WSUS
オンプレミスで更新プログラムを同期・承認・配布するWindows Serverの役割。2024年9月に非推奨と発表された。
Windows Update for Business
Windows Updateからの直接配信を延期・一時停止・期限のポリシーで制御する追加費用なしの仕組み。
Windows Update
Microsoftが更新プログラムを配信するオンラインサービス。
グループポリシー
Active Directoryドメイン環境でWindowsの設定を集中構成する仕組み。
Microsoft Intune
クラウドからPC・モバイルデバイスを管理するMicrosoftのMDMサービス。
Windows Autopatch
更新の承認・スケジュール・展開停止の判断を自動化するMicrosoftのクラウドサービス。
Microsoft Entra ID
Microsoftのクラウド型ID・アクセス管理基盤。
更新リング
延期日数の異なるグループを作り、パイロットから全社へ段階的に更新を広げる運用単位。
リング
波状配布
更新起因の業務アプリ障害
更新プログラムの適用後に業務アプリが動作しなくなる障害。
パッチ起因障害
配信の最適化
同一ネットワーク内のPC同士が更新パッケージをピア共有して帯域消費を抑える仕組み。
回線帯域の逼迫
多数のPCが同時に更新を取得することで拠点回線の帯域が不足すること。
帯域圧迫
閉域ネットワーク
インターネットに接続せずに運用する隔離されたネットワーク。
オフライン環境
切断環境
Windows Internal Database
WSUSが既定で使う組み込みデータベース。Windows Server 2025で非推奨・将来削除予定。
デュアルスキャン
WSUSサーバー指定と延期ポリシーの同居で、スキャン先がWindows Updateへ切り替わるWindows 10の動作。
意図しない更新適用
承認・検証を経ずに更新や機能アップグレードが適用されてしまうこと。
スキャンソースポリシー
機能更新・品質更新・ドライバー・その他製品の分類ごとに、取得元をWSUSかWindows Updateか明示するポリシー。
Specify source service for specific classes of Windows Updates
Microsoft Connected Cache
更新コンテンツをネットワーク内にキャッシュする専用のキャッシュサーバー。
WSUSのドライバー同期
Windows Update/MicrosoftアップデートカタログからWSUSへドライバー更新を同期する機能。終了予告後に撤回され継続中。
品質更新
毎月配信されるセキュリティ修正・不具合修正の更新プログラム。
月例更新
機能更新
年次で配信されるWindowsのバージョンアップ。
更新の一時停止
問題発生時に更新の配布を一時的に止める操作。最大35日で自動的に期限切れになる。
Windows Homeエディション
個人向けのWindowsエディション。管理系機能の多くが対象外。
Windows Server
サーバー向けのWindows。Windows Updateから機能更新を受け取らない。
WSUSからの移行
WSUSの非推奨化を受けて、更新プログラムの管理をWUfBなどの後継手段へ移す取り組み。
WSUSへの新規投資
WSUSを中心に据えたサーバー更改・レプリカ増設・作り込みなどの新規投資。
更新プログラムの管理
組織のPC・サーバーへ更新プログラムを検証・配布・適用させる一連の管理業務。
パッチ管理
ドライバー更新
Windows Update経由で配信されるデバイスドライバーの更新。WUfBでは既定で対象に含まれ、除外も指定できる。
コンプライアンス期限と猶予期間
更新の公開から何日以内にインストール・再起動させるかを強制するポリシー。再起動しないPCへの答え。
期限ポリシー
Autopatch対象ライセンス
Microsoft 365 Business Premium、Windows 10/11 Education A3/A5・Enterprise E3/E5など、Windows Autopatchを含むライセンス帯。
管理者が実質不在の小規模環境
PCが数台〜十数台で、専任のIT管理者がいない環境。管理の空白が最大のリスクになる。
