更新 Azure Stack HCI 群集版本 22H2

适用于：Azure Stack HCI 版本 22H2

本文介绍如何在多节点群集上安装、监视更新以及排查更新问题。 若要更新单节点群集，请参阅更新单节点群集。

更新 Azure Stack HCI 群集时，目标是通过一次仅更新群集中的一个服务器来保持可用性。 许多操作系统更新需要使服务器脱机，例如需要重启或更新软件（如网络堆栈）。 建议使用群集感知更新 (CAU)，这项功能使你可以在保持应用程序运行的同时，轻松地在群集中的每个服务器上安装更新。 群集感知更新可在安装更新并重启服务器（如有必要）时自动使服务器进入和退出维护模式。 群集感知更新是 Windows Admin Center 使用的默认更新方法；它还可以使用 PowerShell 来启动。

本文重点介绍操作系统更新和功能更新。 如需使服务器脱机来对硬件进行维护，请参阅故障转移群集维护过程。

使用 Windows Admin Center 安装操作系统更新和硬件更新

在 Windows Admin Center 中，可以使用简单的用户界面轻松更新群集并应用质量更新。 如果你已从 Microsoft 硬件合作伙伴那里购买了集成系统，则通过安装合适的合作伙伴更新扩展，可直接从 Windows Admin Center 轻松获取最新的驱动程序、固件和其他更新。 如果你的硬件不是作为集成系统购买的，则可能需要按照硬件供应商的建议单独更新固件和驱动程序。

请按照以下步骤安装更新：

1. 在连接到群集时，如果一个或多个服务器已准备好安装更新，Windows Admin Center 仪表板会向你发出提醒，并提供立即更新的链接。 或者，你可以从左侧的“工具”菜单中选择“更新” 。

2. 如果是首次更新群集，Windows Admin Center 会检查群集是否已正确配置为运行群集感知更新，并会根据需要询问你是否希望 Windows Admin Center 为你配置 CAU，包括安装 CAU 群集角色和启用所需的防火墙规则。 若要开始更新过程，请单击“开始”。

   

   备注

   若要在 Windows Admin Center 中使用群集感知更新工具，必须启用凭据安全服务提供程序 (CredSSP) 并提供显式凭据。 如果系统询问是否启用 CredSSP，请单击“是”。 指定用户名和密码，单击“继续”。

3. 随即将显示群集的更新状态；单击“检查更新”，获取可用于群集中每个服务器的操作系统更新的列表。 你可能需要提供管理员凭据。 如果没有可用的操作系统更新，请单击“下一步: 硬件更新”，并执行步骤 8。

   重要

   需要额外的步骤进行功能更新。 如果 Windows Admin Center 指示群集有可用的功能更新，请参阅使用 Windows Admin Center 安装功能更新。

   如果在更新过程中离开“更新”屏幕，则可能会出现意外行为，例如在当前运行完成之前，“更新”页的“历史记录”部分未正确填充。 如果希望在更新过程中继续使用应用程序，我们建议你在新的浏览器标签页或窗口中打开 Windows Admin Center。

4. 选择“下一步: 安装”，安装操作系统更新，或者单击“跳过”以排除更新 。

   

   备注

   如果要在启用了内核软重启的群集上安装更新，你将看到一个“为此运行禁用内核软重启”复选框。 选中此复选框只会对特定的更新运行禁用“内核软重启”。 这样，在更新运行需要完全重新启动（例如 BIOS 更新）时，可以禁用“内核软重启”。

5. 选择“安装”，安装操作系统更新。 每个服务器将逐一下载并应用更新。 你将看到更新状态更改为“安装更新”。如果有任何更新需要重启，则一次将重启一个服务器，便于在服务器之间移动群集角色（如虚拟机），以防停机。 根据所安装的更新，整个更新过程可能需要运行几分钟到几个小时不等。 系统可能会多次要求你将登录凭据提供给 Windows Admin Center。

   

   备注

   如果更新看似失败并出现“无法安装更新”或“无法检查更新”警告，或者在更新运行期间有一个或多个服务器指出“无法获取状态”，请等待几分钟，然后刷新浏览器。 也可以使用 Get-CauRun通过 PowerShell 检查更新运行状态。

