Exchange 2016 -KB5000871安全补丁更新沥血排坑路

Exchange 2016 -KB5000871安全补丁更新沥血排坑路

本地服务器环境如下：
DAG集群由3台成员组成，系统环境 windows server 2012 R2 Standard;
exchange 2016 cu11 （版本 version15.1 1591.10）
安装KB5000871 需要exchange 2016安装了cu18或者cu19的累积更新后，才能更新此安全补丁
当你维护的exchange服务，版本较低，长时间未做更新，可能会遇到跟我一样的问题，在此文档中，我把我升级的过程及拍错的思路整理出来，希望大家可以升级的更加顺畅；
具体升级过程，我会言简意赅，不会过多的操作说明，主要将大致的思路给大家整理下：

1，在做升级前，优先做好规划，数据备份，AD域控备份，我的环境都是虚拟机，都是提前做好虚机备份跟快照，有了数据备份，才可以放开手脚做升级。升级过程较长，建议放在晚上下班后操作，降低业务影响。

2，安全补丁，累积更新包提前在官网下载对应的版本，官网地址：https://docs.microsoft.com/zh-cn/exchange/new-features/build-numbers-and-release-dates?view=exchserver-2016

我选择的版本是CU18, 没有使用CU19，不解释

3, 我的升级计划是一台台成员做升级，第一台升级后，观察2天稳定后，再继续下一台，exchange升级更新后，版本是不能回滚的。升级前确认数据备份、快照等工作。

4，将累积更新包CU18,挂载到你的主域控pdc上，使用 “管理员运行命令提示符”，进入到你挂载镜像的盘符，执行以下语句，更新域控的扩展框架
setup.exe /PrepareAD /IAcceptExchangeServerLicenseTerms
看到下图，前期exchange升级前的先决条件检查环境就好了，这个等你后续再做DAG成员升级版本时，不用再排先决条件检查
5，AD框架更新后，在DAG中的一个成员中，执行升级，先将该成员设置维护模式，退出现有服务队列，我本地exchange是dns轮询，为了避免用户登录到这台服务，我直接在dns中去除这台解析。
（1）腾空传输队列
（2）腾空传输队列
（3）腾空所有消息呼叫
（4）将升级的这台成员等待队列的邮件重定向到其他成员身上
（5）暂停集群节点，防止节点被激活
（6）将当前成员的mount的数据库在其他成员激活，建议在web端的ecp上操作，便当简洁
（7）设置当前成员的数据库策略blocked,防止被激活，用户连接上了
（8）将该台成员至于维护模式
(9) 确认当前服务都是inactive

6，执行完以上操作后，将该DAG成员的系统补丁更新到最新， 让系统更新检测不到有新的补丁需要更新，然后执行升级操作

7，登录DAG成员的账户需要拥有 Enterprise Admins、Schema Admins 、 Organization Management、Domain Admins及Exchange Install Domain Servers等权限，同时保证该用户拥有管理审核和安全日志的权限，没有的话建议现在域控中先配置，解决这些权限，可以省去你在安装累积升级包时，一步步排错重启服务器的烦恼。

8，将cu18挂载到虚拟光驱上，直接打开运行setup.exe, 如果你在执行先决条件检查，频繁告诉你系统上次更新安装机器需要重启，重启超过3次，你本机已经无更新安装，这时不要在继续这种重启的无意义操作，这时你的升级戛然而止，这时不要犹豫 ，直接进入注册表，删除这个键值，
查找到以下键值PendingFileRenameOperations，（位置：HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Session Manager\PendingFileRenameOperations）并删除

删除后服务器不要重启，直接再次运行setup ,至此，升级工作应该可以顺利进行下去，如果还有类似如下图的报错，回到第7步中检查你升级使用的账户是否拥有标记的权限。有缺失请及时给升级的账户添加上
9，注意事项：将DAG成员的服务器跟升级用的账户，放置在一个单独OU,此OU不继承域控中的任何策略，避免升级过程中各种故障

10，升级完成后，服务器重启，然后将对应cu18的安全补丁直接安装，安装完成后再次重启服务器，机器起来后检查所有exchange服务是否正常工作

11，现在将第5步操作的关闭，全部执行恢复，
（1）先退出维护模式
（2）恢复统一消息呼叫
（3）恢复集群节点
（4）允许数据库在服务器上为活动状态
（5）删除自动激活的配置
（6）启用传输队列
（7）恢复传输队列服务

总结：至此升级完成，大致升级的心路历程，windows的升级就是更新重启更新重启，有这个心理准备，你就会放弃咋服务器的冲动，耐心等待各种重启，即使在升级中出现中断，再开始，它会继续它上次安装的点继续执行下去，微软也知道自己啥情况，这点技术可以大大减少你烧服务器的冲动。我第一台升级过程从晚上11：30折腾到凌晨3：00
后续我会将升级中敲到的powershell命令附上