ソフトウェアの更新ポイントのインストールと構成

Configuration Manager (現在のブランチ) に適用

重要

ソフトウェアの更新ポイント サイト システムの役割 (SUP) をインストールする前に、サーバーが必要な依存関係を満たしていることを確認し、サイトのソフトウェアの更新ポイントのインフラストラクチャを決定する必要があります。 ソフトウェア更新プログラムの計画およびソフトウェアの更新ポイントのインフラストラクチャの決定方法の詳細については、「 ソフトウェア更新プログラムの計画」を参照してください。

ソフトウェア更新プログラムのコンプライアンス評価を有効にし、ソフトウェア更新プログラムをクライアントに展開するには、サーバーの全体管理サイトとプライマリ サイトにソフトウェア更新ポイントが必要です。 ソフトウェアの更新ポイントは、セカンダリ サイトではオプションです。 ソフトウェアの更新ポイント サイト システムの役割は、WSUS がインストールされているサーバーに作成する必要があります。 ソフトウェアの更新ポイントは、WSUS サービスと対話してソフトウェア更新プログラムの設定を構成し、ソフトウェア更新プログラムのメタデータの同期を要求します。 Configuration Manager 階層がある場合は、最初にサーバーの全体管理サイトにソフトウェア更新ポイントをインストールして構成し、次に子プライマリ サイトにインストールし、次にオプションでセカンダリ サイトにインストールして構成します。 中央管理サイトではなくスタンドアロンのプライマリ サイトがある場合は、最初にプライマリ サイトにソフトウェア更新ポイントをインストールして構成し、次にオプションでセカンダリ サイトにインストールして構成します。 一部の設定は、トップレベル サイトでソフトウェアの更新ポイントを構成する場合にのみ使用できます。 ソフトウェアの更新ポイントをインストールした場所に応じて、考慮する必要があるさまざまなオプションがあります。

重要

  • 1 つのサイトに複数のソフトウェアの更新ポイントをインストールできます。 最初にインストールするソフトウェア更新ポイントは、同期ソースとして構成され、Microsoft Update またはアップストリーム同期ソースから更新プログラムが同期されます。 サイト上の他のソフトウェアの更新ポイントは、最初のソフトウェア更新ポイントのレプリカとして構成されます。 そのため、最初のソフトウェア更新ポイントをインストールして構成した後は、一部の設定を使用できません。
  • スタンドアロンの WSUS サーバーとして構成および使用されているサーバーにソフトウェアの更新ポイント サイト システムの役割をインストールすることや、ソフトウェアの更新ポイントを使用して WSUS クライアントを直接管理することはサポートされていません。 既存の WSUS サーバーは、アクティブなソフトウェア更新ポイントのアップストリーム同期ソースとしてのみサポートされます。 「上流のデータ ソースの場所からの同期」を参照してください

ソフトウェアの更新ポイント サイト システムの役割を既存のサイト システム サーバーに追加するか、新しいサイト システム サーバーを作成できます。 サイト システム サーバーの作成ウィザードまたはサイト システムの役割の追加ウィザードの [システムの役割の選択] ページで、サイト システムの役割を新規または既存のサイト サーバーのどちらに追加するかに応じて、[ソフトウェアの更新ポイント] を選択し、ウィザードでソフトウェアの更新ポイントの設定を構成します。 設定は、使用している Configuration Manager のバージョンによって異なります。 サイト システムの役割をインストールする方法の詳細については、「 サイト システムの役割のインストール」を参照してください。

サイトのソフトウェアの更新ポイントの設定については、次のセクションを参照してください。

プロキシ サーバーの設定

使用する Configuration Manager のバージョンに応じて、「サイト システム サーバーの作成ウィザード」または「サイト システムの役割の追加ウィザード」のさまざまなページでプロキシ サーバー設定を構成できます。

