Configuration Manager (現在のブランチ) に適用
Configuration Manager のソフトウェア更新プログラムには、ソフトウェア更新プログラムを追跡して企業内のクライアント コンピューターに適用する複雑なタスクを管理するのに役立つ一連のツールとリソースが用意されています。 運用効率を維持し、セキュリティの問題を克服し、ネットワーク インフラストラクチャの安定性を維持するには、効果的なソフトウェア更新管理プロセスが必要です。 ただし、テクノロジの性質が変化し、新しいセキュリティ脅威が絶えず出現しているため、効果的なソフトウェア更新プログラムの管理には、一貫した継続的な注意が必要です。
環境にソフトウェア更新プログラムを展開する方法を示すシナリオ例については、「 セキュリティ ソフトウェア更新プログラムを展開するシナリオの例」を参照してください。
ソフトウェア更新プログラムの同期
Configuration Manager でのソフトウェア更新プログラムの同期は、Microsoft Update に接続して、ソフトウェア更新プログラムのメタデータを取得します。 最上位サイト (サーバーの全体管理サイトまたはスタンドアロンのプライマリ サイト) は、スケジュールに従って、または Configuration Manager コンソールから手動で同期を開始したときに Microsoft Update と同期します。 Configuration Manager がトップレベル サイトでソフトウェア更新プログラムの同期を完了すると、子サイト (存在する場合) でソフトウェア更新プログラムの同期が開始されます。 各プライマリ サイトまたはセカンダリ サイトで同期が完了すると、ソフトウェアの更新ポイントの場所をクライアント コンピューターに提供するサイト全体のポリシーが作成されます。
注:
ソフトウェア更新プログラムは、クライアント設定で既定で有効になっています。 ただし、[ クライアント クライアントでソフトウェア更新プログラムを有効にする ] 設定を [ いいえ ] に設定してコレクションまたは既定の設定でソフトウェア更新プログラムを無効にした場合、ソフトウェア更新ポイントの場所は関連付けられているクライアントに送信されません。 詳細については、「 ソフトウェア更新プログラムのクライアント設定」を参照してください。
クライアントがポリシーを受信すると、クライアントはソフトウェア更新プログラムに準拠していないかスキャンを開始し、情報を Windows Management Instrumentation (WMI) に書き込みます。 コンプライアンス情報は管理ポイントに送信され、管理ポイントはサイト サーバーに情報を送信します。 コンプライアンス評価の詳細については、このトピックの 「ソフトウェア更新プログラムのコンプライアンス評価 」セクションを参照してください。
プライマリ サイトに複数のソフトウェアの更新プログラム ポイントをインストールできます。 インストールする最初のソフトウェア更新ポイントが同期ソースとして構成されます。 これは、Microsoft Update または Configuration Manager 階層にない WSUS サーバーから同期されます。 サイトの他のソフトウェア更新ポイントは、最初のソフトウェア更新ポイントを同期ソースとして使用します。
注:
ソフトウェア更新プログラムの同期プロセスが最上位サイトで完了すると、データベース レプリケーションを使用して、ソフトウェア更新プログラムのメタデータが子サイトにレプリケートされます。 Configuration Manager コンソールを子サイトに接続すると、Configuration Manager はソフトウェア更新プログラムのメタデータを表示します。 ただし、サイトにソフトウェア更新ポイントをインストールして構成するまで、クライアントはソフトウェア更新プログラムのコンプライアンスをスキャンせず、クライアントはコンプライアンス情報を Configuration Manager に報告せず、ソフトウェア更新プログラムを正常に展開できません。
トップレベル サイトでの同期
最上位サイトのソフトウェア更新プログラム同期プロセスでは、[ソフトウェアの更新ポイント コンポーネントのプロパティ] で指定した条件を満たすソフトウェア更新プログラムのメタデータが Microsoft Update から取得されます。 条件は、最上位サイトでのみ構成します。
注:
Microsoft Updates の代わりに、Configuration Manager 階層にない既存の WSUS サーバーを同期ソースとして指定できます。
次の一覧は、トップレベル サイトでの同期プロセスの基本的な手順を示しています。
ソフトウェア更新プログラムの同期が開始されます。
WSUS 同期マネージャーは、ソフトウェアの更新ポイントで実行されている WSUS に要求を送信して、Microsoft Update との同期を開始します。
