Configuration Manager でのソフトウェア更新プログラムの計画

Configuration Manager (現在のブランチ) に適用

Configuration Manager の運用環境でソフトウェア更新プログラムを使用する前に、計画プロセスを実行することが重要です。 ソフトウェア更新ポイントのインフラストラクチャについて適切に計画を立てることは、ソフトウェア更新プログラムの実装を成功させる鍵です。 ソフトウェア更新プログラムのキャパシティ計画の詳細については、「 サイズとスケールの数」を参照してください。

ソフトウェアの更新ポイントのインフラストラクチャを決定する

このセクションには、次のサブトピックが含まれています。

• ソフトウェアの更新ポイントの一覧
• ソフトウェアの更新ポイントの切り替え
• クライアントを新しいソフトウェアの更新ポイントに手動で切り替える
• 信頼されていないフォレスト内のソフトウェア更新ポイント
• トップレベル サイトの同期ソースとして既存の WSUS サーバーを使用する
• セカンダリ サイトのソフトウェアの更新ポイント
• インターネットベースのクライアントの計画
• ソフトウェア更新プログラムのコンテンツを計画する
• サード パーティの更新プログラムの計画

サーバーの全体管理サイトとすべての子プライマリ サイトには、ソフトウェアの更新ポイントが必要です。 ソフトウェアの更新ポイントのインフラストラクチャを計画するときは、次の依存関係を決定します。

• サイトのソフトウェアの更新ポイントをインストールする場所
• インターネットベースのクライアントからの通信を受け入れるソフトウェアの更新ポイントが必要なサイト
• ソフトウェアの更新ポイントをセカンダリ サイトに設置する必要があるかどうか

フォールト トレランスを提供するには、Configuration Manager のプライマリ サイトに複数のソフトウェア更新ポイントを追加します。 ソフトウェアの更新ポイントのフェールオーバー設計は、管理ポイントの設計で使用される純粋なランダム化モデルとは異なります。 管理ポイントの設計とは異なり、クライアントが新しいソフトウェア更新ポイントに切り替えるときに、ソフトウェア更新ポイントの設計にはクライアントとネットワークのパフォーマンスのコストが含まれます。 クライアントがソフトウェア更新プログラムをスキャンするために新しい WSUS サーバーに切り替えると、その結果、カタログ サイズと関連するクライアント側およびネットワークのパフォーマンス要求が増加します。 そのため、クライアントは、正常にスキャンした最後のソフトウェア更新ポイントとのアフィニティを維持します。

プライマリ サイトにインストールする最初のソフトウェア更新ポイントは、プライマリ サイトに追加するすべての追加ソフトウェア更新ポイントの同期ソースです。 ソフトウェアの更新ポイントを追加して同期を開始したら、監視ワークスペースの [ソフトウェアの更新ポイントの同期状況] ノードから、ソフトウェアの更新ポイントの状態と同期ソースを表示します。

サイトの同期ソースとして構成されたソフトウェアの更新ポイントに障害が発生した場合は、障害が発生した役割を手動で削除します。 次に、同期ソースとして使用する新しいソフトウェアの更新ポイントを選択します。 詳細については、「 サイト システムの役割の削除」を参照してください。

ソフトウェアの更新ポイントの一覧

Configuration Manager は、次のシナリオでクライアントにソフトウェアの更新ポイントの一覧を提供します。

• 新しいクライアントは、ソフトウェア更新を有効にするポリシーを受け取ります

• クライアントは、割り当てられたソフトウェアの更新ポイントに接続できず、別の更新ポイントに切り替える必要があります

クライアントは、一覧からソフトウェアの更新ポイントをランダムに選択します。 同じフォレスト内のソフトウェア更新ポイントに優先順位が付けられます。 Configuration Manager は、クライアントの種類に応じて異なる一覧をクライアントに提供します。

• イントラネット ベースのクライアント: イントラネットからの接続のみを許可するように構成できるソフトウェアの更新ポイントの一覧、またはインターネットとイントラネットのクライアント接続を許可するソフトウェアの更新ポイントの一覧を受け取ります。

• インターネット ベースのクライアント: インターネットからの接続のみを許可するように構成したソフトウェアの更新ポイントの一覧、またはインターネットおよびイントラネット クライアントの接続を許可するソフトウェアの更新ポイントの一覧を受け取ります。

ソフトウェアの更新ポイントの切り替え

サイトに複数のソフトウェアの更新ポイントがあり、その 1 つでエラーが発生するか使用できなくなった場合、クライアントは別のソフトウェアの更新ポイントに接続します。 この新しいサーバーを使用して、クライアントは最新のソフトウェア更新プログラムのスキャンを続けます。 クライアントにソフトウェアの更新ポイントが最初に割り当てられると、スキャンに失敗しない限り、クライアントはそのソフトウェアの更新ポイントに割り当てられたままになります。

ソフトウェア更新プログラムのスキャンは、さまざまな再試行エラー コードと再試行しないエラー コードで失敗することがあります。 再試行エラー コードでスキャンが失敗した場合、クライアントはソフトウェアの更新ポイントでソフトウェア更新プログラムをスキャンする再試行プロセスを開始します。 再試行エラー コードが発生する高レベルの条件は、通常、WSUS サーバーが利用できないか、一時的に過負荷になっていることが原因です。 クライアントがソフトウェア更新プログラムのスキャンに失敗した場合、クライアントは次のプロセスを使用します。

1. クライアントはソフトウェア更新プログラムをスキャンします。

   • スケジュールされた時刻
   • クライアントのコントロール パネルから手動で実行した場合
   • クライアント通知アクションを使用して Configuration Manager コンソールから手動で実行する場合
   • Configuration Manager SDK メソッドから実行する場合

