Windows Server 2016 磁碟空間被塞滿了

 今天遇到了一台 Windows Server 2016 的 AD，它的磁碟空間用完了，剩餘空間為"0"。

遇到這個情形第一個動作就是去清磁碟空間，最安全的就是用內建的 "磁碟清理工具"。

針對開機所在的磁碟 C 來執行清理

執行時該程式會去找出打清除的暫存、可移除安裝檔等。

接著，要檢查的位置是 C:\Windows\Logs\CBS

CBS Cbspersist Log 檔是 Windows Module Installer service (TrustedInstaller.exe) 在安裝更新過程產生的"更新日誌"或"錯誤報告"，當然你可以從這些 Log 中查看是那些安裝出了什麼問題，需要空間時可釋放它，刪除時記得先停用 Windows Module Installer service。

下一個可以檢查的位置是 C:\Windows\SoftwareDistribution

這個位置主要是存放透過 Windows Update 下載下來的 Windows 更新檔，經過長久累積它也是相當佔用空間，需要空間時可釋放它，刪除時記得先停用 Windows Update Service，刪除結束重新後，該服務會再依現況重新下載所需更新。

以上是最檢查磁碟，可以用來釋放磁碟空間的位置，一般來說調整這幾個位置基本上就完成了。

但這次完成上面的動作，空間佔用仍沒有什麼改善，只好用 TreeSize free 來查看到底空間用去那了?

這台主機是虛擬機，C磁碟空間全沒了，而且只有一顆硬碟，只好將 TreeSize Free Portable 程式做成 ISO檔，再掛載到主機上即可。

查到大量檔案的位置是 C:\Windows\Installer，這個位置很有意思，當系統已打開所肴隱藏檔案及目錄的情況下，它並不會出現在檔案總管中 。在這個目錄你會看到一大堆的 msi 安裝檔，依Microsoft 文件指出這個路徑是 Windows Installer 快取目錄，不可隨意刪除。

=========================================================================

Windows Installer 快取可用來儲存使用 Windows Installer 安裝之應用程式的重要檔案。 根據預設，此快取位於 c：\windows\installer 資料夾中，不應刪除。 如果安裝程式快取遭到入侵，除非您採取卸載、修復或更新產品等動作，否則可能不會立即看到問題。

使用 Windows Installer 安裝產品時，重要檔案會儲存在卸載和更新應用程式所需的 Windows Installer 快取中。 因為檔案是唯一的，所以無法在電腦之間複製遺漏的檔案。

=========================================================================

以上節錄自 Microsoft 文件 "缺少 Windows Installer 快取需要重建電腦"

接來看一下有問題的 SERVER 是被什麼檔案佔用了大量空間，查看前看在檔案總管的欄位按右鍵，增加 "作者"及"標題"欄位，就可看到這些檔案是從何而來。

可以看到 645個檔案來自 Kaspersky ，每個檔案有13Mb總共佔用了 71.7GB，而且這些來自相同時間相同大小，即可能是一次塞滿整個空間。目前造成原因不明。

因為系統文件說了這個目錄不可直接刪除，以避免無法正常運作；而目刪看到的又都是 Kaspersky 產生的，所以接下來應該是移除 Kaspersky 後再來清除這個目錄下 Kaspersky產生的 msi檔，最後再重新安裝回 Kaspersky。

P.S. 最後的部份因為不是我處理，如有後續進度再更新.

Windows Server 2016 更新時出現 "正在搜尋這部電腦上的更新"

最近有台 Windows Server 2016，有一段時間沒有執行更新，這在資安管控上是不好的行為，但先前更新時剛好遇到 Microsoft 更新修復檔有問題，造成了部份系統異常，所以先停止了Server更新。

但資安問題及零時差攻摮不斷的被報導，還是需面對 Microsoft 的持續更新，但此次避免使用 Windows Server 2016 中 Windows Update 的更新，必竟也過經過了一段不算短的時間，也不知那些更新有問題。所以這次直接透過  Microsoft Update Catalog  先以手動的方式找出最新的更新，也減少重覆的更新。

而這個更新有區分為： "服務堆疊更新 (servicing stack update )  "與"累積更新 (cumulative update) "，兩者差異及注意事項如下

=========================================================================

[此段文章截取自 Microsoft Learn ]

什麼是服務堆疊更新？

維護堆疊更新會提供服務堆疊的修正，也即安裝 Windows 更新的元件。 此外，它包含 CBS) (「元件型服務堆疊」，這是 Windows 部署數個元素的重要基礎元件，例如 DISM、SFC、變更 Windows 功能或角色，以及修復元件。 CBS 是一個小型元件，通常不會每個月發行更新。

為何應該安裝維護堆疊更新並保持在最新狀態？

維護堆疊更新可改善更新程式的可靠性，以降低安裝最新品質更新和功能更新時的潛在問題。 如果您未安裝最新的服務堆疊更新，您的裝置可能會無法使用最新的 Microsoft 安全性修正程式進行更新。

何時發行？

服務堆疊更新會根據新問題或弱點而發行。 在少數情況下，可能需要視需要發行維護堆疊更新，以解決影響安裝每月安全性更新之系統的問題。 從 2018 年 11 月開始，新的服務堆疊更新將分類為「安全性」，嚴重性評等為「重大」。

