Immer wieder Spaß mit dem WSUS – Windows Update legt Update-Server lahm

Jedem der ein Windows-Server-Netzwerk administriert wird irgendwann bewusst, dass die WSUS-Rolle nicht gerade ein Meisterwerk der Programmierkunst ist. Es ist immerhin aber eine gewisse Ironie erkennbar, wenn sich der Update-Server nach einem Update lahm legt, welches er von sich selbst bezogen hat 😀

Unter einem Windows Server 2012 hatte ich heute das beschriebene Problem, nachdem ich etwa 20 Updates installiert habe. Nach dem obligatorischen Neustart habe ich erneut nach Updates gesucht, aber dann tauchte der Fehler 8024401F auf. Dann habe ich gesehen, dass das Laufwerk auf dem der WsusContent-Ordner liegt recht voll gewesen ist. Das habe ich dann behoben und landete bei einem Fehler 80244007. Nicht viel besser.

Die WSUS-Konsole im MMC zeigte nur „Verbindungsfehler“:

Zum Testen habe ich dann erstmal die WSUS-Konsole aus der MMC entfernt und versucht diese neu hinzuzufügen:

Aha. Wenigstens eine Fehlermeldung mit der man etwas anfangen kann. Die SUS-Datenbank läuft anscheinend nicht. Ein Blick in das Logfile der Windows Internal Databse unter „C:\Windows\WID\Log\error.log“ zeigt auch warum:

2017-09-26 11:48:48.22 spid51 SUSDB-Datenbank wird gestartet
2017-09-26 11:48:49.81 spid51 Fehler: 50000, Schweregrad: 16, Status: 1.
2017-09-26 11:48:49.81 spid51 Verification failed
2017-09-26 11:48:49.81 spid51 Fehler: 50000, Schweregrad: 16, Status: 1.
2017-09-26 11:48:49.81 spid51 The following columns are unexpected:
dbo.tbFile.IsSecure.sys.bit(1)
dbo.tbFile.IsEncrypted.sys.bit(1)
dbo.tbFile.DecryptionKey.sys.varbinary(-1)
2017-09-26 11:48:49.81 spid51 Database verification script failed for database ‚SUSDB‘.
2017-09-26 11:48:49.82 Fehler: 18456, Schweregrad: 14, Status: 38.
2017-09-26 11:48:49.82 Fehler bei der Anmeldung für den Benutzer ‚NT-AUTORITÄT\Netzwerkdienst‘.Ursache: Fehler beim Öffnen der explizit angegebenen Datenbank ‚SUSDB‘. [CLIENT: ]

Microsoft hat bei einem Update anscheinend Änderungen an der Datenbank vorgenommen, der WSUS kennt diese aber nicht, weil die Rolle anscheinend nicht automatisch korrekt aktualisiert wurde.

Sofern der WSUS ohne SSL läuft, lässt er sich mit folgenden 2 Schritten wieder betriebsfähig machen;

1. Als Administrator in der CMD folgenden Befehl ausführen:

2. Als Feature auf dem Server „HTTP Activation“ unter „WCF Services“ unter „.NET Framework 4.5 Features“ anhaken und installieren.

Quelle:
https://support.microsoft.com/en-us/help/3159706/update-enables-esd-decryption-provision-in-wsus-in-windows-server-2012