IT エンジニア向けの Windows 10 関連の勉強用資料です。 Windows Server に搭載されている、更新プログラムの管理機能「Windows Server Update Services (WSUS)」の概要を簡単に紹介します。

1. IT エンジニアのための 流し読み Windows 10
入門！ Windows Server Update Services (WSUS)
2019 年 6 月
太田 卓也
takuya.ohta@outlook.com

2. 本資料について
本資料は技術勉強用の資料として公開しています
マイクロソフトの正式見解であったり、内容をコミットするものではございません。
内容を一部だけ変更して使うなどを控えていただければ、シェアは自由にしていただいて構いません。
ただし、ビジネスでの使用はお控えください。m(_ _)m
太田 卓也 (オオタ タクヤ)
マイクロソフトのエンジニア
現在は主に Windows 10 を担当しています
何かあれば遠慮なく ☺
takuya.ohta@outlook.com

3. Windows Server Update Services (WSUS)
https://docs.microsoft.com/ja-jp/windows-server/administration/windows-
server-update-services/get-started/windows-server-update-services-wsus
本資料は WSUS の「概要」 を簡単にまとめています。
参考資料とかは特にありません・・・（笑）

4. Windows Server Update Services (WSUS) とは？
更新プログラムの展開・管理の Windows Server の機能
更新プログラムの管理
◼ 組織の更新プログラムの適用状況を管理
◼ 更新プログラムの配信をコントロール
運用コスト削減
◼ 無償利用可能 (サーバーライセンスと CAL のみ)
◼ 自動適用による運用負荷軽減
シンプルな設定・管理
◼ 更新プログラムの管理に特化
◼ 必要最低限の機能、設定、レポート

5. WSUS の動作概要
同期
◼ 製品と分類の選択
◼ 更新ファイルの保存設定
◼ 同期元の選択
承認・配信
◼ 更新プログラムの選択
◼ 自動承認
◼ 期日の設定
◼ コンピューターグループ
検出・適用
◼ インストール動作
◼ 更新プログラムの検出間隔
◼ インストール状況の確認
◼ レポート
Microsoft Update WSUS クライアント

6. 自立モード (分散管理) レプリカ モード (集中管理)
管理者 A
拠点 A : WSUS
拠点 C : WSUS拠点 B : WSUS
管理者 B 管理者 C
拠点 B : WSUS 拠点 C : WSUS
拠点 A : WSUS
管理者 A
拠点 B 独自の
設定・承認
拠点 C 独自の
設定・承認
拠点 A 独自の
設定・承認
拠点全部の
設定・承認
拠点 A 同様の
設定・承認
拠点 A 同様の
設定・承認
WSUS は階層構成をとることも可能

7. 同期 – 製品と分類
◼ Windows
◼ Office
◼ Exchange
◼ SQL Server
◼ System Center
製品と分類
管理対象とする製品・分類を選択し、組織に必要なものに限
定することが可能
これにより更新プログラムの保存容量や管理コストを減らすことが
出来る
製品 (例) 分類 (例)
◼ Service Packs
◼ Upgrades
◼ セキュリティ問題の修正プログラム
◼ 修正プログラム集
◼ 重要な更新
◼ 定義更新プログラム
同期 承認・配信 検出・適用

8. 更新ファイルと更新言語
更新プログラム本体をダウンロードをするか、どのタイミングで保存
するかを選択可能
また、対象とする言語や高速インストールファイルを使用するかと
いったオプションも選択可能
特定の更新プログラムのみ対応した差分配信機能
クライアントに対して、更新プログラムの差分のみ配信することで、
例えば累積更新プログラムなどを配信する際に、大幅にダウン
ロード量を減らすことが可能
Tips : 高速インストールファイル
同期 承認・配信 検出・適用
同期 – 更新ファイルの保存設定

9. 同期 – 更新元およびプロキシサーバー
更新元およびプロキシサーバー
WSUS サーバーが更新プログラムの一覧を同期する元の選択
プロキシサーバーを使用する場合は指定が可能
Microsoft Update
WSUS
直接 Microsoft Update 上位の WSUS から
本社 WSUS
支店 WSUS
同期 承認・配信 検出・適用

10. 更新プログラムの承認
WSUS に同期された更新プログラムのカタログより、
必要な更新プログラムを選択して承認・拒否をする
これによりクライアントへ配信制御が行われる
◼ インストールの承認
適用先のグループを指定しインストール承認
必要に応じて期日指定
◼ 未承認
検出は行われるがインストールは行われない
◼ 拒否
インストールおよび検出も行われない
◼ 削除の承認
一度承認してしまったものをアンインストールすることができる。
※ 対応している更新プログラムの場合のみ
同期 承認・配信 検出・適用
承認・配信 – 配信する更新プログラムを選択可能