2. スキャンに失敗した場合、クライアントは 30 分待機してスキャンを再試行します。 同じソフトウェアの更新ポイントを使用します。

3. クライアントは、30 分ごとに少なくとも 4 回再試行します。 4 回目のエラーの後、さらに 2 分待機すると、クライアントはリスト内の次のソフトウェア更新ポイントに移動します。

4. クライアントは、新しいソフトウェアの更新ポイントでこのプロセスを繰り返します。 スキャンが成功すると、クライアントは新しいソフトウェアの更新ポイントに接続し続けます。

次の一覧では、ソフトウェアの更新ポイントの再試行と切り替えのシナリオについて考慮すべき追加情報を示します。

• クライアントがイントラネットから切断され、ソフトウェア更新プログラムのスキャンに失敗しても、別のソフトウェア更新ポイントに切り替わることはありません。 この失敗は、クライアントが内部ネットワークまたはイントラネットからの接続を許可するソフトウェアの更新ポイントに到達できないため、想定されています。 Configuration Manager クライアントは、イントラネット ソフトウェアの更新ポイントの使用可能性を判断します。

• インターネット上のクライアントを管理していて、インターネット上のクライアントからの通信を受け入れるように複数のソフトウェアの更新ポイントを構成している場合、切り替えプロセスは前述の標準の再試行プロセスに従います。

• スキャン プロセスが開始されても、スキャンが完了する前にクライアントがオフになった場合、スキャンの失敗とは見なされず、4 回の再試行のいずれにもなされません。

Configuration Manager が次のいずれかの Windows Update エージェントのエラー コードを受信すると、クライアントは接続を再試行します。

2149842970, 2147954429, 2149859352, 2149859362, 2149859338, 2149859344, 2147954430, 2147747475, 2149842974, 2149859342, 2149859372, 2149859341, 2149904388, 2149859371, 2149859367, 2149859366, 2149859364, 2149859363, 2149859361, 2149859360, 2149859359, 2149859358, 2149859357, 2149859356, 2149859354, 2149859353, 2149859350, 2149859349, 2149859340, 2149859339, 2149859332, 2149859333, 2149859334, 2149859337, 2149859336, 2149859335

エラー コードの意味を調べるには、10 進数のエラー コードを 16 進数に変換してから、Windows Update エージェント - エラー コード Wiki などのサイトで 16 進数値を検索します。 たとえば、2149842970 10 進数のエラー コードは 16 進数の 8024001A で、WU_E_POLICY_NOT_SET ポリシー値が設定されていないことを意味します。

クライアントを新しいソフトウェアの更新ポイントに手動で切り替える

アクティブなソフトウェアの更新ポイントに問題がある場合は、Configuration Manager クライアントを新しいソフトウェアの更新ポイントに切り替えます。 この変更は、クライアントが管理ポイントから複数のソフトウェア更新ポイントを受信した場合にのみ発生します。

ソフトウェアの更新ポイントを切り替えるプロセス

デバイス コレクションでこの変更を開始します。 トリガーされると、クライアントは次のスキャンで別のソフトウェア更新ポイントを探します。

1. Configuration Manager コンソールで、[資産とコンプライアンス] ワークスペースに移動し、[デバイス コレクション] ノードを選択します。

2. ターゲット コレクションを選択します。 リボンの [ ホーム ] タブの [コレクション] グループで、[ クライアント通知] を選択し、[ 次のソフトウェア更新ポイントに切り替える] を選択します。

信頼されていないフォレスト内のソフトウェア更新ポイント

信頼されていないフォレスト内のクライアントをサポートするために、サイトに 1 つ以上のソフトウェア更新ポイントを作成します。 別のフォレストにソフトウェアの更新ポイントを追加するには、まずそのフォレストに WSUS サーバーをインストールして構成します。 次に、ウィザードを起動して、ソフトウェアの更新ポイント サイト システムの役割を持つ Configuration Manager サイト サーバーを追加します。 ウィザードで、信頼されていないフォレスト内の WSUS に正常に接続するように、次の設定を構成します。

• 信頼されていないフォレストの WSUS サーバーにアクセスできるサイト システムのインストール アカウント を指定します。

• WSUS サーバーに接続する WSUS サーバー接続アカウント を指定します。

たとえば、2 つのソフトウェア更新ポイント (SUP01 と SUP02) を持つフォレスト A のプライマリ サイトがあるとします。 同じプライマリ サイトの場合、フォレスト B にも 2 つのソフトウェア更新ポイント (SUP03 と SUP04) があります。次のソフトウェア更新ポイントに切り替えるときに、クライアントは同じフォレストのサーバーを優先します。

トップレベル サイトの同期ソースとして既存の WSUS サーバーを使用する

通常、階層内の最上位のサイトは、ソフトウェア更新プログラムのメタデータを Microsoft Update と同期するように構成されています。 組織のセキュリティ ポリシーでトップレベル サイトからのインターネット アクセスが許可されていない場合は、既存の WSUS サーバーを使用するためにトップレベル サイトの同期ソースを構成します。 この WSUS サーバーは Configuration Manager 階層に含まれていません。 たとえば、インターネットに接続されたネットワーク (DMZ) 内に WSUS サーバーがあるが、トップレベル サイトがインターネットにアクセスできない内部ネットワーク内にある場合などです。 ソフトウェア更新プログラムメタデータの同期ソースとして DMZ の WSUS サーバーを構成します。 DMZ で WSUS サーバーを構成して、Configuration Manager で必要なものと同じ条件でソフトウェア更新プログラムを同期します。 そうしないと、トップレベル サイトが期待どおりのソフトウェア更新プログラムを同期しない可能性があります。 ソフトウェアの更新ポイントをインストールするときは、WSUS サーバー接続アカウントを構成します。 このアカウントは、DMZ 内の WSUS サーバーにアクセスする必要があります。 また、ファイアウォールが適切なポートのトラフィックを許可していることを確認します。 詳細については、 ソフトウェアの更新プログラムが同期ソースをポイントする使用するポートを参照してください。