  • プロキシ サーバーを構成した後、ソフトウェア更新プログラムにプロキシ サーバーを使用するタイミングを指定する必要があります。 以下の設定を構成します。

    • ウィザードの [プロキシ] ページまたは [サイト システムのプロパティ] の [ プロキシ ] タブで、プロキシ サーバーの設定を構成します。 プロキシ サーバーの設定はサイト システム固有です。つまり、すべてのサイト システムの役割が、指定したプロキシ サーバー設定を使用します。

    • Configuration Manager がソフトウェア更新プログラムを同期するとき、および自動展開ルールを使用してコンテンツをダウンロードするときに、プロキシ サーバーを使用するかどうかを指定します。 ウィザードの [プロキシとアカウントの設定 ] ページ、またはソフトウェアの更新ポイントのプロパティの [ プロキシとアカウントの設定 ] タブで、ソフトウェアの更新ポイントのプロキシ サーバーの設定を構成します。

    • [ 自動展開ルールを使用してコンテンツをダウンロードするときにプロキシを使用する ] 設定は使用できますが、セカンダリ サイトのソフトウェア更新ポイントには使用されません。 サーバーの全体管理サイトとプライマリ サイトのソフトウェア更新ポイントのみが、Microsoft Update ページからコンテンツをダウンロードします。

    • 既定では、インターネットに接続するために、自動展開ルールが作成されたサーバーの ローカル システム アカウントが、自動展開ルールの実行時にソフトウェア更新プログラムをダウンロードするために使用されます。 このアカウントでインターネットにアクセスできない場合、ソフトウェア更新プログラムのダウンロードに失敗し、次のエントリがruleengine.logに記録されます 。 インターネットから更新プログラムをダウンロードできませんでした。エラー = 12007。 ローカル システム アカウントにインターネット アクセス権がない場合にプロキシ サーバーに接続するための資格情報を構成します。

WSUS 設定

WSUS 設定は、使用する Configuration Manager のバージョンに応じて、サイト システム サーバーの作成ウィザードまたはサイト システムの役割の追加ウィザードのさまざまなページで構成する必要があり、場合によっては、ソフトウェアの更新ポイントのプロパティ (ソフトウェアの更新ポイント コンポーネントのプロパティとも呼ばれます) でのみ構成する必要があります。 WSUS 設定を構成するには、次のセクションの情報を使用します。

重要

最適なセキュリティ プロトコルを確実に導入するには、TLS/SSL プロトコルを使用してソフトウェア更新プログラム インフラストラクチャを保護することを強くお勧めします。 2020 年 9 月の累積的な更新プログラム以降、HTTP ベースの WSUS サーバーは既定でセキュリティ保護されます。 HTTP ベースの WSUS に対して更新プログラムをスキャンするクライアントは、既定でユーザー プロキシを利用できなくなります。 セキュリティのトレードオフにもかかわらずユーザー プロキシが必要な場合は、これらの接続を許可するための新しいソフトウェア更新プログラムのクライアント設定を使用できます。 WSUS をスキャンするための変更の詳細については、「WSUS をスキャンする Windows デバイスのセキュリティを向上させるための 2020 年 9 月の変更」を参照してください。

WSUS ポート設定

WSUS ポートの設定は、ウィザードの [ ソフトウェアの更新ポイント ] ページまたはソフトウェアの更新ポイントのプロパティで構成する必要があります。 次の手順を使用して、WSUS で使用されるポート設定を確認します。

IIS で使用するポート設定を決定する

  1. WSUS サーバーで、インターネット インフォメーション サービス (IIS) マネージャーを開きます。
  2. [サイト] を展開し、WSUS 管理サイトを選択してから、[操作] ウィンドウから [バインド] を選択します。 [サイト バインド] ダイアログでは、[ポート] 列に HTTP ポートと HTTPS ポートの値が表示されます。

WSUS への SSL 通信の構成

最適なセキュリティ プロトコルを確実に導入するには、TLS/SSL プロトコルを使用してソフトウェア更新プログラム インフラストラクチャを保護することを強くお勧めします。 SSL 通信は、ウィザードの [ ソフトウェアの更新ポイント ] ページ、またはソフトウェアの更新ポイントのプロパティの [ 全般 ] タブで構成できます。 [SUP のために WSUS サーバーへの SSL 通信を要求する ] オプションを選択する前に、WSUS サーバーで SSL 通信が有効になっていることを確認してください。

