如何使用AWS无服务器方案替代WSUS实现Win10/11终端系统更新

方案1：AWS Systems Manager (SSM) 混合激活 + Patch Manager（最优选择，改造成本最低） #

首先纠正一个认知偏差：当前SSM的混合激活模式已经支持托管Win10 1607+、Win11 21H2+的非服务器个人终端，你之前了解的SSM仅支持Windows Server是旧版本的限制，现在已经解除。

• 适用场景：所有终端可连通AWS公网/内网的场景
• 落地步骤：
  1. 进入AWS SSM控制台，创建混合激活，生成专属激活码和ID
  2. 批量在员工Win10/Win11终端部署SSM Agent，使用生成的激活信息完成终端注册，全部终端会纳入SSM托管清单
  3. 在SSM Patch Manager中自定义Win10/Win11补丁基线，可按补丁分类、发布时间、风险等级设置自动审批规则，还能配置非工作时间的更新部署窗口避免影响员工办公
  4. 将补丁基线关联到托管终端的资源组，按计划自动推送更新，控制台可直接查看所有终端的补丁安装状态、合规率等数据
• 优势：完全无服务器架构，无需维护任何EC2实例，按API调用量和托管节点数计费，成本极低，所有操作完全在AWS生态内完成，无需对接第三方服务

方案2：S3存储 + Windows组策略配置（轻量选择，适合终端数少的场景） #

如果终端规模小、更新规则简单，不需要复杂的审批和统计能力，可以选择这个方案：

• 落地步骤：
  1. 创建私有S3桶，开启版本控制，上传需要推送的Win10/Win11系统更新包
  2. 配置S3桶访问策略，仅允许公司公网IP段或者终端携带AWS签名访问，避免更新包泄露
  3. 批量配置员工终端的Windows更新组策略，将默认更新源修改为S3桶的访问地址
  4. 可选搭配EventBridge + Lambda实现定期自动同步微软官方更新包到S3桶，无需人工维护更新包
• 优势：改造量极小，没有额外服务的学习成本，完全无服务器运行，仅产生S3存储和流量费用，成本极低

方案3：AWS托管AD + Windows Update for Business集成（适合已有域管控的场景） #

如果你司员工终端已经加入AWS Directory Service托管的AD域，可以直接用这个方案：

• 落地步骤：
  1. 在托管AD中配置组策略对象(GPO)，指定终端从Windows Update for Business获取更新，自定义更新审批规则、部署时间、重启策略
  2. 可选搭配Lambda自动拉取AD域内终端清单，统计更新完成率，生成合规报表
• 优势：和现有域管控流程完全打通，不需要额外部署任何服务端组件，完全无服务器运行

补充说明：如果终端不允许访问公网，可以为用到的AWS服务配置VPC端点，所有更新流量全部走AWS内网，安全性更高。

内容的提问来源于stack exchange，提问作者FilipKamenar