ソフトウェア更新プログラムのメタデータは Microsoft Update から同期され、変更はすべて WSUS データベースに挿入または更新されます。
WSUS の同期が完了すると、WSUS 同期マネージャーによって WSUS データベースから Configuration Manager データベースにソフトウェア更新プログラムのメタデータが同期され、前回の同期以降の変更がサイト データベースに挿入または更新されます。 ソフトウェア更新プログラムのメタデータは、構成アイテムとしてサイト データベースに格納されます。
ソフトウェア更新プログラムの構成アイテムは、データベース レプリケーションを使用して子サイトに送信されます。
同期が正常に完了すると、WSUS 同期マネージャーはステータス メッセージ 6702 を作成します。
WSUS 同期マネージャーは、同期要求をすべての子サイトに送信します。
WSUS 同期マネージャーは、サイトの他のソフトウェア更新ポイントで実行されている WSUS に一度に 1 つずつ要求を送信します。 他のソフトウェア更新ポイント上の WSUS サーバーは、サイトの既定のソフトウェア更新ポイントで実行されている WSUS のレプリカになるように構成されています。
子のプライマリ サイトとセカンダリ サイトでの同期
最上位サイトのソフトウェア更新プログラムの同期プロセス中に、ソフトウェア更新プログラムの構成アイテムは、データベース レプリケーションを使用して子サイトにレプリケートされます。 プロセスの最後に、トップレベル サイトが同期要求を子サイトに送信し、子サイトが WSUS 同期を開始します。 次の一覧に、子プライマリ サイトまたはセカンダリ サイトでの同期プロセスの基本的な手順を示します。
WSUS 同期マネージャーは、トップレベル サイトから同期要求を受信します。
ソフトウェア更新プログラムの同期が開始されます。
WSUS 同期マネージャーは、ソフトウェアの更新ポイントで実行されている WSUS に対して同期を開始する要求を行います。
子サイトのソフトウェア更新ポイントで実行されている WSUS は、親サイトのソフトウェア更新ポイントで実行されている WSUS からソフトウェア更新プログラムのメタデータを同期します。
同期が正常に完了すると、WSUS 同期マネージャーはステータス メッセージ 6702 を作成します。
WSUS 同期マネージャーはプライマリ サイトから子セカンダリ サイトに同期要求を送信します。 セカンダリ サイトは、親プライマリ サイトとのソフトウェア更新プログラムの同期を開始します。 セカンダリ サイトは、親サイトで実行されている WSUS のレプリカとして構成されます。
WSUS 同期マネージャーは、サイトの他のソフトウェア更新ポイントで実行されている WSUS に一度に 1 つずつ要求を送信します。 他のソフトウェア更新ポイント上の WSUS サーバーは、サイトの既定のソフトウェア更新ポイントで実行されている WSUS のレプリカになるように構成されています。
ソフトウェア更新プログラムのコンプライアンス評価
Configuration Manager でクライアント コンピューターにソフトウェア更新プログラムを展開する前に、クライアント コンピューターでソフトウェア更新プログラム準拠のスキャンを開始します。 ソフトウェア更新プログラムごとに、更新プログラムのコンプライアンス状態を含む状態メッセージが作成されます。 状態メッセージは管理ポイントに一括で送信され、次にサイト サーバーに送信され、そこでコンプライアンス状態がサイト データベースに挿入されます。 ソフトウェア更新プログラムのコンプライアンス状態が Configuration Manager コンソールに表示されます。 ソフトウェア更新プログラムが必要なコンピューターに、ソフトウェア更新プログラムを展開してインストールできます。 次のセクションでは、コンプライアンス状態に関する情報を提供し、ソフトウェア更新プログラムのコンプライアンスをスキャンするプロセスについて説明します。
ソフトウェア更新プログラムのコンプライアンス状態
以下では、ソフトウェア更新プログラムの Configuration Manager コンソールに表示される各コンプライアンス状態を一覧表示し、説明します。
必須
ソフトウェア更新プログラムがクライアント コンピューターに適用可能であり、必須であることを指定します。 ソフトウェア更新プログラムの状態が [必須] の場合は、次のいずれかの条件に該当する場合があります。
ソフトウェア更新プログラムがクライアント コンピューターに展開されていません。