6. 操作系统更新完成后，更新状态将更改为“已成功”。单击“下一步: 软件更新”以转到硬件更新屏幕。

   重要

   应用操作系统更新后，你可能会看到一条消息，它显示“存储不完整或不是最新的，因此我们需要将其与群集中其他服务器中的数据进行同步。”这属于服务器重启后的正常现象。 在看到显示同步完成的确认之前，请勿删除任何驱动器，也不要在群集中重启任何服务器。

7. 如果群集未连接到 Windows 更新，且本地共享上提供了 Azure Stack HCI 安装媒体，那么 CAU 也可用于升级群集：

   如果在安装最新质量更新后群集节点未连接到 Windows 更新，且安装媒体已复制到群集节点可访问的共享中：

   Invoke-CauRun –ClusterName <cluster_name> -CauPluginName Microsoft.RollingUpgradePlugin -CauPluginArguments @{ 'WuConnected'='false';'PathToSetupMedia'='\some\path\'; 'UpdateClusterFunctionalLevel'='true'; } -Force
   

8. Windows Admin Center 会检查群集中是否有支持特定服务器硬件的已安装的扩展。 单击“下一步: 安装”，在群集中的每个服务器上安装硬件更新。 如果找不到扩展或更新，请单击“退出”。

9. 若要提高安全性，请在安装完更新后立即禁用 CredSSP：

   • 在 Windows Admin Center 中的“所有连接”下，选择群集中的第一个服务器，然后选择“连接”。
   • 在“概述”页上，选择“禁用 CredSSP”，然后在“禁用 CredSSP”弹出窗口中，选择“是”。

使用 Windows Admin Center 安装功能更新

Azure 建议使用以下步骤尽早安装新的功能更新。

1. 在 Windows Admin Center 左侧“工具”窗格中，选择“更新” 。 将显示任何新的功能更新。

   

2. 选择“安装” 。 将显示就绪性检查。 如有任何一项条件检查通不过，请先解决相关问题，然后继续。

   

3. 完成就绪性检查后，即可安装更新。 除非你希望能够回滚更新，否则请选中可选的“更新群集功能级别以启用新功能”复选框；或者，也可以在安装后使用 PowerShell 来更新群集功能级别。 查看列出的更新，然后选择“安装”来开始更新。

   

4. 可查看安装进度，如以下屏幕截图所示。 由于正在为操作系统更新新增功能，因此更新可能需要一段时间才能完成。 系统可能会多次要求你将登录凭据提供给 Windows Admin Center。

   

   备注

   如果更新看似失败并出现“无法安装更新”或“无法检查更新”警告，或者在更新运行期间有一个或多个服务器指出“无法获取状态”，请等待几分钟，然后刷新浏览器。 也可以使用 Get-CauRun通过 PowerShell 检查更新运行状态。

5. 功能更新完成后，检查是否有其他任何可用更新，并安装这些更新。

6. 使用 PowerShell 执行安装后步骤。 这些步骤对于群集的稳定性至关重要。

使用 PowerShell 更新群集

在使用“群集感知更新”功能更新群集之前，需要先安装“故障转移群集工具”，它是“远程服务器管理工具 (RSAT)”的一部分，并包含群集感知更新软件 。 若要更新正在运行 Azure Stack HCI 较新版本的群集，则可能已经安装了这些工具。

若要测试是否正确设置了故障转移群集来使用群集感知更新应用软件更新，请运行 Test-CauSetup PowerShell cmdlet，它会对故障转移群集和网络环境执行最佳实践分析工具 (BPA) 扫描，并提醒你注意任何警告或错误：

Test-CauSetup -ClusterName Cluster1

如果需要安装功能、工具或角色，请参阅后续几节。 否则，请直接跳到使用 PowerShell 检查更新。

使用 PowerShell 安装故障转移群集和故障转移群集工具

若要检查群集或服务器是否已安装故障转移群集功能和故障转移群集工具，请从管理 PC 发出 Get-WindowsFeature PowerShell cmdlet（或直接在群集或服务器上运行该命令，并忽略 -ComputerName 参数）：