11. コンピューター グループの追加
グループを作成し、各コンピューターが所属するグ
ループを指定することも可能
作成したグループに対して更新プログラムを配信
することができる
同期 承認・配信 検出・適用
承認・配信 – グループを分けて配信
事前にグループ ポリシーやレジストリ設定より所属
するコンピューター グループを指定することも可能。
Tips : コンピューター グループ

12. 自動承認
承認作業を自動化することが可能
複数の規則を作成することも可能
以下の組み合わせで設定可能
◼ 特定のグループ (自身で作成したグループ)
◼ 特定の分類 (修正プログラム集、重要な更新など)
◼ 特定の製品 (Windows Office など)
◼ 期日 (何日後の何時までにインストールするか)
同期 承認・配信 検出・適用
承認・配信 – 自動承認も可能
自動承認を設定することで、クライアントへも自
動的に配信が可能に。
毎月の作業が完全自動化される。
Tips : 自動承認

13. 自動更新を構成する
グループ ポリシーを用いてクライアントのインストール動作
を指定可能。
2 – ダウンロードとインストールを通知
3 – 自動ダウンロードしインストールを通知
4 – 自動ダウンロードし、インストール日時を指定
5 – ローカルの管理者の設定選択を許可
[コンピューターの構成]
➢ [Windows コンポーネント]
➢ [Windows Update]
◼ 自動更新を構成する
◼ イントラネットの Microsoft 更新サービスの場所を指定する
Tips : グループ ポリシー
WSUS を利用するには、
以下の 2 つのポリシーの設定が必要。
同期 承認・配信 検出・適用
検出・適用 – クライアントのインストール動作

14. 自動更新の検出頻度
既定では 22 時間以内に 1 回、更新プログラムの確
認を行う。
各クライアントは、設定された値の 0 ～ 20% を毎回
ランダムに変動させ、負荷が集中しない動作となって
いる。
同期 承認・配信 検出・適用
検出・適用 – クライアントの検出頻度
間隔を短くしたい場合、最短で 1 時間に 1 回ま
で変更可能。
ただし、サーバー、ネットワーク負荷を考慮すると短
くとも 1 日 3 回 (8 時間) 程度を推奨。
Tips :自動更新の検出頻度

15. 分類ごとの適用状況
WSUS の管理画面にて、更新プログラムの分類ごとや、
自身で作成したビューで適用状況が確認可能。
更新プログラムの適用状況
管理画面の各更新プログラムの画面で、その更新プログラム
ごとの適用状況を確認することが可能。
コンピューターごとの適用状況
管理画面のコンピューター グループを選択することで、各コン
ピューターまたはグループの適用状況を確認することが可能。
同期 承認・配信 検出・適用
検出・適用 – クライアントの適用状況

16. 更新のレポート
特定の更新プログラムがインストールされていない PC の一覧
をリストアップなどの確認
コンピューター レポート
特定クライアントの更新プログラム適用状況の確認
やグループ別の更新プログラム適用状況の確認
同期レポート
同期が正しく完了したかどうかの確認や同期した更新プログ
ラムの一覧をリストアップ
レポート
レポート機能を用いて、別途レポートとして出力することも可
能。Excel や PDF 形式での保存も可能。
同期 承認・配信 検出・適用
検出・適用 – レポートの実行

17. Windows Server Update Service
よくある質問
Q. Windows 10 の機能更新プログラムをずっと適用させないことも可能？
A. 可能です。
WSUS サーバーで承認しない限りは配信されません。ただし Windows 10 の各バージョンのサポートは 18 ヶ月であり、
18 ヶ月経過後から更新プログラムがリリースされなくなりますのでご注意ください。
Q. AD は必須？ ワークグループのクライアントは管理できる？
A. AD は必須ではなく、ワークグループの管理も可能です。
ローカル ポリシーやレジストリで対象の WSUS サーバーを指定が可能です。
Q. 「配信の最適化」と「BranchCache」どちらがいいの？
A. どちらも性能に大差はありません。
オンプレミス環境であれば BranchCache の方が管理はし易いパターンが多いです。
Q. Office 365 ProPlus の更新は管理できますか？
A. 管理できません。
Office 365 ProPlus はインターネットでの管理が既定となりますが、SCCM であれば管理は可能です。

18. Appendix :
Windows Server Update Services (WSUS)
ネットワークを考慮した運用オプション負荷分散

19. ネットワークを考慮した運用オプション 1 – グループを分けて配信
グループ A : 一週目に配信
グループを分けて配信
クライアントをいくつかのグループに分け、
配信を段階的に行う。
ダウンロードを行うクライアントの台数を制限することで、
ネットワーク圧迫のピークを分散させる。
グループ B : 二週目に配信
グループ C : 三週目に配信 グループ D : 四週目に配信