ソフトウェア更新プログラムがクライアント コンピューターにインストールされました。 ただし、最新の状態メッセージはまだサイト サーバーのデータベースに挿入されていません。 インストールが完了すると、クライアント コンピューターは更新プログラムを再スキャンします。 クライアントが更新された状態を管理ポイントに送信し、管理ポイントが更新された状態をサイト サーバーに転送するまでに、最大 2 分間の遅延が発生する場合があります。
ソフトウェア更新プログラムがクライアント コンピューターにインストールされました。 ただし、ソフトウェア更新プログラムのインストールには、更新が完了する前にコンピューターを再起動する必要があります。
ソフトウェア更新プログラムがクライアント コンピューターに展開されましたが、まだインストールされていません。
必須ではありません
ソフトウェア更新プログラムがクライアント コンピューターに適用されないように指定します。 そのため、ソフトウェアの更新は必要ありません。
Installed
ソフトウェア更新プログラムがクライアント コンピューターに適用可能であり、クライアント コンピューターにソフトウェア更新プログラムが既にインストールされていることを指定します。
不明
通常、次のいずれかの原因により、サイト サーバーがクライアント コンピューターから状態メッセージを受信していないことを指定します。
クライアント コンピューターは、ソフトウェア更新プログラムのコンプライアンスを正常にスキャンできませんでした。
クライアント コンピューターでスキャンは正常に終了しました。 ただし、状態メッセージのバックログが原因の場合など、状態メッセージはまだサイト サーバーで処理されていません。
クライアント コンピューターではスキャンは正常に終了しましたが、状態メッセージはまだ子サイトから受信されていません。
クライアント コンピューターではスキャンは正常に終了しましたが、状態メッセージ ファイルが何らかの形で破損しており、処理できませんでした。
ソフトウェア更新プログラムのスキャン コンプライアンス プロセス
ソフトウェアの更新ポイントがインストールされて同期されると、サイト全体のコンピューター ポリシーが作成され、Configuration Manager ソフトウェア更新プログラムがサイトに対して有効になっていることをクライアント コンピューターに通知します。 クライアントがコンピューター ポリシーを受信すると、コンプライアンス評価スキャンが次の 2 時間以内にランダムに開始するようにスケジュールされます。 スキャンが開始されると、Software Updates Client Agent プロセスはスキャン履歴を消去し、スキャンに使用する WSUS サーバーの検索要求を送信し、ローカル グループ ポリシーを WSUS サーバーの場所で更新します。
注:
インターネットベースのクライアントは、SSL を使用して WSUS サーバーに接続する必要があります。
スキャン要求が Windows Update エージェント (WUA) に渡されます。 次に、WUA はローカル ポリシーに記載されている WSUS サーバーの場所に接続し、WSUS サーバーで同期されているソフトウェア更新プログラムのメタデータを取得し、クライアント コンピューターをスキャンして更新プログラムを確認します。 Software Updates Client Agent プロセスは、コンプライアンスのスキャンが完了したことを検出し、前回のスキャンの後でコンプライアンス状態が変化した各ソフトウェア更新プログラムの状態メッセージを作成します。 状態メッセージは、15 分ごとに管理ポイントに一括で送信されます。 その後、管理ポイントは状態メッセージをサイト サーバーに転送し、サイト サーバーから状態メッセージがサイト サーバーのデータベースに挿入されます。
ソフトウェア更新プログラムへの準拠のための最初のスキャンの後、スキャンは構成されたスキャン スケジュールで開始されます。 ただし、クライアントが Time to Live (TTL) 値で示す期間内にソフトウェア更新プログラムに準拠しているかどうかをスキャンした場合、クライアントはローカルに保存されているソフトウェア更新プログラムのメタデータを使用します。 最後のスキャンが TTL 外の場合、クライアントはソフトウェアの更新ポイントで実行されている WSUS に接続し、クライアントに保存されているソフトウェア更新プログラムのメタデータを更新する必要があります。
スキャン スケジュールを含めて、ソフトウェア更新プログラムへの準拠のスキャンは、次の方法で開始できます。
ソフトウェア更新プログラムのスキャン スケジュール: ソフトウェア更新プログラムのコンプライアンスのスキャンは、Software Updates クライアントエージェント設定で構成されている構成済みのスキャンスケジュールから開始されます。 Software Updates クライアント設定を構成する方法の詳細については、「Software Updates クライアント設定」を参照してください。