Get-WindowsFeature -Name Failover*, RSAT-Clustering* -ComputerName Server1

请确保“安装状态”显示为“已安装”，且故障转移群集和 Windows PowerShell 的故障转移群集模块之前都出现了 X：

Display Name                                            Name                       Install State
------------                                            ----                       -------------
[X] Failover Clustering                                 Failover-Clustering            Installed
        [X] Failover Clustering Tools                   RSAT-Clustering                Installed
            [X] Failover Cluster Module for Windows ... RSAT-Clustering-Powe...        Installed
            [ ] Failover Cluster Automation Server      RSAT-Clustering-Auto...        Available
            [ ] Failover Cluster Command Interface      RSAT-Clustering-CmdI...        Available

如果未安装故障转移群集功能，请使用 Install-WindowsFeature cmdlet 以及 -IncludeAllSubFeature 和 -IncludeManagementTools 参数，将其安装到群集中的每个服务器上：

Install-WindowsFeature –Name Failover-Clustering -IncludeAllSubFeature –IncludeManagementTools -ComputerName Server1

此命令还将安装 PowerShell 的故障转移群集模块，该模块包括用于管理故障转移群集的 PowerShell cmdlet，以及用于在故障转移群集上安装软件更新的 PowerShell 群集感知更新模块。

如果故障转移群集功能已安装，但没有安装 Windows PowerShell 的故障转移群集模块，请使用 Install-WindowsFeature cmdlet 在群集中的每个服务器上安装它：

Install-WindowsFeature –Name RSAT-Clustering-PowerShell -ComputerName Server1

选择 CAU 更新模式

群集感知更新 (CAU) 可以在两种模式下协调完成完整的群集更新操作：

• 自我更新模式：在此模式下，群集感知更新群集角色配置为要更新的故障转移群集上的工作负载，以及定义的关联更新计划。 群集通过使用默认的或自定义的“更新运行配置文件”，在计划的时间进行自我更新。 在更新运行期间，将在当前拥有群集感知更新群集角色的节点上启动“群集感知更新”更新协调器进程，该进程会依次在每个群集节点上执行更新。 若要更新当前群集节点，群集感知更新群集角色将故障转移到另一个群集节点，并且该节点上的一个新更新协调器进程将接管并继续控制更新运行。 在自我更新模式下，群集感知更新功能可以使用完全自动化的端到端更新过程来更新故障转移群集。 管理员还可以在此模式下按需触发更新，或在需要时直接使用远程更新方法。

• 远程更新模式：在此模式下，将使用“故障转移群集工具”配置与故障转移群集之间有网络连接但不是故障转移群集成员的远程管理计算机（通常是 Windows 10 PC）。 从该远程管理计算机（称为更新协调器）中，管理员使用默认或自定义更新运行配置文件触发按需更新运行。 远程更新模式对于监视更新运行期间的实时进度以及在服务器核心安装上运行的群集非常有用。

  备注

  从 Windows 10 的 2018 年 10 月版更新开始，RSAT 作为 Windows 10 中的一组“按需功能”提供。 对于早于 Windows 10 22H2 的版本，只需转到“设置”>“应用”>“应用和功能”>“可选功能”>“添加功能”>“RSAT: 故障转移群集工具”，然后选择“安装”即可。 对于 Windows 10 22H2 和 Windows 11，请转到“设置”>“系统”>“可选功能”>“添加功能”>“RSAT: 故障转移群集工具”，然后选择“添加”。 若要查看操作进度，请单击“上一步”按钮以查看“管理可选功能”页上的状态。 Windows 10 版本升级会保留添加的功能。 若要为 2018 年 10 月更新版本之前的 Windows 10 安装 RSAT，请下载 RSAT 程序包。

将 CAU 群集角色添加到群集

自我更新模式需要使用群集感知更新群集角色。 如果使用 Windows Admin Center 执行更新，会自动添加群集角色。

Get-CauClusterRole cmdlet 显示指定群集上群集感知更新群集角色的配置属性。

Get-CauClusterRole -ClusterName Cluster1

如果尚未在群集上配置角色，你将看到以下错误消息：

Get-CauClusterRole : The current cluster is not configured with a Cluster-Aware Updating clustered role.