20. クライアントの BITS 帯域制御を設定する
クライアントが更新プログラムをダウンロードする際には、
OS に搭載されている ”Background Intelligent
Transfer Service” (BITS) サービスを利用している。
BITS には使用するネットワーク帯域の制御が可能であり、
グループ ポリシーで設定を行うことが可能。
[コンピューターの構成]
➢ [管理用テンプレート]
➢ [ネットワーク]
➢ [バックグラウンド インテリジェント転送サービス]
◼ BITS バックグラウンド転送の最大ネットワーク帯域幅を制限する
ネットワークを考慮した運用オプション 2 – BITS 帯域制御を設定

21. ネットワークを考慮した運用オプション 3 – 高速インストールファイルの使用
高速インストール ファイルの使用
対応している更新プログラムで使用可能
(品質更新プログラムは対応)
そのクライアントが必要とする差分のみのファイルの
ダウンロード
これにより、通常のファイルにくらべネットワーク トラ
フィックを削減できる
Microsoft Update WSUS クライアント
300 MB 30 MB
注 : 上記の容量 (MB) は実際のサイズではなく説明用の例となります。
高速インストール ファイルを使用して、実際にクライアントに配布される各ファイルのサイズは、対象のクラ
イアントの状態によっても変化します。
Microsoft Update WSUS クライアント
100 MB
高速インストール ファイルが有効の場合
高速インストール ファイルが無効の場合
100 MB
WSUS サーバーの既定の設定では無効。
「更新ファイルの保存設定」にて変更が可能
Tips : 高速インストール ファイル

22. ネットワークを考慮した運用オプション 4 – Peer to Peer 技術の利用
WSUS
更新プログラム
クライアント同士で
更新プログラムのキャッシュを共有
Peer to Peer 技術 の利用
クライアント – クライアント間 (Peer to Peer) でキャッシュを共有し、
サーバー - クライアント間のトラフィックを削減
WSUS では 2 種類の技術が利用可能
◼ BranchCache
◼ 配信の最適化 (Delivery Optimization)
22

23. 配信の最適化 BranchCache
概要
Windows 10 の Peer to Peer を利用した新しい配信方法。
ローカルやインターネット上からもコンテンツ取得が可能。
Windows Server 2008 R2、Windows 7 以降で提供されている、Peer
to Peer を利用した帯域幅最適化テクノロジー。
サポート OS Windows 10
Windows 7 / Windows Server 2008 R2
Windows 8.1 / Windows Server 2012
Windows 10 / Windows Server 2016
使用可能 機能更新プログラム (FU)、品質更新プログラム (QU)
機能更新プログラム (FU)、品質更新プログラム (QU)
(※ 更新プログラムの利用 (BITS) のみであれば Pro でも使用可能)
また、Web サーバー、ファイルサーバー、アプリケーションサーバーなど様々な
ファイルで使用可能。(※ Enterprise 以上が必要)
動作モード 分散型 分散型、ホスト型 (Windows Sever が必要)
範囲 インターネット、LAN、グループ LAN
設定方法 グループ ポリシー グループ ポリシー と サーバーで機能追加
帯域制御
配信の最適化のグループ ポリシー設定にて制御可能。
KB 単位でアップロードやダウンロードの帯域制御。
BITS のグループ ポリシー設定にて制御可能。
Kbps 単位での帯域制限や時間帯など
キャッシュサイズ GB 単位でのサイズ指定やドライブの指定が可能 ディスクの何%を割り当てるか設定可能
ファイルサイズ 最小 1 ～ 100,000 MB で設定可能 最小 64 KB のブロック単位
参考 : オプション – 配信の最適化 vs BranchCache
利用環境に応じて選択が可能。負荷軽減効果はどちらを選んでも大差はない。

24. ネットワークを考慮した運用オプション 番外編 – IIS での制限
WSUS 上の IIS で制限を行う
WSUS サーバーは IIS の機能を利用して配信を行っている
このため、IIS 設定を変更することで、ダウンロードの帯域
制限やセッション数の制限を行うことが可能
IIS の設定変更は WSUS 側で想定されているも
のではない。技術的には問題がなく実績もあるが、
制限がかかった際などは WSUS やクライアントで
エラー出力がされるなどの影響がある。
Tips : IIS の設定変更について

25. IT エンジニアのための 流し読み Windows 10
入門！Windows Server Update Services (WSUS)
END
太田 卓也
takuya.ohta@outlook.com