Configuration Managerプロパティ アクション: ユーザーは、クライアント コンピューターの [Configuration Manager プロパティ] ダイアログ ボックスの [アクション] タブで、ソフトウェア Updates スキャン サイクルまたはソフトウェア Updates展開評価サイクル アクションを開始できます。
展開の再評価スケジュール: 展開の評価とソフトウェア更新プログラムのコンプライアンスのスキャンは、Software Updates クライアント エージェントの設定で構成される、構成された展開の再評価スケジュールから始まります。 Software Updates クライアント設定の詳細については、「Software Updates クライアント設定」を参照してください。
更新プログラム ファイルをダウンロードする前に: クライアント コンピューターが新しく必要な展開の割り当てポリシーを受け取ると、Software Updates Client Agent はソフトウェア更新プログラム ファイルをローカル クライアント キャッシュにダウンロードします。 ソフトウェア更新プログラム ファイルをダウンロードする前に、クライアント エージェントはスキャンを開始して、ソフトウェア更新プログラムが引き続き必要であることを確認します。
ソフトウェア更新プログラムのインストール前: ソフトウェア更新プログラムをインストールする直前に、Software Updates Client Agent がスキャンを開始して、ソフトウェア更新プログラムがまだ必要であることを確認します。
ソフトウェア更新プログラムのインストール後: ソフトウェア更新プログラムのインストールが完了した直後に、Software Updates Client Agent はスキャンを開始してソフトウェア更新プログラムが不要になったことを確認し、ソフトウェア更新プログラムがインストールされたことを示す新しい状態メッセージを作成します。 インストールが完了するが再起動が必要な場合、状態メッセージには、クライアント コンピューターが再起動が保留中であることが示されます。
システムの再起動後: クライアント コンピューターがソフトウェア更新プログラムのインストールの完了のためにシステム再起動を保留している場合、Software Updates Client Agent は再起動後にスキャンを開始し、ソフトウェア更新プログラムが不要になったことを確認し、ソフトウェア更新プログラムがインストールされたことを示す状態メッセージを作成します。
有効期間の値
ソフトウェア更新プログラムへの準拠のスキャンに必要なソフトウェア更新プログラムのメタデータはローカル クライアント コンピューターに保存され、既定では最大 24 時間保存されます。 この値は Time to Live (TTL) と呼ばれます。
ソフトウェア更新プログラムのスキャン コンプライアンスの種類
クライアントは、ソフトウェア更新プログラムコンプライアンスのスキャンの開始方法に応じて、オンラインまたはオフラインのスキャン、および強制スキャンまたは非強制スキャンを使用して、ソフトウェア更新プログラムのコンプライアンスをスキャンします。 クライアントが実際に WSUS に接続するかどうかは、以下の 2 つの独立した決定の結果です。
強制または非強制によって、 クライアントがキャッシュされたスキャン結果を再利用するかどうかが決まります。 非強制スキャンでは、最後のスキャンの結果がまだ最新であり TTL 内にあるときに再利用されます。新しいスキャンはキャッシュが古い場合にのみ実行されます。 強制スキャンでは、常に新しいスキャンが実行され、キャッシュは無視されます。
オンラインかオフラインか によって、実行されるスキャンがメタデータを取得する場所が決まります。 オンライン スキャンは、ソフトウェアの更新ポイントで WSUS に接続して、クライアントを評価する前にメタデータを更新します。 オフライン スキャンは、WSUS に接続せずに、ローカルに既に保存されているメタデータを使用してクライアントを評価します。
注:
オンライン は、スキャンが常に行うことではなく、スキャンで許可されていることを記述するものです。 強制されていないオンライン スキャンは、キャッシュされた結果が TTL の外にある場合にのみ WSUS に接続します。 最後のスキャンがまだ TTL 内にある場合、スキャンの種類が オンラインであっても、クライアントはローカル キャッシュから応答し、WSUS に接続しません。 強制オフラインはキャッシュが再利用されないことを意味し、オフラインは、結果のスキャンで WSUS ではなくローカル メタデータが使用されることを意味します。 強制されていないオフライン スキャンは存在しません。
次の図は、2 つの決定がどのように組み合わされるかを示しています。
組み合わせをまとめた表を以下に示します。
| スキャン動作 | 意味 | WSUSに連絡しますか? |
|---|---|---|
