Domínio do Windows - remova a oferta do Win 10 via GP

A Configuração de Diretiva de Grupo impede que a atualização realmente aconteça. Se você clicar no ícone de atualização, receberá uma mensagem informando que o administrador desativou as atualizações. A configuração não elimina o programa de oferta (GWX.exe) se ele já estiver em execução.

O método oficial suportado para desativar a atualização do Windows 10 está documentado aqui: https://support.microsoft.com/en-us/kb/3080351

Aqui está o que fiz em meu ambiente, com base no artigo da base de conhecimento.

Eu defino os seguintes valores de registro:

HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate DisableOSUpgrade=0x1 (DWORD)
HKLM:\SOFTWARE\Policies\Microsoft\Windows\Gwx DisableGwx=0x1 (DWORD)
HKLM:\Software\Microsoft\Windows\CurrentVersion\WindowsUpdate\OSUpgrade ReservationsAllowed=0x0 (DWORD)

Você pode definir o acima com Preferências de Política de Grupo. Em meu ambiente, tenho um conjunto de scripts do PowerShell que são executados periodicamente em nossas estações de trabalho, então o adicionei lá. O método exato depende de você. De qualquer forma, recomendo que você use um método recorrente para aplicar a configuração do registro (Diretiva de Grupo, Script de Inicialização, Tarefa Agendada, qualquer que seja) e não um comando único. É possível que uma atualização futura redefina as configurações do registro e cause estragos.

O primeiro valor listado corresponde à configuração da Diretiva de Grupo que você mencionou. Os valores de registro usados ​​pela Diretiva de Grupo estão documentados aqui: https://www.microsoft.com/en-us/download/details.aspx?id=25250

Observe que o terceiro não é mais documentado pela Microsoft. Acredito que foi documentado em um ponto (meus comentários de script dizem que veio da Microsoft), mas não consigo encontrar a fonte. Não tenho certeza se é necessário mais.

Além disso, você tem problemas com qualquer PC que já tenha o ícone de oferta de atualização (o GWX.exe está em execução). Você precisa de uma Tarefa Agendada ou similar para localizar e eliminar qualquer instância do GWX.exe. Como já tenho um script periódico do PowerShell, adicionei este código a ele:

$processes = Get-Process | Where-Object {$_.Path -like "C:\Windows\System32\GWX\*.exe"}

if($processes)
{
    $processes | Stop-Process -Force
}

Como alternativa, você pode usar a Diretiva de Grupo para criar uma Tarefa Agendada que usa o comando TASKKILL para obter a mesma coisa.

Um outro comentário: algumas pessoas defendem o declínio das atualizações de segurança que incluem a oferta de atualização. Eu não recomendo isso. Se você seguir o que listei acima, não precisa se preocupar com o que aprova no WSUS.