若要使用 PowerShell 为自我更新模式添加群集感知更新群集角色，请使用 Add-CauClusterRole cmdlet 并提供合适的参数，如下面的示例所示：

Add-CauClusterRole -ClusterName Cluster1 -MaxFailedNodes 0 -RequireAllNodesOnline -EnableFirewallRules -VirtualComputerObjectName Cluster1-CAU -Force -CauPluginName Microsoft.WindowsUpdatePlugin -MaxRetriesPerNode 3 -CauPluginArguments @{ 'IncludeRecommendedUpdates' = 'False' } -StartDate "3/2/2020 3:00:00 AM" -DaysOfWeek 4 -WeeksOfMonth @(3) -verbose

启用防火墙规则以允许远程重启

允许服务器在更新过程中远程重启。 如果你正在使用 Windows Admin Center 执行更新，则 Windows 防火墙规则将在每个服务器上自动更新，以允许远程重启。 如果要使用 PowerShell 进行更新，请在 Windows 防火墙中启用“远程关闭”防火墙规则组，或者将 -EnableFirewallRules 参数传递给 cmdlet，如上面的示例所示。

使用 PowerShell 检查更新

你可以使用 Invoke-CAUScan cmdlet 扫描服务器以查找适用的更新，并获取应用于指定群集中每个服务器的初始更新集的列表：

Invoke-CauScan -ClusterName Cluster1 -CauPluginName Microsoft.WindowsUpdatePlugin -Verbose

生成列表可能需要几分钟才能完成。 预览列表只包含一组初始更新；它不包括安装初始更新后可能适用的更新。

使用 PowerShell 安装操作系统更新

若要扫描服务器以查找操作系统更新并在指定的群集上执行完整更新，请使用 Invoke-CAURun cmdlet：

Invoke-CauRun -ClusterName Cluster1 -CauPluginName Microsoft.WindowsUpdatePlugin -MaxFailedNodes 1 -MaxRetriesPerNode 3 -RequireAllNodesOnline -EnableFirewallRules -Force

此命令在名为 Cluster1 的集群上执行扫描和完全更新运行。 该 cmdlet 使用 Microsoft.WindowsUpdatePlugin 插件，并且要求在运行它之前所有群集节点均在线。 此外，此 cmdlet 允许每个节点在将节点标记为失败之前重试不超过三次，并且在将整个更新运行标记为失败之前，只允许最多一个节点失败。 它还能使防火墙规则允许服务器远程重启。 由于命令指定了 Force 参数，因此 cmdlet 运行时不显示确认提示。

更新运行过程包括以下内容：

• 在群集中的每个服务器上扫描并下载适用的更新
• 将当前正在运行的群集角色从每个服务器上转移走
• 在每个服务器上安装更新
• 如果已安装的更新需要重新启动服务器，请执行
• 将群集角色移回原始服务器

更新运行过程还包括确保保持仲裁、检查仅在安装了初始更新集之后才能安装的其他更新，以及保存已完成的操作的报告。

使用 PowerShell 安装功能更新

若要使用 PowerShell 安装功能更新，请执行以下步骤。 如果你的群集运行的是 Azure Stack HCI 版本 20H2，请务必通过 Windows 更新应用 2021 年 5 月 20 日预览版更新 (KB5003237)，否则 Set-PreviewChannel cmdlet 将不起作用。

1. 在群集中的每个服务器上运行以下 cmdlet：

   Set-WSManQuickConfig
   Enable-PSRemoting
   Set-NetFirewallRule -Group "@firewallapi.dll,-36751" -Profile Domain -Enabled true
   

2. 若要测试是否正确设置了群集以使用群集感知更新 (CAU) 应用软件更新，请运行 Test-CauSetup cmdlet，它会通知你任何警告或错误：

   Test-CauSetup -ClusterName Cluster1
   

3. 在群集中的某个服务器上运行 Test-Cluster cmdlet，验证群集的硬件和设置。 如有任何一项条件检查通不过，请先解决相关问题，然后继续执行步骤 4。

   Test-Cluster
   

4. 检查功能更新：

   Invoke-CauScan -ClusterName <ClusterName> -CauPluginName "Microsoft.RollingUpgradePlugin" -CauPluginArguments @{'WuConnected'='true';} -Verbose | fl *
   

   检查上述 cmdlet 的输出，并验证每个服务器是否均具有相同的功能更新（正常时应该如此）。

5. 需要在群集外部的某个独立服务器或 VM 中运行 Invoke-CauRun cmdlet。 重要说明：运行 Invoke-CauRun 的系统必须运行 Windows Server 2022、Azure Stack HCI 版本 21H2，或者运行安装有 2021 年 5 月 20 日预览版更新 (KB5003237) 的 Azure Stack HCI 版本 20H2。