SSL を使用する方法の詳細については、「 SSL を使用するように WSUS を構成するかどうかを決定する 」および 「PKI 証明書で TLS/SSL を使用するようにソフトウェアの更新ポイントを構成する」を参照してください。

クラウド管理ゲートウェイ トラフィックを許可する

ソフトウェアの更新ポイントを有効にして、クラウド管理ゲートウェイ (CMG) を介してインターネット上のクライアントからの通信を受け入れることができます。 この設定の詳細については、「 CMG トラフィックのクライアント向けロールの構成」を参照してください。

未使用のネットワーク帯域幅を使用するようにダウンロード速度を調整する (Windows LEDBAT)

(バージョン 2203 で導入)

Configuration Manager バージョン 2203 以降、Windows Server 2016 以降を実行するソフトウェア更新ポイントに対して Windows Low Extra Delay Background Transport (LEDBAT) を有効にすることができます。 LEDBAT は、WSUS に対するクライアント スキャン中のダウンロード速度を調整して、ネットワークの混雑を制御します。

サイト システムに配布ポイントとソフトウェア更新ポイントの両方の役割がある場合は、役割で LEDBAT を個別に構成できます。 たとえば、配布ポイントの役割でのみ LEDBAT を有効にした場合、ソフトウェアの更新ポイントの役割は同じ構成を継承しません。

Windows Server 2016 以降を実行する SUP に LEDBAT を使用するには、次のいずれかの場所から [未使用のネットワーク帯域幅を使用するようにダウンロード速度を調整する (Windows LEDBAT)] 設定を有効にします。

  • ソフトウェアの更新ポイントのインストール ウィザードの [ ソフトウェアの更新ポイント ] ページ
  • ソフトウェアの更新ポイントのプロパティの [ 全般 ] タブ

Windows LEDBAT の詳細については、「 コンテンツ管理の基本的な概念」を参照してください。

WSUS サーバー接続アカウント

ソフトウェアの更新ポイントで実行される WSUS に接続するときにサイト サーバーが使用するアカウントを構成できます。 このアカウントを構成しない場合、Configuration Manager はサイト サーバーのコンピューター アカウントを使用して WSUS に接続します。 ウィザードの [プロキシとアカウントの設定 ] ページ、またはソフトウェアの更新ポイントのプロパティの [ プロキシとアカウントの設定 ] タブで、WSUS サーバー接続アカウントを構成します。 使用する Configuration Manager のバージョンに応じて、ウィザードのさまざまな場所でアカウントを構成できます。

Configuration Manager アカウントの詳細については、「使用されるアカウント」を参照してください。

同期ソース

ソフトウェア更新プログラム同期のアップストリーム同期ソースは、ウィザードの [ 同期ソース ] ページで、または [ソフトウェアの更新ポイント コンポーネントのプロパティ] の [ 同期設定 ] タブで構成できます。 同期ソースのオプションは、サイトによって異なります。

サイトでソフトウェアの更新ポイントを構成するときに使用できるオプションについては、次の表を参照してください。

サイト 使用可能な同期ソース オプション
- サーバーの全体管理サイト
- スタンドアロンのプライマリ サイト		 - Microsoft Update Web サイトから同期する
- アップストリーム・データ・ソースの場所から同期する
- Microsoft Update またはアップストリーム データ ソースから同期しない
- サイトの追加のソフトウェア更新ポイント
- 子プライマリサイト
- セカンダリ サイト		 - アップストリーム・データ・ソースの場所から同期する

次の一覧に、同期ソースとして使用できる各オプションの詳細を示します。

  • [Microsoft Update から同期]: この設定を使用して、Microsoft Update からソフトウェア更新プログラムのメタデータを同期します。 サーバーの全体管理サイトはインターネットにアクセスできる必要があります。そうしないと、同期に失敗します。 この設定は、ソフトウェアの更新ポイントを最上位サイトに構成した場合にのみ使用できます。