セカンダリ サイトのソフトウェアの更新ポイント

ソフトウェアの更新ポイントは、セカンダリ サイトではオプションです。 ソフトウェアの更新ポイントをセカンダリ サイトに 1 つだけインストールします。 ソフトウェアの更新ポイントがセカンダリ サイトにインストールされていない場合、セカンダリ サイトの境界内のデバイスは、割り当てられたプライマリ サイトのソフトウェア更新ポイントを使用します。 通常、セカンダリ サイトにあるデバイスと親プライマリ サイトのソフトウェア更新ポイントの間のネットワーク帯域幅が制限されている場合は、セカンダリ サイトにソフトウェアの更新ポイントをインストールします。 また、プライマリ サイトのソフトウェア更新ポイントが容量の制限に近づいた場合にも、この構成を使用することができます。 セカンダリ サイトにソフトウェアの更新ポイントを正常にインストールして構成すると、クライアントのサイト全体のポリシーが更新され、新しいソフトウェアの更新ポイントの使用が開始されます。

インターネットベースのクライアントの計画

ネットワークからインターネットにローミングするデバイスを管理する必要がある場合は、これらのデバイス上のソフトウェア更新プログラムを管理する方法の計画を作成します。 Configuration Manager では、このシナリオに対して複数のテクノロジがサポートされています。 organization の要件を満たすために、必要に応じて 1 つまたは組み合わせて使用します。

クラウド管理ゲートウェイ

Microsoft Azure でクラウド管理ゲートウェイを作成し、少なくとも 1 つのオンプレミス ソフトウェア更新ポイントを有効にして、インターネットベースのクライアントからのトラフィックを許可します。 クライアントはインターネットにローミングしても、ソフトウェアの更新ポイントをスキャンし続けます。 すべてのインターネットベースのクライアントは、常に Microsoft Update クラウド サービスからコンテンツを取得します。

詳細については、 クラウド管理ゲートウェイの概要 および 境界グループの構成を参照してください。

インターネットベースのクライアント管理

ソフトウェアの更新ポイントをインターネットに接続するネットワークに配置し、インターネットベースのクライアントからのトラフィックを許可できるようにします。 クライアントはインターネットにローミングすると、このソフトウェアの更新ポイントに切り替わり、スキャンを行います。 すべてのインターネットベースのクライアントは、常に Microsoft Update クラウド サービスからコンテンツを取得します。

インターネット ベースのクライアント管理の長所と短所の詳細については、「 インターネット上のクライアントの管理」を参照してください。

Windows Update クライアント ポリシー

Windows Update クライアント ポリシーを使用すると、最新の品質と機能の更新プログラムを使用して、Windows 10 以降のデバイスを常に最新の状態に保つことができます。 これらのデバイスは、Windows Update クラウド サービスに直接接続します。 Configuration Manager では、ソフトウェア更新プログラムを取得するために Windows Update クライアント ポリシーと WSUS を使用する Windows コンピューターを区別できます。

詳細については、「Windows Update クライアント ポリシーとの統合」を参照してください。

ソフトウェア更新プログラムのコンテンツを計画する

クライアントは、ソフトウェア アップデートのコンテンツ ファイルをインストールしてダウンロードする必要があります。 Configuration Manager には、このコンテンツの管理と配信をサポートするいくつかのテクノロジが用意されています。 または、クライアントが Microsoft Update クラウド サービスからコンテンツを直接取得することを許可または要求するようにソフトウェア更新プログラムの展開を構成します。

コンテンツのダウンロードと配布

既定では、Configuration Manager のソフトウェア更新プログラム管理プロセスでは、組み込みのコンテンツ管理機能が使用されます。 これらの機能には、一元化された単一インスタンス ストア コンテンツ ライブラリと、配布ポイント サイト システムの役割の分散設計が含まれます。 これらの機能は、ソフトウェア更新プログラムの展開パッケージをダウンロードして配布するときに使用します。

詳細については、「 ソフトウェア更新プログラムのダウンロード」を参照してください。

Windows 10 以降の高速インストール ファイルを管理する

Configuration Manager では、Windows 更新プログラム用の高速インストール ファイルの使用がサポートされています。 高速更新ファイルと、配信の最適化などのサポート テクノロジは、クライアントにダウンロードする大きなコンテンツ ファイルのネットワークへの影響を軽減するのに役立ちます。

詳細については、「 Windows Update の配信の最適化」を参照してください。

クライアントはインターネットからコンテンツをダウンロードします

ソフトウェア更新プログラムをクライアントに展開する場合は、クライアントが Microsoft Update クラウド サービスからコンテンツをダウンロードするように展開を構成します。 クライアントが別のコンテンツ ソースからコンテンツをダウンロードできない場合でも、インターネットからコンテンツをダウンロードできます。

ソフトウェア更新プログラムを展開するときに展開パッケージを作成する必要はありません。 [ 展開パッケージなし] オプションを選択しても、利用可能な場合は、クライアントはローカル ソースからコンテンツをダウンロードできますが、通常は Microsoft Update サービスからダウンロードします。

インターネットベースのクライアントは、常に Microsoft Update クラウド サービスからコンテンツをダウンロードします。 ソフトウェア更新プログラム展開パッケージをコンテンツ対応クラウド管理ゲートウェイ (CMG) に配布しないでください。