| 強制されていないオンライン | キャッシュされた結果がまだ最新で TTL 内の場合は再利用します。それ以外の場合は、WSUS からメタデータを更新します。 | 最後のスキャンが TTL 外のときのみ。 |
| 強制オンライン | TTL に関係なく、常に WSUS からメタデータを更新します。 | いつも。 |
| 強制オフライン | 常にスキャンを実行しますが、ローカル メタデータを使用して評価します。 | しない。 |
ここでは、スキャンを開始するための方法がオンラインかオフラインか、およびスキャンが強制的か非強制的かについて説明します。
ソフトウェア更新プログラムのスキャン スケジュール (強制されないオンライン スキャン)
構成されたスキャン スケジュールで、クライアントはソフトウェアの更新ポイントで実行されている WSUS に接続して、最後のスキャンが TTL 外の場合にのみソフトウェア更新プログラムのメタデータを取得します。
Software Updates Scan Cycle or Software Updates Deployment Evaluation Cycle (強制オンライン スキャン)
クライアント コンピューターは、常にソフトウェア更新ポイントで実行されている WSUS に接続して、クライアント コンピューターがソフトウェア更新プログラムのコンプライアンスをスキャンする前に、ソフトウェア更新プログラムのメタデータを取得します。 スキャンが完了すると、TTL カウンターがリセットされます。 たとえば、TTL が 24 時間の場合、ユーザーがソフトウェア更新プログラムのコンプライアンスのスキャンを開始すると、TTL は 24 時間にリセットされます。
展開の再評価スケジュール (強制されていないオンライン スキャン)
構成された展開の再評価スケジュールで、クライアントはソフトウェアの更新ポイントで実行されている WSUS に接続して、最後のスキャンが TTL 外であった場合にのみソフトウェア更新プログラムのメタデータを取得します。
更新プログラム ファイルをダウンロードする前に (強制されていないオンライン スキャン)
クライアントが必要な展開の更新プログラム ファイルをダウンロードする前に、クライアントはソフトウェアの更新ポイントで実行されている WSUS に接続して、最後のスキャンが TTL 外であった場合にのみソフトウェア更新プログラムのメタデータを取得します。
ソフトウェア更新プログラムのインストール前 (非強制オンライン スキャン)
クライアントが必要な展開でソフトウェア更新プログラムをインストールする前に、クライアントはソフトウェアの更新ポイントで実行されている WSUS に接続して、最後のスキャンが TTL 外であった場合にのみソフトウェア更新プログラムのメタデータを取得します。
ソフトウェア更新プログラムのインストール後 (強制オフライン スキャン)
ソフトウェア更新プログラムがインストールされると、Software Updates Client Agent はローカル メタデータを使用してスキャンを開始します。 クライアントは、ソフトウェア更新プログラムのメタデータを取得するために、ソフトウェアの更新ポイントで実行されている WSUS に接続することはありません。
システムの再起動後 (強制オフライン スキャン)
ソフトウェア更新プログラムがインストールされ、コンピューターが再起動されると、Software Updates Client Agent はローカル メタデータを使用してスキャンを開始します。 クライアントは、ソフトウェア更新プログラムのメタデータを取得するために、ソフトウェアの更新ポイントで実行されている WSUS に接続することはありません。
スキャンは、単一の配置ではなく、カタログ全体を評価します
スキャンは、単一の展開ではなく、ソフトウェアの更新ポイントで同期されているすべての更新プログラムのメタデータに対してクライアントを評価します。 1 回のスキャンにより、新しい展開の更新プログラム、既存の展開の更新プログラム、まったく展開されていない更新プログラムのコンプライアンスが 1 回のパスで生成されます。
その結果、デプロイの数はスキャンの数を変えません。 クライアントが展開の対象として 1 か 10 かにかかわらず、ソフトウェアの更新ポイントに対する 1 回のスキャンで、すべての展開についてクライアントが一度に評価されます。
スキャンはコンプライアンスを更新しますが、インストールには引き続き展開ポリシーが必要です
Software Updates Scan サイクルを実行すると、ソフトウェアの更新ポイントが認識しているすべての更新プログラムのコンプライアンスが更新されます。 ただし、クライアントは、新しく追加した更新プログラムをインストールできるのは、その更新プログラムの展開 (コンピューター) ポリシーも受け取った後にのみです。 コンプライアンスの更新とデプロイでの処理は別の手順です。