   Invoke-CauRun -ClusterName <ClusterName> -CauPluginName "Microsoft.RollingUpgradePlugin" -CauPluginArguments @{'WuConnected'='true';} -Verbose -EnableFirewallRules -Force
   

6. 检查是否存在其他更新并安装。

现在可以执行功能更新的安装后步骤。

检查更新运行状态

管理员可以通过运行 Get-CauRun cmdlet 来获取有关正在进行的更新运行的摘要信息：

Get-CauRun -ClusterName Cluster1

下面是一些示例输出：

RunId                   : 834dd11e-584b-41f2-8d22-4c9c0471dbad 
RunStartTime            : 10/13/2019 1:35:39 PM 
CurrentOrchestrator     : NODE1 
NodeStatusNotifications : { 
Node      : NODE1 
Status    : Waiting 
Timestamp : 10/13/2019 1:35:49 PM 
} 
NodeResults             : { 
Node                     : NODE2 
Status                   : Succeeded 
ErrorRecordData          : 
NumberOfSucceededUpdates : 0 
NumberOfFailedUpdates    : 0 
InstallResults           : Microsoft.ClusterAwareUpdating.UpdateInstallResult[] 
}

功能更新的安装后步骤

安装功能更新后，需要使用 PowerShell 更新群集功能级别和存储池版本才能启用新功能。

1. 更新群集功能级别。

   建议尽快更新群集功能级别。 如果功能更新是使用 Windows Admin Center 安装的并且可选的“更新群集功能级别以启用新功能”复选框已选中，则可以跳过此步骤。

   在群集中的任一服务器上运行以下 cmdlet：

   Update-ClusterFunctionalLevel='true';
   

   此时会显示一条警告，指出无法撤消此操作。 输入 Y 确认你要继续。

   警告

   更新群集功能级别后，无法回滚到以前的操作系统版本。

2. 更新存储池。

   更新群集功能级别后，使用以下 cmdlet 更新存储池。 运行 Get-StoragePool 来查找表示群集的存储池的 FriendlyName。 此示例中，FriendlyName 为 S2D on hci-cluster1：

   Update-StoragePool -FriendlyName "S2D on hci-cluster1"
   

   系统会要求你确认该操作。 此时，新的 cmdlet 完全可以在群集中的任何服务器上正常运行。

3. 升级 VM 配置级别（可选）。

   可以选择性地升级 VM 配置级别，方法是使用 Update-VMVersion cmdlet 停止每个 VM，然后再次启动 VM。

4. 验证升级后的群集功能是否按预期方式工作。

   角色应可正常故障转移。如果在群集上使用了 VM 实时迁移，VM 应成功实时迁移。

5. 验证群集。

   在群集中的某个服务器上运行 Test-Cluster cmdlet 并检查群集验证报告。

使用 SCONFIG 手动执行故障转移群集的功能更新

若要对故障转移群集执行手动功能更新，请使用 SCONFIG 工具和故障转移群集 PowerShell cmdlet。 若要参考 SCONFIG 文档，请参阅使用服务器配置工具 (SConfig) 配置 Windows Server 和 Azure Stack HCI 的服务器核心安装

对于群集中的每个节点，请在目标节点上运行以下命令：

1. Suspend-ClusterNode -Node<node> -Drain

   使用 Get-ClusterGroup 检查是否存在挂起的运行 -- 目标节点上不应运行任何内容。

   在目标节点上运行 SCONFIG 选项 6.3。

   目标节点重新启动后，运行 Get-Storage-Job 来等待存储修复作业完成，直到没有存储作业或所有存储作业都完成。

2. Resume-ClusterNode -Node <nodename> -Failback

升级所有节点后，运行以下两个 cmdlet：

Update-ClusterFunctional Level

Update-StoragePool

对群集中的所有服务器执行快速的脱机更新

此方法使你可以立即关闭群集中的所有服务器，并同时更新所有服务器。 这样可以节省更新过程中的时间，但是要权衡的是托管资源的停机时间。

如果有重要的安全更新程序需要快速应用，或者需要确保更新在维护时段内完成，可以使用此方法。 此过程会关闭 Azure Stack HCI 群集，更新服务器，然后再次将其重启。

