WSUS für Einzelgruppen und Funktionsupdates

Hallo,

es geht darum WSUS für eine Sammlung von Einzelgruppen zu realisieren und die Funktionsupdates zu kontrollieren.

Es gibt einen zentralen Server (Windows Server 2019 mit aktuellem WSUS).
Es gibt ca. 20 Gruppen von Computern die an einzel-Standorten stehen. An den Standorten gibt es keine Server, sondern nur PCs mit Zugriff auf eine Web-Software.
Es handelt sich um PCs von unterschiedlichen Herstellern, aber alle mit Win 10 Pro.
Die Anbindung zum WSUS läuft über https. Die PCs sind nicht in der Domäne.

Die Funktionsupdates sind ein Problem.
Die PCs können nicht Nachts oder am WE nicht eingeschaltet sein. Aus Versicherungsgründen gibt es nur Strom gibt wenn Jemand vor Ort ist.
Also sollte die Installation der Funktionsupdates zügig ablaufen.
Tagsüber ist doof, da einzelne PCs dann Stundenweise ausfallen.

Jetzt gibt es 2 Anforderungen:
1) Kaskadierte Installation
Die normalen Updates vom WSUS sollen 7 Tage nach der Verfügbarkeit durch Microsoft zuerst auf einem PCs pro Gruppe/Standort installiert werden und dann 7 Tage nach der Installation auf den Anderen.

Bei WSUS gibt es ja nur den Stichtag bis wann das Update spätestens installiert sein muss.
Das bringt mich also nicht weiter.

Über eine Ansicht pro Gruppe kann ich zumindest sehen wann Updates freigegeben wurden und ob sie installiert wurden.
Aber nicht wann sie auf dem "Test-PC" installiert wurden.
Dann könnte ich das wöchentlich händisch machen.

Ich habe eigentlich nur das hier an fertigen Skripten gefunden. Hat Jemand noch etwas?
https://gallery.technet.microsoft.com/scriptcenter/WSUS-DELAY-AUTO-APPRO ...

2) Zeitpunkt für Funktionsupdates
Die Funktionsupdates genemige ich erstmal nicht. Also können die PCs die sich auch nicht einfach so installieren.
Wenn ich die nun am Abend vorher genemige zeigen aber trotzdem nicht alle PCs die sofort am nächsten Tag an.
Ein MA mit 3 linken Händen fährt also am Samstag hin, schaltet die PCs ein und hat nun 2 Probleme.
1. Der Download auf allen PCs gleichzeitig dauert lange
2. 2 der 5 PCs zeigen das Funktionsupdate gar nicht an. Manchmal dann Stunden oder erst Tage später

Einzige Alternative aus meiner Sicht wäre ein USB Stick mit Anleitung für die Installation.


3. Bereinigung
Die Bereinigung zieht zu ersetzte Updates erst nach 30 Tagen zurück.
Wenn MS also ein Update als Fehlerhaft einstuft und zurückzieht, installieren die PCs dass trotzdem?
Ist doch doof.
Wenn MS ein Update zurückzieht oder durch ein anderes ersetzt, sollte das doch sofort im WSUS entfernt werden.

Wie macht Ihr das oder wie würdet Ihr das machen?

Danke

EDVMan27

PS: Gibt es Software einer Art WSUS-Manager?