すべての更新プログラムのコンプライアンスを更新するには、Software Updates スキャン サイクルを使用します。
新規または変更されたデプロイメントでクライアントにアクションを起こさせるには、マシンポリシーの取得 & 評価サイクル、続いてソフトウェアUpdatesデプロイメント評価サイクルを使用します。
ソフトウェア更新プログラム展開パッケージ
ソフトウェア更新プログラム展開パッケージは、ソフトウェア更新プログラムをネットワーク共有フォルダーにダウンロードし、ソフトウェア更新プログラムのソース ファイルをサイト サーバー上および展開で定義された配布ポイント上のコンテンツ ライブラリにコピーするために使用される手段です。 Download Updates Wizard を使用すると、ソフトウェア更新プログラムをダウンロードして、展開する前に展開パッケージに追加できます。 このウィザードを使用すると、配布ポイントでソフトウェア更新プログラムをプロビジョニングし、クライアントにソフトウェア更新プログラムを展開する前に、展開プロセスのこの部分が成功したことを確認できます。
Deploy Software Updates ウィザードを使用してダウンロードしたソフトウェア更新プログラムを展開すると、展開では、ソフトウェア更新プログラムを含む展開パッケージが自動的に使用されます。 ダウンロードされていないソフトウェア更新プログラムを展開する場合は、Deploy Software Updates Wizard で新規または既存の展開パッケージを指定する必要があり、ウィザードの完了時にソフトウェア更新プログラムがダウンロードされます。
重要
ウィザードで指定する前に、展開パッケージのソース ファイル用の共有ネットワーク フォルダーを手動で作成する必要があります。 各展開パッケージは異なる共有ネットワーク フォルダーを使用する必要があります。
重要
SMS プロバイダーのコンピューター アカウントと、ソフトウェア更新プログラムを実際にダウンロードする管理者ユーザーの両方に、パッケージ ソースに対する 書き込み アクセス許可が必要です。 攻撃者がパッケージ ソース内のソフトウェア更新プログラム ソース ファイルを改ざんするリスクを軽減するために、パッケージ ソースへのアクセスを制限します。
新しい展開パッケージが作成されると、ソフトウェア更新プログラムがダウンロードされる前にコンテンツ バージョンが 1 に設定されます。 パッケージを使用してソフトウェア更新プログラム ファイルをダウンロードすると、コンテンツ バージョンは 2 にインクリメントされます。 したがって、すべての新しい展開パッケージは、コンテンツ バージョン 2 から始まります。 配置パッケージ内のコンテンツが変更されるたびに、コンテンツ バージョンは 1 ずつ増えます。 詳しくは、 コンテンツ管理の基本概念を参照してください。
クライアントは、展開パッケージに関係なく、利用可能なソフトウェア更新プログラムがある配布ポイントを使用して展開にソフトウェア更新プログラムをインストールします。 アクティブな展開で展開パッケージが削除された場合でも、各更新プログラムが少なくとも 1 つの他の展開パッケージにダウンロードされ、クライアントからアクセスできる配布ポイントで利用可能である限り、クライアントは展開にソフトウェア更新プログラムをインストールできます。 ソフトウェア更新プログラムを含む最後の展開パッケージが削除されると、クライアント コンピューターは、更新プログラムが展開パッケージに再度ダウンロードされるまでソフトウェア更新プログラムを取得できません。 更新プログラム ファイルが展開パッケージに含まれていない場合、ソフトウェア更新プログラムは Configuration Manager コンソールに赤い矢印で表示されます。 この条件の更新プログラムが含まれている場合、デプロイメントには二重の赤い矢印が表示されます。
ソフトウェア更新プログラムの展開ワークフロー
環境にソフトウェア更新プログラムを展開する場合、主に手動展開と自動展開の 2 つのシナリオがあります。 通常は、ソフトウェア更新プログラムを手動で展開してクライアント コンピューターのベースラインを作成した後、自動展開を使用してクライアントのソフトウェア更新プログラムを管理します。 次のセクションでは、ソフトウェア更新プログラムの手動および自動展開のワークフローの概要を示します。
ソフトウェア更新プログラムの手動展開
ソフトウェア更新プログラムの手動展開は、Configuration Manager コンソールでソフトウェア更新プログラムを選択し、展開プロセスを手動で開始するプロセスです。 通常、この展開方法は、毎月の継続的なソフトウェア更新プログラムの展開を管理する自動展開ルールを作成する前に、クライアント コンピューターを必要なソフトウェア更新プログラムで最新の状態にしたり、帯域外ソフトウェア更新プログラムの要件を展開したりするために使用します。 次の一覧に、ソフトウェア更新プログラムを手動で展開する場合の一般的なワークフローを示します。