    • ソフトウェアの更新ポイントとインターネットの間にファイアウォールがある場合は、WSUS Web サイトに使用される HTTP ポートと HTTPS ポートを受け入れるようにそのファイアウォールを構成する必要があります。 また、ファイアウォール上へのアクセスを制限付きドメインに制限することもできます。 ソフトウェア更新プログラムをサポートするファイアウォールを計画する方法の詳細については、「 ファイアウォールの構成」を参照してください。

    • WSUS データベースを共有している場合、Configuration Manager はフロントエンド WSUS サーバー間でソフトウェアの更新ポイントをランダムに選択することに注意してください。 各 WSUS サーバーの インターネット アクセス要件 が満たされていることを確認します。 インターネット アクセスの要件が満たされていない場合、同期エラーが発生する可能性があります。 トップレベル サイトに、Microsoft と同期している異なるソフトウェアの更新ポイントが表示される場合があります。

  • 上流のデータ ソースの場所から同期する: この設定を使用して、上流の同期ソースからソフトウェア更新プログラムのメタデータを同期します。 子プライマリ サイトとセカンダリ サイトは、この設定に親サイト URL を使用するように自動的に構成されます。 既存の WSUS サーバーからソフトウェア更新プログラムを同期するオプションがあります。 https://WSUSServer:8531 などの URL を指定します。8531 は WSUS サーバーへの接続に使用されるポートです。

  • Microsoft Update または上流のデータ ソースから同期しない: この設定を使用すると、最上位サイトのソフトウェア更新ポイントがインターネットから切断されている場合に、ソフトウェア更新プログラムを手動で同期できます。 詳細については、「 切断されたソフトウェアの更新ポイントからのソフトウェア更新プログラムの同期」を参照してください。

WSUS レポート イベントを作成するかどうかは、ウィザードの [ 同期ソース ] ページで、または [ソフトウェアの更新ポイント コンポーネントのプロパティ] の [ 同期設定 ] タブで構成することもできます。 Configuration Manager はこれらのイベントを使用しないため、通常はデフォルト設定の [WSUS レポート イベントを作成しません] を選択します。

同期スケジュール

ウィザードの [ 同期スケジュール ] ページまたは [ソフトウェアの更新ポイント コンポーネントのプロパティ] で同期スケジュールを構成します。 この設定は、トップレベル サイトのソフトウェア更新ポイントでのみ構成されます。

スケジュールを有効にした場合、定期的なシンプル同期スケジュールまたはカスタム同期スケジュールを構成できます。 単純なスケジュールを構成すると、開始時刻は、スケジュールを作成した時点で Configuration Manager コンソールを実行しているコンピューターのローカル時刻が基準になります。 カスタム スケジュールの開始時刻を構成するときは、Configuration Manager コンソールを実行しているコンピューターの現地時刻がベースになります。

ヒント

  • 環境に適した時間枠を使用して実行されるようにソフトウェア更新プログラムの同期をスケジュールします。 一般的なシナリオの 1 つは、ソフトウェア更新プログラムの同期スケジュールを、毎月第 2 火曜日 (一般に火曜日パッチと呼ばれます) に Microsoft の定期的なセキュリティ更新プログラム リリースの直後に実行するように設定することです。 もう 1 つの一般的なシナリオは、ソフトウェア更新プログラムを使用して Endpoint Protection の定義とエンジンの更新プログラムを配信するときに、ソフトウェア更新プログラム同期スケジュールを毎日実行するように設定することです。
  • スケジュールでソフトウェア更新プログラムの同期を有効にしない場合は、[ソフトウェア ライブラリ] ワークスペースの [All Software Updates] または [Software Update Groups] ノードからソフトウェア更新プログラムを手動で同期できます。 詳細については、「 ソフトウェア更新プログラムの同期」を参照してください。