サード パーティの更新プログラムの計画

Configuration Manager は WSUS と統合されます。これにより、Microsoft が公開したソフトウェア更新プログラムをネイティブにサポートします。 ほとんどのお客様は、更新プログラムが必要な他のサード パーティ製アプリケーションを使用しています。 サード パーティのアプリケーションを最新の状態に保つために考慮すべきオプションがいくつかあります。

更新するアプリケーションを置き換える

Configuration Manager のアプリケーション管理機能との置き換え関係を使用して、既存のアプリケーションをアップグレードまたは置き換えます。 アプリケーションを置き換える場合は、新しい展開の種類を指定して、置き換えられたアプリケーションの展開の種類を置き換えます。 また、置き換えるアプリケーションをインストールする前に、置き換えるアプリケーションをアップグレードするかアンインストールするかを決定します。

詳細については、「 アプリケーションの改訂と置き換え」を参照してください。

サード パーティ製のソフトウェア更新プログラム

Configuration Manager コンソールの [サード パーティ製ソフトウェア更新プログラム カタログ] ノードを使用して、サード パーティ製カタログをサブスクライブし、それらの更新プログラムをソフトウェアの更新ポイントに発行し、クライアントに展開できます。

詳細については、「 サード パーティのソフトウェア更新プログラム」を参照してください。

システム センター 更新プログラム パブリッシャー

System Center Updates Publisher (SCUP) は、独立したソフトウェア発行元または基幹業務アプリケーション開発者がカスタム更新プログラムを管理できるスタンドアロン ツールです。 これらの更新プログラムには、ドライバーや更新プログラム バンドルなど、依存関係を持つ更新プログラムが含まれます。 SCUP は、本体では直接使用できないサードパーティの更新カタログにも使用できます。

詳細については、「System Center Updates Publisher」を参照してください。

ソフトウェアの更新ポイントのインストールの計画

このセクションには、次のサブトピックが含まれています。

• ソフトウェアの更新ポイントの要件
• WSUS のインストールの計画
• ファイアウォールの構成

このセクションでは、ソフトウェアの更新ポイントのインストールを適切に計画および準備するために実行する手順について説明します。 Configuration Manager でソフトウェア更新ポイントのサイト システムの役割を作成する前に、考慮すべき要件がいくつかあります。 具体的な要件は、Configuration Manager インフラストラクチャによって異なります。 HTTPS を使用して通信するようにソフトウェアの更新ポイントを構成するときには、このセクションを確認することが特に重要です。 HTTPS 対応サーバーが正常に動作するには、追加の手順が必要です。

ソフトウェアの更新ポイントの要件

WSUS の最小要件および Configuration Manager サイト システムでサポートされている構成を満たすサイト システムにソフトウェア更新ポイントの役割をインストールします。

• Windows Server での WSUS サーバーの役割の最小要件の詳細については、「考慮事項とシステム要件の確認」を参照してください。

• Configuration Manager サイト システムでサポートされている構成の詳細については、「サイトとサイト システムの前提条件」を参照してください。

WSUS のインストールの計画

ソフトウェアの更新ポイントの役割に構成したすべてのサイト システム サーバーに、サポートされているバージョンの WSUS をインストールします。 サイト サーバーにソフトウェアの更新ポイントをインストールしない場合は、サイト サーバーに WSUS 管理コンソールをインストールします。 このコンポーネントを使用すると、サイト サーバーは、ソフトウェアの更新ポイントで実行される WSUS と通信できます。

Windows Server 2012 以降で WSUS を使用する場合は、追加のアクセス許可を構成して、Configuration Manager の Configuration Manager コンポーネントが Configuration Manager に接続できるようにします。 このコンポーネントは、定期的な正常性チェックを実行します。 必要なアクセス許可を構成するには、次のいずれかのオプションを選択します。

• SYSTEM アカウントを WSUS 管理者グループに追加する

• WSUS データベース (SUSDB) のユーザーとして NT AUTHORITY\SYSTEM アカウントを追加します。 最小の webService データベース ロール メンバーシップを構成します。

Windows Server に WSUS をインストールする方法の詳細については、「WSUS サーバーの役割をインストールする」を参照してください。

プライマリ サイトに複数のソフトウェア更新ポイントをインストールする場合は、同じ Active Directory フォレスト内のソフトウェア更新ポイントごとに同じ WSUS データベースを使用します。 同じデータベースを共有すると、クライアントが新しいソフトウェアの更新ポイントに切り替えるときのパフォーマンスが向上します。 詳細については、「 ソフトウェア更新ポイントの共有 WSUS データベースを使用する」を参照してください。

WSUS コンテンツ ディレクトリ パスの構成

WSUS をインストールするときは、コンテンツ ディレクトリ パスを指定する必要があります。 WSUS コンテンツ ディレクトリは、主に、スキャン中にクライアントが必要とするマイクロソフト ソフトウェア ライセンス条項ファイルを格納するために使用されます。 Configuration Manager WSUS コンテンツ ディレクトリは、Configuration Manager ソフトウェア展開パッケージのコンテンツ ソース ディレクトリと重複してはいけません。 WSUS コンテンツ ディレクトリと Configuration Manager パッケージ ソースが重複すると、WSUS コンテンツ ディレクトリから不適切なファイルが削除されます。

カスタム Web サイトを使用するように WSUS を構成する

WSUS をインストールするときには、既存の IIS の既定の Web サイトを使用するか、カスタムの WSUS Web サイトを作成するかを選択できます。 IIS が専用の仮想 Web サイトで WSUS サービスをホストするように、WSUS のカスタム Web サイトを作成します。 それ以外の場合は、他の Configuration Manager サイト システムまたはアプリケーションで使用されるのと同じ Web サイトを共有します。 この構成は、サイト サーバーにソフトウェアの更新ポイントの役割をインストールする場合に特に必要です。 Windows Server 2012 以降で WSUS を実行すると、既定では WSUS は HTTP にはポート 8530、HTTPS にはポート 8531 を使用するように構成されます。 これらのポートは、サイトでソフトウェアの更新ポイントを作成するときに指定します。