特定の要件を使用するソフトウェア更新プログラムをフィルター処理します。 たとえば、50 台を超えるクライアント コンピューターで必要なすべてのセキュリティ更新プログラムまたは重要なソフトウェア更新プログラムを取得する条件を指定できます。
ソフトウェア更新プログラムを含むソフトウェア更新プログラム グループを作成します。
ソフトウェア更新プログラム グループ内のソフトウェア更新プログラムのコンテンツをダウンロードします。
ソフトウェア更新プログラム グループを手動で展開します。
ソフトウェア更新プログラムの自動展開
自動ソフトウェア更新プログラムの展開は、自動展開ルール (ADR) を使用して構成されます。 通常、この展開方法は、毎月のソフトウェア更新プログラム (通常は火曜日のパッチと呼ばれます) と定義更新プログラムの管理に使用します。 ルールを実行すると、ソフトウェア更新プログラムがソフトウェア更新プログラム グループから削除され (既存のグループを使用している場合)、指定された条件を満たすソフトウェア更新プログラム (たとえば、先週にリリースされたすべてのセキュリティ ソフトウェア更新プログラム) がソフトウェア更新プログラム グループに追加され、ソフトウェア更新プログラムのコンテンツ ファイルがダウンロードされ、配布ポイントにコピーされます。 ソフトウェア更新プログラムはターゲット コレクション内のクライアント コンピューターに展開されます。 次の一覧に、ソフトウェア更新プログラムの自動展開の一般的なワークフローを示します。
次のような展開設定を指定する ADR を作成します。
ターゲット コレクション
ターゲット コレクション内のクライアント コンピューターのソフトウェア更新プログラムのコンプライアンスについて展開を有効にするか、またはレポートするかを決定します
ソフトウェア更新プログラムの条件
評価と展開のスケジュール
ユーザー エクスペリエンス
プロパティのダウンロード
ソフトウェア更新プログラムは、ソフトウェア更新プログラム グループに追加されます。
ソフトウェア更新プログラム グループが指定されている場合は、ターゲット コレクション内のクライアント コンピューターに展開されます。
環境で使用するデプロイメント戦略を決定する必要があります。 たとえば、ADR を作成し、テスト クライアントのコレクションを対象とします。 ソフトウェア更新プログラムがテスト グループにインストールされていることを確認したら、ルールに新しい展開を追加するか、既存の展開のコレクションをより大きなクライアント セットを含むターゲット コレクションに変更できます。 ADR によって作成されるソフトウェア更新プログラム オブジェクトは対話型です。
ADR を使用して展開されたソフトウェア更新プログラムは、ターゲット コレクションに追加された新しいクライアントに自動的に展開されます。
ソフトウェア更新プログラム グループに追加された新しいソフトウェア更新プログラムは、ターゲット コレクション内のクライアントに自動的に展開されます。
ADR のデプロイはいつでも有効または無効にできます。
ADR を作成したら、ルールにデプロイを追加できます。 これは、異なるコレクションに異なる更新プログラムを展開する複雑さを管理するのに役立ちます。 新しい展開ごとに、全機能と展開監視エクスペリエンスが備わっており、次を追加します。
ADR の初回実行時に作成される更新グループと同じ更新グループとパッケージを使用します
別のコレクションを指定できます
次のような一意の配置プロパティがサポートされます。
ライセンス認証日時
期限
エンド ユーザー エクスペリエンスの表示または非表示
このデプロイの個別のアラート
ソフトウェア更新プログラムの展開プロセス
ソフトウェア更新プログラムを展開した後、または自動展開ルールが実行されてソフトウェア更新プログラムを展開すると、展開割り当てポリシーがサイトのコンピューター ポリシーに追加されます。 ソフトウェア更新プログラムは、ダウンロード場所 (インターネット、またはネットワーク共有フォルダー) からパッケージ ソースにダウンロードされます。 ソフトウェア更新プログラムは、パッケージ ソースからサイト サーバー上のコンテンツ ライブラリにコピーされた後、配布ポイント上のコンテンツ ライブラリにコピーされます。
展開のターゲット コレクション内にあるクライアント コンピューターがコンピューター ポリシーを受け取ると、ソフトウェア更新プログラム クライアント エージェントは評価スキャンを開始します。 クライアント エージェントは、展開用の [ ソフトウェアを利用可能な時間 ] 設定のローカル クライアント キャッシュに、必要なソフトウェア更新プログラムのコンテンツを配布ポイントからローカル クライアント キャッシュにダウンロードしてから、ソフトウェア更新プログラムをインストールできるようにします。 オプションの展開 (インストールの期限がない展開) のソフトウェア更新プログラムは、ユーザーが手動でインストールを開始するまでダウンロードされません。