服務堆疊更新與累積更新之間有何差異？

Windows 用戶端和 Windows Server 都使用累積更新機制，其中許多改善 Windows 品質和安全性的修正程式都會封裝成單一更新。 每個累積更新都包含所有先前更新的變更和修正。

維護堆疊更新必須與累積更新分開提供，因為它們會修改安裝 Windows 更新的元件。 服務堆疊會個別釋放，因為服務堆疊本身需要更新。 例如，累積更新 KB4284880需要2018 年 5 月 17 日維護堆疊更新，其中包括Windows Update的更新。

是否有任何特殊指引？

Microsoft 建議您先安裝作業系統的最新維護堆疊更新，再安裝最新的累積更新。

一般而言，改善是不需要任何特定特殊指引的可靠性和效能改進。 如果有任何重大影響，則會出現在版本資訊中。

安裝注意事項

• 維護堆疊更新包含完整的服務堆疊;因此，系統管理員通常只需要安裝作業系統的最新服務堆疊更新。
• 安裝服務堆疊更新不需要重新開機裝置，因此安裝應該不會造成干擾。
• 維護堆疊更新版本專屬於作業系統版本 (組建編號) ，與品質更新非常類似。
• 服務堆疊更新可以透過Windows Update來傳遞，或者您可以執行搜尋來安裝最新可用的維護堆疊更新，以Windows 10。
• 安裝維護堆疊更新之後，就無法從電腦移除或卸載。

=========================================================================

依以上說明從 Microsoft Update Catalog 下載最新的 Windows Server 2016 所需的最新更新。

下載完成開始新時又遇到問題了，執行更新程式時需先確定 "服務(Service)"中的 "Windows Update" 是在執行中，否則更新安裝程式會出現 "安裝程式出現錯誤：0x80070422" 無法啟動服務，可能因為服務己停用，或它沒有相關的啟用裝置。

 "服務(Service)"中的 "Windows Update" 在執行中安裝更新程式時又遇到了新問題，執行過程中出現 "正在搜尋這部電腦上的更新..."，而且這個過程相當的久，發生的原因是它會去比對目前是否已安裝過這個修正程式，但它應該是籨電腦中過去下載及安裝過的去比對，但不知為什麼會這麼久。

最後找到的原因可能跟更新的下載目錄內容有關，刪除更新的下載目錄為 "C:\Windows\SoftwareDistribution"，要清除這個目錄需先停用 "服務(Service)"中的 "Windows Update"，關閉該服務並刪除檔案後再次重啟服務，接下的更新就相當的順利了。

附上"服務(Service)"中的 "Windows Update" 及更新的下載目錄畫面如下

再補充一點，
更新中又遇到另一個狀況，更新程式執行時出現 "此更新不適用於你的電腦"，

而在事件檢視器中則是出現 "Windows 更新  無法安裝，因為發生錯誤 2149842967 "，

最後檢查出是 "服務(Service)"中的 "Windows Modules Installer" 未啟用。

遠端桌面連線無法連上 Windows 10 / Windows Server 2016 / Windows Server 2019，出現"無法繼續連線，因為未啟用驗證，而遠端電腦要求您必須啟用驗證才能連線"的錯誤訊息

2022/06/07 更新

因要管理的Server 很多， 已經很習慣使用 Remote Desktop Organizer 來連線

但 當連線到 Windows 10 / Windows Server 2016 / Windows Server 2019 時卻出現了問題

"無法繼續連線，因為未啟用驗證，而遠端電腦要求您必須啟用驗證才能連線"

以往遇到這個情形只需採用以下的步驟

1. 前往控制台(Control Panel)
2. 選擇 系統及安全
3. 點選 系統 à 允許遠端存取，取消勾選 僅允許來自執行含有網路層級驗證之遠端桌面的電腦進行連線(建議)(N)\
4. 儲存後重啟該電腦

可是當你要用連線的遠端環境安裝的是Windows 10 、 Windows Server 2016 及 Windows Server 2019 ，上述方式的修改並無法解決這一個問題。

必須從註冊檔做修改:

1.          開啟 RegEdit

2.          找到 Key : HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp

3.          將SecurityLayer 預設值 2 修改為 0

4.          儲存後重啟該電腦

完成修改即可正常的使用了

P.S. 1. 完成第一個修改後，可在 Windows 7 中使用預設的 "遠端桌面連線"連線到 Windows Server 2016 / Windows Server 2019。

       2. Windows Server 2019 也有相同問題，同樣依上述方式調整。

Security levels description:

Security Layer 0 – With a low security level, the remote desktop protocol is used by the client for authentication prior to a remote desktop connection being established. Use this setting if you are working in an isolated environment.
Security Layer 1 – With a medium security level, the server and client negotiate the method for authentication prior to a Remote Desktop connection being established. As this is the default value, use this setting only if all your machines are running Windows.
Security Layer 2- With a high security level, Transport Layer Security, better knows as TLS is used by the server and client for authentication prior to a remote desktop connection being established.