1. 规划维护时段。
2. 使虚拟磁盘脱机。
3. 停止群集以使存储池脱机。 运行 Stop-Cluster cmdlet 或使用 Windows Admin Center 来停止群集。
4. 在每个服务器上的 Services.msc 中将群集服务设置为“禁用”。 这会阻止群集服务在更新时启动。
5. 将 Windows Server 累积更新和任何所需的服务堆栈更新应用于所有服务器。 可以同时更新所有服务器：因为群集已关闭，无需等待。
6. 重启服务器，并确保一切正常。
7. 在每个服务器上将群集服务重新设置为“自动”。
8. 启动群集。 运行 Start-Cluster cmdlet 或使用 Windows Admin Center。
9. 稍等几分钟。 请确保存储池处于正常状态。
10. 使虚拟磁盘恢复联机状态。
11. 通过运行 Get-Volume 和 Get-VirtualDisk cmdlet 来监视虚拟磁盘的状态。

已知问题

以下是将群集 Azure Stack HCI 从 20H2 版本升级到 21H2 版本时 Windows Admin Center 中的已知问题。

无法安装更新

当 Windows Admin Center 失去与托管服务器的连接时，会出现此错误消息，因此很可能是实际安装更新。 只需等待几分钟并刷新浏览器，就可以看到真正的更新状态。 你还可以使用 Get-CauRun 来检查使用 PowerShell 的更新运行的状态，并在运行完成后刷新浏览器。

：：：

无法进行更新检查

当 Windows Admin Center 失去与托管服务器的连接时，会出现此错误消息，因此很可能是实际安装更新。 只需等待几分钟并刷新浏览器，就可以看到真正的更新状态。 还可以使用 Get-CauRun 通过 PowerShell 检查更新运行的状态，然后在运行完成时刷新浏览器。

当群集服务器安装了混合版本的补丁时，也会出现此消息。 这将导致带有插件的Invoke_CAUScan命令RollingUpgrade返回多个功能更新。 若要缓解此问题，请在尝试更新群集之前，将 2021 年 5月 20 日的预览版 (KB5003237) 应用到群集中的所有服务器。

登录凭据的多个提示

在 Windows Admin Center 的较早版本中，系统可能会提示在更新运行期间多次进行身份验证。 每次出现提示时都需要进行身份验证，或者返回到“连接”并重新连接到群集。

群集就绪情况检查未完成

有时，就绪情况检查仍处于群集验证测试的“检查”状态，并且永远不会完成。 由于本地化问题，这主要在非英语 Azure Stack HCI 群集中出现。

如果计算机上的 Test-Cluster“完成”（通常在几分钟后），则 Windows Admin Center 可能无法识别检查是否已完成。 因为在这种情况下，Test-Cluster 可以在后台成功完成，所以你可以直接从服务器下载 Test-Cluster 报表文件来验证群集运行状况，然后再继续更新运行。 或者，使用 PowerShell 在群集中的任何服务器上运行 Test-Cluster。

CredSSP 凭据错误

在 Windows Admin Center 的较早版本中，你可能会遇到错误消息“无法在未启用 CredSSP 的情况下使用群集感知更新并提供显式凭据”（如果已这样做）。 此问题已在 Windows Admin Center 版本 2110 中得到解决。

CredSSP 会话终结点权限问题

在更新运行期间，你可能会看到启用 CredSSP 的通知，并显示错误消息：“无法启用 CredSSP 委派。 连接远程服务器失败。”

当 Windows Admin Center 在本地 PC 上运行，且 Windows Admin Center 用户不是在计算机上安装 Windows Admin Center 的同一用户时，你会看到此 CredSSP 错误。

为了缓解此问题，Microsoft 引入了一个 Windows Admin Center CredSSP 管理员组。 将用户帐户添加到本地 PC 上的 Windows Admin Center CredSSP 管理员组，然后重新登录，错误应该会消失。

后续步骤

如需相关信息，另请参阅：

• 群集感知更新 (CAU)。
• 群集感知更新要求和最佳做法。
• CAU 疑难解答：群集感知更新的日志文件。
• 使用内核软重启管理快速重启。
• 在存储空间直通中更新驱动器固件。
• 验证 Azure Stack HCI 群集。