置き換え規則

ウィザードの [置き換え規則 ] ページまたは [ソフトウェアの更新ポイント コンポーネントのプロパティ] の [ 置き換え規則 ] タブで、置き換え設定を構成します。 置き換え規則は、トップレベル サイトでのみ構成できます。 機能更新プログラムの置き換え規則の動作を、機能以外の更新プログラムとは別に指定することもできます。

注:

ウィザードの [Supersedence Rules ] ページは、サイトで最初のソフトウェア更新ポイントを構成した場合にのみ使用できます。 ソフトウェアの更新ポイントを追加でインストールすると、このページは表示されません。

このページでは、Configuration Manager で置き換えられたソフトウェア更新プログラムの有効期限がいつ期限切れになるかを指定することができます。これにより、新しい展開に更新プログラムが含まれないようにしたり、既存の展開にフラグを設定して、置き換えられたソフトウェア更新プログラムに期限切れのソフトウェア更新プログラムが 1 つ以上含まれていることを示すことができます。 代替ソフトウェア更新プログラムの有効期限が切れるまでの期間を指定して、引き続き展開することができます。 詳細については、「 置き換え規則」を参照してください。

既定の設定では、置き換えられた更新プログラムが期限切れになるまで 3 か月待機します。 既定の期間は 3 か月で、クライアント コンピューターのいずれのクライアントでも更新プログラムが不要になったことを確認するためです。 新しい、置き換える更新プログラムを優先して、置き換えられた更新プログラムを直ちに失効させる必要があると想定しないことをお勧めします。 ソフトウェア更新プログラムのプロパティの [ 置き換えに関する情報 ] タブには、ソフトウェア更新プログラムに優先するソフトウェア更新プログラムの一覧を表示できます。

WSUS メンテナンス

Configuration Manager では、最も一般的な WSUS メンテナンス タスクを自動的に実行できます。 これらのタスクの詳細については、「 ソフトウェア更新プログラムのメンテナンス」を参照してください。

最大実行時間

ソフトウェア更新プログラムのインストールを完了するまでの最大時間を指定できます。 次の最大実行時間は指定できます。

  • Windows 機能更新プログラムの最大実行時間 (分)

    • 機能更新プログラム - 次の 3 つの分類のいずれかに含まれる更新プログラム:
      • アップグレード
      • 更新プログラムのロールアップ
      • サービス パック

  • Windows の Office 365 更新プログラムおよび機能以外の更新プログラムの最長実行時間 (分)

    • 非機能更新プログラム - 機能アップグレードではない更新プログラム。その製品は次のいずれかとして一覧表示されています。
      • Windows 11
      • Windows 10 (すべてのバージョン)
      • Windows Server 2012 R2
      • Windows Server 2016
      • Windows Server 2019
      • Office 365

  • サード パーティの更新プログラムなど、これらのカテゴリ以外の他のすべてのソフトウェア更新プログラムの最大実行時間 (分): これらの更新プログラムの既定の最大実行時間は、更新プログラムが最初に環境に同期されたタイミングと Configuration Manager のバージョンによって異なります。 次のカートを使用して、これらの更新プログラムの最大実行時値を決定します。

    2203 以降 2103、2107、または 2111 2010
    他のすべてのソフトウェア更新プログラムの最大実行時間はカスタマイズ可能です。 既定値は 60 分です。 60 分 10 分

    重要

    • この設定では、SUP によって同期される新しい更新プログラムの最大実行時間のみが変更されます。 実行時間が変更される前に同期された既存の更新の実行時間は変更されません。 たとえば、 Update 1 が最初に 2111 環境に同期された場合、最大実行時間は 60 分です。 その後、環境をバージョン 2203 にアップグレードし、最大実行時間を 30 分に設定します。 Update 1 実行時間は 60 分のままです。 ただし、新しい更新プログラム ( Update 2) が同期されると、新しい 30 分の実行時間が与えられます。
    • 更新プログラムの最大実行時間を手動で変更する必要がある場合は、その更新プログラム のソフトウェア更新プログラム設定を構成 できます。

