104 lines
5.5 KiB
Markdown
104 lines
5.5 KiB
Markdown
# comi-win11-max-25h2
|
|
|
|
Paquet de configuration WAPT **Windows 11** limitant les mises a jour de fonctionnalites Windows Update a **25H2**. Il ne desactive ni Windows Update ni les mises a jour cumulatives/de securite.
|
|
|
|
## Ce que configure le paquet
|
|
|
|
Sous `HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate` (vue 64 bits) :
|
|
|
|
| Valeur | Type | Donnee |
|
|
| --- | --- | --- |
|
|
| `ProductVersion` | `REG_SZ` | `Windows 11` |
|
|
| `TargetReleaseVersion` | `REG_DWORD` | `1` |
|
|
| `TargetReleaseVersionInfo` | `REG_SZ` | `25H2` |
|
|
|
|
- Poste Windows 11 23H2 / 24H2 : 25H2 demeure une version cible autorisee, sous reserve de compatibilite, de disponibilite et des autres politiques de mise a jour.
|
|
- Poste Windows 11 25H2 : reste cible sur 25H2 pour les mises a jour de fonctionnalites.
|
|
- Poste deja en 26H1/26H2 : **installation refusee** si `DisplayVersion` le revele. Ce paquet ne fait pas de retrogradation.
|
|
- Windows 10, Windows Server, editions Home et LTSC connues : installation refusee pour eviter les effets de bord.
|
|
|
|
Cette politique concerne **les Feature Updates distribuees par Windows Update**. Elle ne bloque pas un autre outil, un ISO ou une mise a niveau executee manuellement. L'efficacite reelle peut aussi etre modifiee par GPO, Intune/MDM, WSUS, la fin de support de la version cible ou des politiques contradictoires. Elle ne doit pas etre consideree comme une barriere de securite absolue.
|
|
|
|
## Contenu
|
|
|
|
```
|
|
comi-win11-max-25h2/
|
|
setup.py
|
|
README.md
|
|
WAPT/
|
|
control
|
|
```
|
|
|
|
## Construire et deployer
|
|
|
|
1. Decompresser l'archive de sources sur un poste **WAPT Packaging** muni d'un certificat de signature autorise et de sa cle privee.
|
|
2. Verifier / adapter le champ `maintainer` ou le prefixe `package` dans `WAPT/control`.
|
|
3. Construire et signer via la Console WAPT (**Build and upload package**) ou en ligne de commande :
|
|
|
|
```powershell
|
|
& 'C:\Program Files (x86)\wapt\wapt-get.exe' build-package 'C:\waptdev\comi-win11-max-25h2'
|
|
```
|
|
|
|
Pour compiler ET mettre en depot en une operation :
|
|
|
|
```powershell
|
|
& 'C:\Program Files (x86)\wapt\wapt-get.exe' build-upload 'C:\waptdev\comi-win11-max-25h2'
|
|
```
|
|
|
|
4. Affecter `comi-win11-max-25h2` a l'hote ou au groupe voulu, et lancer l'installation depuis WAPT.
|
|
5. Tester d'abord sur un poste Windows 11 non critique.
|
|
|
|
**Important :** cette archive contient les *sources*, pas un fichier `.wapt` deja signe. La signature utilise la cle de packaging de votre environnement WAPT ; aucune cle privee n'est incluse.
|
|
|
|
## Audit
|
|
|
|
- Audit WAPT journalier (`audit_schedule: 1d`) ; lance aussi apres l'upgrade / sur demande.
|
|
- `OK` : strategie conforme et version detectee <= 25H2.
|
|
- `ERROR` : policy differente/absente, OS incompatible ou version deja > 25H2.
|
|
- `WARNING` : strategie conforme, mais version Windows non determinee.
|
|
|
|
Sur un poste WAPT :
|
|
|
|
```powershell
|
|
& 'C:\Program Files (x86)\wapt\wapt-get.exe' audit comi-win11-max-25h2
|
|
Get-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate' |
|
|
Select-Object ProductVersion, TargetReleaseVersion, TargetReleaseVersionInfo
|
|
```
|
|
|
|
La conformite des trois valeurs de Registre est un controle local : la prise en compte effective reste soumise au moteur Windows Update et a la source de mises a jour configuree.
|
|
|
|
## Desinstallation / retour arriere
|
|
|
|
Lors de la *premiere* installation, les valeurs precedemment presentes sont sauvegardees dans :
|
|
|
|
`C:\ProgramData\Comitari\WAPT\comi-win11-max-25h2\previous_policy.json`
|
|
|
|
La fonction `uninstall()` restaure les valeurs precedentes, ou retire les valeurs qui n'existaient pas. Si une valeur a change depuis l'installation sous l'effet d'un autre gestionnaire, elle est **conservee**. Les reinstallations n'ecrasent pas la sauvegarde initiale.
|
|
|
|
La suppression de la dependance hote, ou `wapt-get remove` seul, **ne garantit pas** selon la version WAPT l'execution du `uninstall()` personnalise. Pour annuler explicitement la strategie avant de supprimer le paquet, faire :
|
|
|
|
```powershell
|
|
& 'C:\Program Files (x86)\wapt\wapt-get.exe' uninstall comi-win11-max-25h2
|
|
& 'C:\Program Files (x86)\wapt\wapt-get.exe' remove comi-win11-max-25h2
|
|
```
|
|
|
|
Retirer egalement la dependance du paquet sur l'hote/groupe dans la Console WAPT ; sinon il peut etre reinstalle.
|
|
|
|
La fonction de desinstallation ne desactive pas Windows Update et ne supprime pas la cle WindowsUpdate parente (elle peut contenir d'autres regles).
|
|
|
|
## Limites
|
|
|
|
- Pas de retour arriere d'un Windows deja passe en version superieure.
|
|
- Ce paquet ne force pas la migration vers 25H2 ; il fixe une **cible maximale** pour les *Feature Updates* de Windows Update.
|
|
- Les versions de Windows sortant de maintenance peuvent necessiter une politique actualisee. Une version cible en fin de maintenance ne doit pas rester gelee indefiniment.
|
|
- Le ciblage par Windows Update for Business est documente pour les editions Windows 11 Pro, Enterprise et Education (pas Home).
|
|
- GPO, MDM/Intune, WSUS et autres outils peuvent surcharger la policy, ou proposer des mises a niveau par d'autres mecanismes.
|
|
- Aucun `gpupdate`, redemarrage de service, redemarrage du poste ou scan Windows Update force n'est declenche.
|
|
|
|
## Sources
|
|
|
|
- Microsoft (strategie cible) : https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp-update
|
|
- Microsoft (etats/version de Windows 11) : https://learn.microsoft.com/en-us/windows/release-health/windows11-release-information
|
|
- Tranquil IT WAPT 2.6 (packages) : https://www.wapt.fr/fr/doc-2.6/wapt-package-structure.html
|
|
- Tranquil IT WAPT 2.6 (build/sign) : https://www.wapt.fr/fr/doc-2.6/wapt-command-line-interface.html
|