WSUS をレプリカ サーバーとして構成する

プライマリ サイト サーバーにソフトウェア更新ポイントの役割を追加する場合、レプリカとして構成された WSUS サーバーは使用できません。 WSUS サーバーがレプリカとして構成されている場合、Configuration Manager は WSUS サーバーの構成に失敗し、WSUS 同期は失敗します。 プライマリ サイトにインストールする最初のソフトウェアの更新ポイントが既定のソフトウェアの更新ポイントです。 サイトの追加のソフトウェア更新ポイントは、既定のソフトウェア更新ポイントのレプリカとして構成されます。

SSL を使用するように WSUS を構成するかどうかを決定する

SSL プロトコルを使用してソフトウェアの更新ポイントをセキュリティで保護することを強くお勧めします。 WSUS は、SSL を使用してクライアント コンピューターを認証し、WSUS サーバーに対するダウンストリーム WSUS サーバーを認証します。 また、WSUS では SSL を使用して、ソフトウェア更新プログラムのメタデータを暗号化します。 SSL を使用して WSUS をセキュリティで保護する場合は、ソフトウェアの更新ポイントをインストールする前に WSUS サーバーを準備してください。

ソフトウェアの更新ポイントをインストールして構成するときは、[ WSUS サーバーの SSL 通信を有効にする] オプションを選択します。 それ以外の場合、Configuration Manager は SSL を使用しないように WSUS を構成します。 ソフトウェアの更新ポイントで SSL を有効にする場合は、子サイトのソフトウェアの更新ポイントも SSL を使用するように構成します。 詳細については、「 PKI 証明書で TLS/SSL を使用するようにソフトウェアの更新ポイントを構成する」チュートリアルを参照してください。

ファイアウォールの構成

Configuration Manager サーバーの全体管理サイトのソフトウェア更新ポイントは、ソフトウェアの更新ポイント上の WSUS と通信します。 WSUS は同期ソースと通信して、ソフトウェア更新プログラムのメタデータを同期します。 子サイトのソフトウェア更新ポイントは、親サイトのソフトウェア更新ポイントと通信します。 プライマリ サイトに複数のソフトウェア更新ポイントがある場合、追加のソフトウェア更新ポイントは既定のソフトウェア更新ポイントと通信します。 既定の役割は、サイトにインストールされている最初のソフトウェア更新ポイントです。

次のシナリオでは、WSUS が使用する HTTP または HTTPS トラフィックを許可するようにファイアウォールを構成する必要がある場合があります。

• ソフトウェアの更新ポイントとインターネットの間
• ソフトウェアの更新ポイントとアップストリーム同期ソースの間で
• 追加のソフトウェア更新ポイント間

Microsoft Update への接続は常に、HTTP にはポート 80、HTTPS には 443 を使用するように構成されています。 子サイトのソフトウェア更新ポイントの WSUS から親サイトのソフトウェア更新ポイントの WSUS への接続にはカスタム ポートを使用します。 セキュリティ ポリシーが接続を許可していない場合は、エクスポートとインポートの同期方法を使用します。 詳細については、この記事の 「同期ソース 」セクションを参照してください。 WSUS が使用するポートの詳細については、「Configuration Manager で WSUS によって使用されるポート設定を確認する方法」を参照してください。

特定のドメインへのアクセスを制限する

organization がファイアウォールまたはプロキシ デバイスを使用してインターネットとのネットワーク通信を制限している場合は、アクティブなソフトウェア更新ポイントがインターネット エンドポイントにアクセスできるようにする必要があります。 その後、WSUS と Automatic Updates は Microsoft Update クラウド サービスと通信できます。

詳細については、「 インターネット アクセス要件」を参照してください。

同期設定の計画

このセクションには、次のサブトピックが含まれています。

• 同期ソース
• 同期スケジュール
• 更新プログラムの分類
• 製品
• 置き換え規則
• 言語
• 最大実行時間

Configuration Manager のソフトウェア更新プログラムの同期は、構成した条件に基づいてソフトウェア更新プログラムのメタデータをダウンロードします。 階層内の最上位のサイトは、Microsoft Update からのソフトウェア更新プログラムを同期します。 Configuration Manager 階層ではなく、既存の WSUS サーバーと同期するように最上位サイトのソフトウェア更新ポイントを構成するオプションがあります。 子プライマリ サイトは、サーバーの全体管理サイトのソフトウェア更新ポイントからソフトウェア更新プログラムのメタデータを同期します。 ソフトウェアの更新ポイントをインストールして構成する前に、このセクションを使用して同期の設定を計画してください。

同期ソース

ソフトウェアの更新ポイントの同期ソース設定では、ソフトウェアの更新ポイントがソフトウェア更新プログラムのメタデータを取得する場所を指定します。 また、同期プロセスで WSUS レポート イベントを作成するかどうかも指定します。

• 同期ソース: 既定では、最上位サイトのソフトウェア更新ポイントによって、Microsoft Update の同期ソースが構成されます。 トップレベル サイトを既存の WSUS サーバーと同期するオプションがあります。 子プライマリ サイトのソフトウェア更新ポイントは、同期ソースをサーバーの全体管理サイトのソフトウェア更新ポイントとして構成します。

  • プライマリ サイトにインストールする最初のソフトウェア更新ポイント (既定のソフトウェア更新ポイント) は、サーバーの全体管理サイトと同期します。 プライマリ サイトにある追加のソフトウェア更新ポイントは、プライマリ サイトの既定のソフトウェア更新ポイントと同期します。

