, в котором можно наблюдать за процессом установки обновлений в офлайн образ Windows. DISM попробует добавить в ваш WIM образ Windows каждый найденный CAB файл на удаленном компьютере.

И последний шаг – нужно сохранить изменения и отключить смонтированный образ.

dism /unmount-wim /mountdir:C:\updates\mnt /commit
dism /Cleanup-Wim

Осталось скопировать полученный образ в install.wim в исходный каталог/виртуальную машину или пересобрать установочный iso образ, например, с помощью oscdimg), UltraISO или Dism++.

Если размер полученного install.wim файла более 4 Гб при установке образа Windows UEFI системе вы можете столкнуться с ошибкой «Windows cannot open the required file D:\sources\install.wim. Error code: 0x8007000D». В этом случае нужно разделить исходный install.wim на более маленькие файлы командой

dism /split-Image /imagefile:C:\Update\Win10Image\install.wim /swmfile:C:\Update\Win10Image\install.swm /filesize:4096

(см. статьи Создаем загрузочную USB флешку для UEFI с Windows 7 и Windows Server 2016).

После этого оригинальный install.wim можно удалить.

Теперь вы можете использовать ваш дистрибутив с интегрированными последними обновлениями безопасности для установки на компьютеры в вашей сети. Регулярно интегрируя последние обновления безопасности в ваш образ Windows, разворачиваемый на новых компьютерах, вы повышаете уровень защищенности своей инфраструктуры от последних уязвимостей и снижаете риски заражения новых компьютеров до того момента, когда они начнут обновляться со WSUS.