WSUSサーバーの停止・撤去
全クライアントの移行後にWSUSサーバーを停止・撤去すること。1サイクル観察してから畳む。
エディションの棚卸し
各PCのWindowsエディション(Home/Pro等)を一覧化する作業。Home混在はWUfB移行の前提を崩す。
配布サーバーを持たず、Windows Update直接配信をポリシーで制御する後継の本命
更新プログラム自体はWindows Updateから直接配信される
オンプレADのGPOだけで構成でき、移行の地続き度が最も高い
Intuneの更新リング(ポリシーCSP)からも構成できる
WUfBの上で更新の承認・スケジュール・展開停止の判断を自動化する
対象デバイスはIntune登録済み(共同管理可)であることが前提
Microsoft Entra ID P1/P2が必須。オンプレADのみでは使えない
延期日数の異なるWUfBポリシーの組でリングを構成する
パイロットで先に検証し、問題時は一時停止で全社への拡大を止められる
LAN内のピア共有で更新のインターネットダウンロード量を減らす
クラウド配信が成立しない閉域・オフライン環境では、オフライン同期を含めWSUSが引き続き現実解(スタンドアロンパッケージ等の別手段もある)
SQL Serverを指定しない既定構成では、データベースとしてWindows Internal Databaseを使う。WID自体もWindows Server 2025で非推奨
Windows 10でWSUS指定と延期ポリシーが同居すると、WSUSの承認を素通りした更新が入ることがある
更新の種類ごとに取得元を明示することで、意図しないスキャン先の切り替わりを防ぐ
GPO(またはMDMのSetPolicyDrivenUpdateSourceFor各種)で構成する
検証を経ない更新適用は、更新起因のアプリ障害の温床になる
更新コンテンツをネットワーク内の専用サーバーにキャッシュして、さらに帯域を絞れる
配信の最適化のHTTPダウンローダーがConnected Cacheと組み合わせて動く
ドライバー同期は2025年4月終了予定が撤回され、非推奨のまま提供が続いている
品質更新はWUfBで最大30日まで延期でき、リング設計の主対象になる
機能更新はWUfBで最大365日まで延期でき、年次の計画展開に乗せられる
問題発生時の一時停止はWUfBのポリシーで指示でき、最大35日で自動的に期限切れになる
問題のある更新の配布を止めることで、障害が全社に広がるのを食い止める
WUfBの対象はPro/Enterprise/Education系のみで、Homeエディションは対象外
WUfBはクライアントOSが対象のため、Windows Serverの更新管理では引き続きWSUS等が受け皿になる
スキャンソースを明示しないWSUS併用環境では、意図しないWindows 11への機能更新の表示・適用が起こり得る
追加費用がなく、GPOからもIntuneからも構成できる移行先の本命
WSUS併用環境では、WUfBの延期ポリシー展開より先に更新の種類ごとの取得元を明示して、意図しない切り替わりを防ぐ
パイロットで検証してから全社へ広げる段階展開が、更新起因の障害対策の基本形
同期・配布は動いていても非推奨は事実。サーバー更改・レプリカ増設・作り込みはやめ、リプレース時期を見直しの締め切りにする
ドライバー更新は既定で対象に含まれ、ExcludeWUDriversInQualityUpdateで除外もできる
インストール期限と再起動の猶予期間をポリシーで強制でき、「いつまでも再起動しないPC」への答えになる
Business Premium、A3/A5、E3/E5などの対象ライセンスが前提。サポートリクエスト機能はE3以上とF3のみ
管理者不在の小規模環境では管理の空白が最大のリスク。追加費用のないWUfBやWindows Update既定+棚卸しから始め、無理にサーバーを建てない
リングでの切り替えと1〜2か月の並行観察を済ませてからサーバーを畳む。Microsoftも更新の種類ごとの段階移行を推奨している。閉域用に残す場合は役割を限定して台帳に記載する
HomeエディションはWUfBの対象外のため、移行計画の最初の作業はエディションの棚卸しになる