設定された期限が過ぎると、Software Updates Client エージェントはスキャンを実行して、ソフトウェア更新がまだ必要であることを確認します。 次に、クライアント コンピューターのローカル キャッシュをチェックして、ソフトウェア更新プログラムのソース ファイルがまだ使用可能であることを確認します。 最後に、クライアントはソフトウェア更新プログラムをインストールします。 別の展開のためのスペースを確保するためにコンテンツがクライアント キャッシュから削除された場合、クライアントはソフトウェア更新プログラムを配布ポイントからクライアント キャッシュに再ダウンロードします。 ソフトウェア更新プログラムは、構成されているクライアント キャッシュの最大サイズに関係なく、常にクライアント キャッシュにダウンロードされます。 インストールが完了すると、クライアント エージェントはソフトウェア更新プログラムが不要になったことを確認し、ソフトウェア更新プログラムがクライアントにインストールされたことを示す状態メッセージを管理ポイントに送信します。
システムの再起動が必要
既定では、必要な展開のソフトウェア更新プログラムがクライアント コンピューターにインストールされ、インストールを完了するためにシステムの再起動が必要な場合、システムの再起動が開始されます。 期限前にインストールされたソフトウェア更新プログラムの場合、他の理由でそれより前にコンピューターが再起動されない限り、自動システム再起動は期限まで延期されます。 サーバーとワークステーションでは、システムの再起動を抑制できます。 これらの設定は、Deploy Software Updates Wizard または Create Automatic Updates Rule Wizard の User Experience ページで構成されます。
展開の再評価サイクル
既定では、クライアント コンピューターは 7 日ごとに展開の再評価サイクルを開始します。 この評価サイクルでは、クライアント コンピューターによって、既に展開およびインストールされたソフトウェア更新プログラムがスキャンされます。 ソフトウェア更新プログラムが不足している場合、ソフトウェア更新プログラムはローカル キャッシュから再インストールされます。 ソフトウェア更新プログラムがローカル キャッシュで利用できなくなった場合は、配布ポイントからダウンロードされてインストールされます。 サイトのクライアント設定の Software Updates ページで再評価スケジュールを構成できます。
書き込みフィルターを使用する Windows Embedded デバイスのサポート
書き込みフィルターが有効になっている Windows Embedded デバイスにソフトウェア更新プログラムを展開する場合、展開中にデバイスの書き込みフィルターを無効にするかどうかを指定し、展開後にデバイスを再起動できます。 書き込みフィルターが無効になっていない場合、ソフトウェアは一時的なオーバーレイに展開され、別の展開で変更が強制的に保持されない限り、デバイスの再起動時にソフトウェアはインストールされなくなります。
注:
ソフトウェア更新プログラムを Windows Embedded デバイスに展開するときは、デバイスがメンテナンス期間が構成されているコレクションのメンバーであることを確認します。 これにより、書き込みフィルターが無効化および有効化されるタイミング、およびデバイスが再起動するタイミングを管理できます。
書き込みフィルターの動作を制御するユーザー エクスペリエンス設定は、[期限時またはメンテナンス期間中に変更をコミットする (再起動が必要)] という名前のチェック ボックスです。
書き込みフィルターを使用する組み込みデバイスを Configuration Manager で管理する方法の詳細については、「Windows Embedded デバイスへのクライアント展開の計画」を参照してください。
Configuration Manager でソフトウェア更新プログラムを拡張する
System Center Updates Publisher を使用して、Microsoft Update から入手できないソフトウェア更新プログラムを管理します。 ソフトウェア更新プログラムを更新サーバーに発行し、Configuration Manager でソフトウェア更新プログラムを同期した後、Configuration Manager クライアントにソフトウェア更新プログラムを展開できます。 Updates Publisher の詳細については、「Updates Publisher 2011」を参照してください。