  • ソフトウェアの更新ポイントが Microsoft Update または上流の更新サーバーから切断された場合は、構成済みの同期ソースと同期しないように同期ソースを構成します。 代わりに、 WSUSUtil ツールのエクスポートおよびインポート機能を使用してソフトウェア更新プログラムを同期するように構成します。 詳細については、「 切断されたソフトウェアの更新ポイントからのソフトウェア更新プログラムの同期」を参照してください。

• WSUS レポート イベント:クライアント コンピューター上の Windows Update エージェントは、WSUS レポートのイベント メッセージを作成できます。 これらのイベントは Configuration Manager では使用されません。 そのため、デフォルトでは [WSUS レポート イベントを作成しない] オプションが選択されています。 これらのイベントが作成されない場合、クライアントが WSUS サーバーに接続する必要があるのは、ソフトウェア更新プログラムの評価とコンプライアンス スキャン中のみです。 Configuration Manager の外部でレポートするためにこれらのイベントが必要な場合は、この設定を変更して WSUS レポート イベントを作成します。

同期スケジュール

同期スケジュールは、Configuration Manager 階層の最上位サイトのソフトウェア更新ポイントでのみ構成します。 同期スケジュールを構成すると、ソフトウェアの更新ポイントは指定した日時に同期ソースと同期します。 カスタム スケジュールを使用すると、ソフトウェア更新プログラムを同期して環境を最適化できます。 WSUS サーバー、サイト サーバー、およびネットワークのパフォーマンス要求を考慮します。 たとえば、週に 1 回の午前 2:00 などです。 または、Configuration Manager コンソールの [All Software Updates] ノードまたは [Software Update Groups] ノードの [Synchronization Software Updates] アクションを使用して、最上位サイトでの同期を手動で開始します。

ソフトウェアの更新ポイントが正常に同期されると、子サイトに同期要求が送信されます。 プライマリ サイトに追加のソフトウェア更新ポイントがある場合は、各ソフトウェア更新ポイントに同期要求が送信されます。 このプロセスは、階層内のすべてのサイトで繰り返されます。

更新プログラムの分類

すべてのソフトウェア更新プログラムは、さまざまな種類の更新プログラムを整理するのに役立つ更新プログラム分類で定義されます。 同期プロセス中に、サイトは指定された分類のメタデータを同期します。

Configuration Manager は、次の更新プログラムの分類の同期をサポートします。

• Critical Updates: セキュリティに関連しない重要なバグに対処する、特定の問題に対して広範にリリースされた更新プログラム。

• Definition Updates: ウイルスまたはその他の定義ファイルに対する更新プログラム。

• Feature Pack: 製品のリリースの外部で配布され、通常は次の完全な製品リリースに含まれる新しい製品機能。

• Security Updates: 製品固有のセキュリティ関連の問題に対して広範にリリースされた更新プログラム。

• Service Pack: OS またはアプリケーションに適用される修正プログラムの累積的なセット。 これらの修正プログラムには、セキュリティ更新プログラム、重要な更新プログラム、およびソフトウェア更新プログラムが含まれます。

• ツール: 1 つ以上のタスクを完了するのに役立つユーティリティまたは機能。

• 更新プログラムのロールアップ: 簡単に展開できるようにまとめてパッケージ化された修正プログラムの累積的なセット。 これらの修正プログラムには、セキュリティ更新プログラム、重要な更新プログラム、およびソフトウェア更新プログラムが含まれます。 更新プログラムのロールアップは、通常、セキュリティや製品コンポーネントなど、特定の領域を対象にしています。

• Updates: 現在インストールされているアプリケーションまたはファイルの更新プログラム。

• アップグレード: 新しいバージョンの Windows への機能更新プログラム。

トップレベル サイトでのみ更新プログラムの分類設定を構成します。 ソフトウェア更新プログラムのメタデータはトップレベル サイトからレプリケートされるため、子サイトのソフトウェアの更新ポイントで更新プログラムの分類設定が構成されていません。 更新プログラムの分類を選択するときは、選択する分類が多いほど、ソフトウェア更新プログラムのメタデータの同期にかかる時間が長くなることに注意してください。

製品

各ソフトウェア更新プログラムのメタデータは、更新プログラムを適用できる 1 つ以上の製品を定義します。 製品は、OS またはアプリケーションの特定のエディションです。 製品の例としては、Microsoft Windows 10 があります。 製品ファミリは、個々の製品の派生元となるベース OS またはアプリケーションです。 製品ファミリの例としては Microsoft Windows があり、Windows 10 と Windows Server 2016 もその一員です。 製品ファミリを選択するか、製品ファミリ内の個々の製品を選択します。

ソフトウェア更新プログラムが複数の製品に適用されていて、少なくとも 1 つの製品が同期対象として選択されている場合は、一部の製品が選択されていなくても、すべての製品が Configuration Manager コンソールに表示されます。 たとえば、Windows Server 2012 製品のみを選択します。 ソフトウェア更新プログラムが Windows Server 2012 および Windows Server 2012 Datacenter Edition に適用される場合、両方の製品がサイト データベースに含まれます。

最上位サイトでのみ製品設定を構成します。 ソフトウェア更新プログラムのメタデータはトップレベル サイトからレプリケートされるため、子サイトのソフトウェアの更新ポイントで製品設定が構成されていません。 選択する製品の数が多いほど、ソフトウェア更新プログラムのメタデータの同期にかかる時間が長くなります。

