Как интегрировать обновления безопасности в образ Windows (ISO/WIM)

Чтобы гарантировать, что образ Windows, который вы развертываете на компьютерах в сети, всегда содержит последние обновления безопасности, вы можете добавлять новые пакеты обновлений в свой автономный установочный образ Windows с помощью DISM. В этом руководстве я покажу вам, как внедрить исправления безопасности в установочный образ ISO/WIM Windows 11/10 и Windows Server 2022/2019/2016.

В этом примере мы покажем вам, как добавить последнее накопительное обновление безопасности (апрель 2023 г.) в установочный образ Windows 11 22H2. Мы собираемся добавить накопительное обновление

KB5025239

к изображению. Встроенная поддержка решения для пароля локального администратора (Windows LAPS) добавлена в Windows 11 с обновлением KB5025239.

Как добавить обновления Windows в автономный образ?

Вам понадобятся следующие файлы:

• Установочный образ Windows в формате ISO или его файл install.WIM;

• Файл обновления .MSU, который можно загрузить из каталога Центра обновления Microsoft (Как вручную загрузить файлы Центра обновления Windows?). Просто загрузите последнее накопительное обновление для вашей версии Windows и обновление стека служб (SSU).

Создайте на своем компьютере следующую структуру каталогов:

• C:\updates\mnt - папка, куда мы будем монтировать файл install.wim, содержащий установочный образ Windows;

• C:\updates\msu - каталог, в который необходимо скопировать файлы обновлений для вашей версии Windows в формате MSU;

  

• C:\updates\WinImage\ — скопируйте файл install.wim (или install.esd) из каталога Sources установочного образа Windows 11 22H2 в этот каталог. Вы также можете скопировать образ WIM с сервера WDS, MDT, SCCM или любого другого инструмента развертывания ОС, используемого для установки Windows с использованием сетевой загрузки PXE.
  

Монтирование файла образа Windows (WIM) с помощью DISM

Современные установочные ISO-образы Windows, созданные с помощью Media Creation Tool, используют сжатый формат ESD вместо файла WIM. Вы не можете напрямую изменить образ Windows в формате ESD. Поэтому сначала необходимо преобразовать файл ESD в формат WIM с помощью инструмента DISM.

Подключите ISO-образ к виртуальному диску:

Mount-DiskImage -ImagePath "C:\DIstr\iso\Windows1122h2.iso"

Перечислите выпуски Windows в файле образа ESD/WIM:

DISM /Get-WimInfo /WimFile:"E:\sources\install.esd"

В этом примере мы будем экспортировать только WIM-файл Windows 11 Pro Edition из образа ESD (его индекс — 6, поэтому мы укажем

/SourceIndex:6

в следующей команде):

dism /export-image /SourceImageFile:"E:\sources\install.esd" /SourceIndex:6 /DestinationImageFile:C:\Updates\WInImage\win11pro.wim /Compress:max /CheckIntegrity

Смонтируйте файл install.wim, содержащий установочный образ Windows, в каталог C:\updates\mnt с помощью DISM:

dism /mount-wim /wimfile:C:\Updates\WinImage\win11pro.wim /index:1 /mountdir:C:\updates\mnt

/index:1

DISM: добавление обновлений MSU и CAB в образ Windows WIM

Теперь вы можете начать процесс интеграции подходящих обновлений MSU из указанного исходного каталога в автономный образ Windows.

dism /image:C:\updates\mnt /add-package /packagepath:C:\updates\msu

Если DISM обнаружит неправильное обновление (не соответствует версии ОС, разрядности или если обновление уже установлено), он пропустит его и запишет информацию в

C:\Windows\Logs\DISM\dism.log

Если вы не хотите вручную загружать файлы обновлений MSU из Центра обновления Microsoft, вы можете использовать в качестве источника эталонный компьютер с той же версией Windows, на которой уже установлены последние обновления безопасности, и получить все необходимые файлы обновлений напрямую. от этого. Windows сохраняет все исправления (CAB-файлы), полученные от серверов Центра обновления Windows или сервера WSUS, в

C:\Windows\SoftwareDistribution\Download

каталог.

Следующая команда запускает интеграцию файлов обновления, которые уже были загружены и установлены на удаленном компьютере (с именем PC1234), в образ install.wim:

Start /w for /R \\PC1234\C$\Windows\SoftwareDistribution\Download\ %f in (*.cab) do dism /image:C:\updates\mnt /add-package /packagepath:"%f"

В этом примере мы получим доступ к каталогу обновлений на удаленном компьютере через административную общую папку C$. Появится окно, позволяющее отслеживать процесс установки обновления для автономного образа Windows. DISM попытается добавить каждый CAB-файл, найденный на удаленном компьютере, в ваш образ Windows WIM.

dism /image:C:\updates\mnt /Cleanup-Image /StartComponentCleanup /ResetBase /ScratchDir:C:\Temp

Последний шаг — сохранить изменения и отключить образ Windows WIM.

dism /unmount-wim /mountdir:C:\updates\mnt /commit
dism /Cleanup-Wim

После установки обновлений вы можете убедиться, что они успешно интегрированы в образ Windows. Перечислите обновления, которые были установлены сегодня в смонтированном образе Windows WIM.

DISM /Image:C:\updates\mnt /Get-Packages /format:table | select-string "4/20/2023"

Вы также можете просмотреть список установленных обновлений в автономном образе WIM:

Dism /image:C:\Updates\WinImage\win11pro.wim /Get-Packages

dism /split-Image /imagefile:C:\Update\Winmage\install.wim /swmfile:C:\Update\WinImage\install.swm /filesize:4096

Все, что остается, — это скопировать полученный образ install.wim (или файлы SWM) в исходный каталог на вашем носителе или на виртуальной машине или пересобрать установочный ISO-образ с помощью таких инструментов, как oscdimg/UltraISO/Dism++.

Пример команды для создания установочного ISO-образа Windows с поддержкой UEFI и BIOS из локальной папки (oscdimg.exe входит в состав Windows ADK, Assessment and Development Kit):

oscdimg.exe -h -m -o -u2 -udfver102 -bootdata:2#p0,e,bc:\win11\iso\boot\etfsboot.com#pEF,e,bc:\win11\iso\efi\microsoft\boot\efisys.bin -lWin10 c:\iso c:\win11.iso