分類

ウィザードの [分類 ] ページ、または [ソフトウェアの更新ポイント コンポーネントのプロパティ] の [ 分類 ] タブで分類設定を構成します。 ソフトウェア更新プログラムの分類の詳細については、「 更新プログラムの分類」を参照してください。

ヒント

  • ウィザードの [分類 ] ページは、サイトで最初のソフトウェア更新ポイントを構成した場合にのみ使用できます。 ソフトウェアの更新ポイントを追加でインストールすると、このページは表示されません。
  • ソフトウェアの更新ポイントを最上位サイトに初めてインストールするときは、すべてのソフトウェア更新プログラムの分類をクリアします。 最初のソフトウェア更新プログラムの同期後、更新された一覧から分類を構成してから、同期を再開します。 この設定は、トップレベル サイトのソフトウェア更新ポイントでのみ構成されます。

製品

ウィザードの [ 製品 ] ページ、またはソフトウェアの更新ポイント コンポーネントのプロパティの [ 製品 ] タブで製品の設定を構成します。

ヒント

  • ウィザードの [ 製品 ] ページは、サイトで最初のソフトウェア更新ポイントを構成した場合にのみ使用できます。 ソフトウェアの更新ポイントを追加でインストールすると、このページは表示されません。
  • ソフトウェアの更新ポイントを最上位サイトに最初にインストールするときは、すべての製品をクリアします。 最初のソフトウェア更新プログラムの同期後、更新された一覧から製品を構成してから、同期を再開します。 この設定は、トップレベル サイトのソフトウェア更新ポイントでのみ構成されます。

警告

環境で必要な製品のみを選択します。 不要な製品を選択すると、WSUS メタデータ カタログのサイズが大きくなり、ソフトウェア更新プログラムのスキャンのパフォーマンスに悪影響を及ぼす可能性があります。 Configuration Manager クライアントは、展開されていない更新プログラムであっても、すべてのスキャン中に更新プログラムのメタデータを評価します。

スキャン時間を短縮し、パフォーマンスを向上させるには:

  • サポートされていないバージョンの Windows や Office など、環境内で使用されなくなった従来の製品を削除します。
  • Configuration Manager で展開できない更新製品は選択しないでください。 これらの製品は、スタンドアロンの WSUS シナリオ (Dynamic Updates や Servicing Drivers など) のみを対象としています。

言語

ウィザードの [言語] ページ、または [ソフトウェアの更新ポイント コンポーネントのプロパティ] の [ 言語 ] タブで言語設定を構成します。 ソフトウェア更新プログラム ファイルと概要の詳細を同期する言語を指定します。 ソフトウェア更新プログラム ファイルの設定は、Configuration Manager 階層内の各ソフトウェア更新ポイントで構成されます。 概要の詳細設定は、最上位のソフトウェア更新ポイントでのみ構成されます。 詳細については、「 言語」を参照してください。

注:

ウィザードの [言語 ] ページは、サーバーの全体管理サイトにソフトウェアの更新ポイントをインストールした場合にのみ使用できます。 子サイトのソフトウェア更新プログラム ファイルの言語は、[ソフトウェア更新ポイント コンポーネントのプロパティ] の [ 言語 ] タブから構成できます。

サード パーティの更新プログラム

Configuration Manager クライアントに対してサード パーティの更新プログラムを有効にすることができます。 SUP コンポーネントのプロパティでサード パーティのソフトウェア更新プログラムを有効にすると、SUP はサード パーティの更新プログラムに WSUS が使用する署名証明書をダウンロードします。 このオプションは、ソフトウェアの更新ポイントのインストール中は使用できず、SUP のインストール後に構成する必要があります。 サード パーティの更新プログラムのクライアント設定を有効にするには、「 クライアント設定について 」の記事を参照してください。

次の手順

ソフトウェアの更新ポイントは、Configuration Manager 階層の最上位サイトからインストールしました。 この記事の手順を繰り返して、子サイトにソフトウェアの更新ポイントをインストールします。

ソフトウェアの更新ポイントをインストールしたら、[ ソフトウェア更新プログラムの同期] に移動します。

  • Last updated on