置き換え規則

通常、別のソフトウェア更新プログラムに優先するソフトウェア更新プログラムは、次の 1 つ以上のアクションを実行します。

• 以前にリリースされた 1 つ以上の更新プログラムによって提供された修正プログラムを強化、改善、または更新します。

• 更新プログラムのインストールが承認された場合にクライアントにインストールされる置き換えられた更新プログラム ファイル パッケージの効率が向上します。 たとえば、置き換えられた更新プログラムには、修正プログラムや新しい更新プログラムでサポートされているオペレーティング システムに関連性がなくなったファイルが含まれている可能性があります。 これらのファイルは、更新プログラムの置き換えファイル パッケージには含まれません。

• Updates 製品の新しいバージョン。 言い換えると、製品の古いバージョンまたは構成に適用されなくなったバージョンを更新します。 言語サポートを拡張するために変更が行われた場合、Updates が他の更新プログラムに取って代わられる場合もあります。 たとえば、Microsoft 365 Apps の製品更新プログラムの新しいリビジョンでは、古い OS のサポートが削除される可能性がありますが、最初の更新プログラム リリースで新しい言語のサポートが追加される可能性があります。

ソフトウェアの更新ポイントのプロパティで、置き換えられたソフトウェア更新プログラムの有効期限が直ちに切れるように指定します。 この設定により、新しいデプロイに含まれなくなります。 また、既存の展開にフラグを設定して、期限切れのソフトウェア更新プログラムが 1 つ以上含まれていることを示します。 または、置き換えられたソフトウェア更新プログラムの有効期限が切れるまでの期間を指定します。 このアクションにより、引き続きデプロイできます。

代替ソフトウェア更新プログラムの展開が必要になる可能性がある次のシナリオを検討してください。

• 置き換えるソフトウェア更新プログラムは、OS の新しいバージョンのみをサポートします。 一部のクライアント コンピューターは、以前のバージョンの OS を実行しています。

• 置き換えられるソフトウェア更新プログラムは、置き換えるソフトウェア更新プログラムよりも適用範囲が制限されます。 この動作により、一部のクライアントには不適切になります。

• 置き換えるソフトウェア更新プログラムが運用環境への展開が承認されていない場合。

Configuration Manager は、選択したスケジュールに基づいて、置き換えられた更新プログラムを自動的に期限切れにすることができます。 機能更新プログラムの置き換え規則の動作は、機能以外の更新プログラムとは別に指定できます。 既定の設定では、置き換えられた更新プログラムが期限切れになるまで 3 か月待機します。 既定の期間は 3 か月で、クライアント コンピューターのいずれのクライアントでも更新プログラムが不要になったことを確認するためです。 新しい、置き換える更新プログラムを優先して、置き換えられた更新プログラムを直ちに失効させる必要があると想定しないことをお勧めします。 ソフトウェア更新プログラムのプロパティの [ 置き換えに関する情報 ] タブには、ソフトウェア更新プログラムに優先するソフトウェア更新プログラムの一覧を表示できます。

言語

ソフトウェアの更新ポイントの言語設定では、次のことを構成できます。

• ソフトウェア更新プログラムの概要の詳細 (ソフトウェア更新プログラム メタデータ) がソフトウェア更新プログラムで同期される言語
• ソフトウェア更新プログラム用にダウンロードされるソフトウェア更新プログラム ファイルの言語

ソフトウェア更新プログラム ファイル

ソフトウェア更新ポイントのプロパティで、 ソフトウェア更新プログラム ファイルの 言語設定を構成します。 この設定では、サイトでソフトウェア更新プログラムをダウンロードするときに使用できる既定の言語が提供されます。 ソフトウェア更新プログラムがダウンロードまたは展開されるたびに既定で選択されている言語を変更します。 ソフトウェア更新プログラム ファイルが選択した言語で利用可能な場合は、ダウンロード プロセス中に、構成された言語のソフトウェア更新プログラム ファイルが展開パッケージのソースの場所にダウンロードされます。 次に、サイト サーバー上のコンテンツ ライブラリにコピーされます。 その後、パッケージ用に構成されている配布ポイントに配布されます。

ソフトウェア更新プログラム ファイルの言語設定を、環境で最もよく使用される言語で構成します。 たとえば、サイトのクライアントは、Windows またはアプリケーションで主に英語と日本語を使用します。 このサイトでは、他にほとんど言語が使用されていません。 ソフトウェア更新プログラムをダウンロードまたは展開するときに、[ ソフトウェア更新プログラム ファイル ] 列で英語と日本語のみを選択します。 この操作により、展開ウィザードとダウンロード ウィザードの [言語の選択 ] ページの既定の設定を使用することができます。 この操作により、不要な更新ファイルがダウンロードされなくなります。 この設定は、Configuration Manager 階層内の各ソフトウェア更新ポイントで構成します。

概要の詳細

同期プロセス中に、指定した言語のソフトウェア更新プログラムの概要の詳細情報 (ソフトウェア更新プログラム メタデータ) が更新されます。 メタデータは、ソフトウェアの更新に関する情報を提供します。たとえば、次の例です。

• 名前
• 説明
• 更新プログラムでサポートされている製品
• 更新の分類
• 記事の ID
• URL をダウンロード
• 適用性ルール

概要の詳細設定は、トップレベル サイトでのみ構成します。 ソフトウェア更新プログラムのメタデータはファイル ベースのレプリケーションを使用してサーバーの全体管理サイトからレプリケートされるため、概要の詳細は子サイトのソフトウェアの更新ポイントで構成されません。 概要の詳細言語を選択するときは、環境で必要な言語のみを選択します。 選択する言語が多いほど、ソフトウェア更新プログラムのメタデータの同期にかかる時間が長くなります。 Configuration Manager は、Configuration Manager コンソールが実行されている OS のロケールでソフトウェア更新プログラムのメタデータを表示します。 ソフトウェア更新プログラムのローカライズされたプロパティがこの OS のロケールで利用できない場合、ソフトウェア更新プログラムの情報は英語で表示されます。

最大実行時間

ソフトウェア更新プログラムのインストールを完了するまでの最大時間を指定できます。 次の最大実行時間は指定できます。

• Windows 機能更新プログラムの最大実行時間 (分)

  • 機能更新プログラム - 次の 3 つの分類のいずれかに含まれる更新プログラム:
    • アップグレード
    • 更新プログラムのロールアップ
    • サービス パック

• Windows の Office 365 更新プログラムおよび機能以外の更新プログラムの最長実行時間 (分)

  • 非機能更新プログラム - 機能アップグレードではない更新プログラム。その製品は次のいずれかとして一覧表示されています。
    • Windows 11
    • Windows 10 (すべてのバージョン)
    • Windows Server 2012 R2
    • Windows Server 2016
    • Windows Server 2019
    • Office 365

• サード パーティの更新プログラムなど、これらのカテゴリ以外の他のすべてのソフトウェア更新プログラムの最大実行時間 (分): これらの更新プログラムの既定の最大実行時間は、更新プログラムが最初に環境に同期されたタイミングと Configuration Manager のバージョンによって異なります。 次のカートを使用して、これらの更新プログラムの最大実行時値を決定します。

  2203 以降	2103、2107、または 2111	2010
  他のすべてのソフトウェア更新プログラムの最大実行時間はカスタマイズ可能です。 既定値は 60 分です。	60 分	10 分

  重要

  • この設定では、SUP によって同期される新しい更新プログラムの最大実行時間のみが変更されます。 実行時間が変更される前に同期された既存の更新の実行時間は変更されません。 たとえば、 Update 1 が最初に 2111 環境に同期された場合、最大実行時間は 60 分です。 その後、環境をバージョン 2203 にアップグレードし、最大実行時間を 30 分に設定します。 Update 1 実行時間は 60 分のままです。 ただし、新しい更新プログラム ( Update 2) が同期されると、新しい 30 分の実行時間が与えられます。
  • 更新プログラムの最大実行時間を手動で変更する必要がある場合は、その更新プログラム のソフトウェア更新プログラム設定を構成 できます。

ソフトウェア更新プログラムのメンテナンス期間を計画する

ソフトウェア更新プログラムのインストール専用のメンテナンス期間を追加します。 この操作により、ソフトウェア更新プログラムの一般的なメンテナンス期間と別のメンテナンス期間を構成できます。 一般的なメンテナンス期間とソフトウェア更新プログラムのメンテナンス期間の両方を構成すると、クライアントはソフトウェア更新プログラムのメンテナンス期間にのみソフトウェア更新プログラムをインストールします。

この動作を変更して、一般的なメンテナンス期間中にソフトウェア更新プログラムをインストールできるようにすることができます。 このクライアント設定の詳細については、「 ソフトウェア更新プログラムのクライアント設定」を参照してください。

メンテナンス期間の詳細については、「 メンテナンス期間の使用方法」を参照してください。

ソフトウェア更新プログラムのインストール後の Windows 10 クライアントの再起動オプション

再起動が必要なソフトウェア更新プログラムが Configuration Manager を使用して展開およびインストールされると、クライアントは保留中の再起動をスケジュールし、再起動ダイアログ ボックスを表示します。

Configuration Manager ソフトウェア更新プログラムの保留中の再起動がある場合、[更新と再起動] および [更新とシャットダウン] のオプションは、Windows 10 コンピューターの Windows 電源オプションで使用できます。 これらのオプションのいずれかを使用した後、コンピューターの再起動後、再起動ダイアログは表示されません。 特定の状況では、オペレーティング システムが保留中の再起動オプションを削除する場合があります。 これは、Windows 10 の高速スタートアップ機能が有効になっている場合に発生する可能性があります。 詳細については、「Windows 10 の高速スタートアップで Updates がインストールされないことがある」を参照してください。

サービス スタック更新後のソフトウェア更新プログラムの評価

バージョン 2002 以降、Configuration Manager は、サービス スタック更新プログラム (SSU) が複数の更新プログラムのインストールの一部であるかどうかを検出します。 SSU が検出されると、まずインストールされます。 SSU をインストールした後、残りの更新プログラムをインストールするためにソフトウェア更新プログラムの評価サイクルが実行されます。 この変更により、サービス スタック更新プログラムの後に依存する累積的な更新プログラムをインストールできます。 インストールの間にデバイスを再起動する必要はなく、追加のメンテナンス期間を作成する必要もありません。 SSU は、ユーザー以外が開始したインストールに対してのみ最初にインストールされます。 たとえば、ユーザーがソフトウェア センターから複数の更新プログラムのインストールを開始した場合、SSU が最初にインストールされない可能性があります。 Configuration Manager バージョン 2002 を使用している場合、Windows Server オペレーティング システムでは SSU の初めのインストールは使用できません。 この機能は、Windows Server オペレーティング システム用の Configuration Manager バージョン 2006 に追加されました。

Office やサード パーティの更新プログラムなど Windows 以外の更新プログラムが同じ期限であり、インストール後に再起動が必要な場合、コンピューターはフル スキャンを再度実行する前に再起動が必要であるため、SSU の直後に累積的な更新プログラムがインストールされないことがあります。 これは、展開設定の [ この展開でシステムの再起動が必要な更新プログラムがある場合、再起動後に更新展開の評価サイクルを実行する ] チェック ボックスをオンにすることで実現できます。

次の手順

ソフトウェア更新プログラムの計画を立てたら、「 ソフトウェア更新プログラム管理の準備」を参照してください。

サービスとしての Windows の管理の詳細については、「サービスとしての Configuration Manager の基礎」および「サービスとしてのサービスとしての Windows」を参照してください。