更新を配る（WSUS）

解説（テキスト版）

はじめに

情シスには、こんな相談が届きます。重要な更新プログラムが出たと聞いた。庁内のパソコンは、もう適用されていますか、と聞かれる。

あるいは、更新を入れたら、業務システムが動かなくなった。どうして勝手に入ったんですか、と言われる。

どちらも、更新を、誰が、いつ、どう配っているかを知らないと、答えられません。今日は、WSUSをお話しします。

一言で言うと

先に、一言でまとめておきます。WSUSは、ウィンドウズ・サーバー・アップデート・サービスの略です。Windowsの更新プログラムを、庁内のサーバーが受け取って、庁内のパソコンに配る仕組みです。

全部のパソコンが、直接インターネットから更新を取りに行かなくて済みます。そして、いつ、どの更新を配るかを、情シスが決められます。

地図のどこか

全体地図でいうと、更新は、三つの層のすべてに関わります。ここが、三層分離の難しいところです。

インターネット接続系は、インターネットから更新を取れます。LGWAN接続系は、直接インターネットには出ません。マイナンバー利用事務系は、ほかの層とは通信しない専用の端末で、そこへの更新は、さらに別の考え方が要ります。

更新の種類

更新プログラムには、種類があります。毎月出る品質の更新や、緊急の修正、そして、機能を大きく変える、バージョンアップです。

月ごとの更新と、バージョンアップでは、業務システムへの影響の大きさが違います。バージョンアップは、とくに、事前の確認に時間がかかります。

Windowsには、サポートの期限があります。期限が切れると、更新が出なくなります。この期限は、第12回でもお話しします。

WSUSの流れ

WSUSの流れは、三段階です。一つ目。WSUSサーバーが、マイクロソフトから、更新プログラムを受け取ります。

二つ目。情シスが、どの更新を、どのパソコンのグループに配るか、承認します。承認したものだけが、配られます。

三つ目。パソコンが、WSUSサーバーに確かめに来て、承認された更新を取っていきます。パソコンにWSUSサーバーの場所を教えるのは、第4回のグループポリシーです。

承認が運用の中心

承認は、運用の中心です。更新を入れると、まれに、業務システムが動かなくなることがあります。そこで、すぐ全部に配らず、一部のパソコンで先に試す運用を取る団体があります。

また、業務システムのベンダーが、動作を確認した更新だけを入れるように、求めている場合もあります。

承認の方針は、団体によって違います。誰が、いつ、何を基準に承認するのかを、確かめてください。

三層ごとの届け方

三層ごとの届け方も、団体によって違います。インターネット接続系は、WSUSサーバーが、マイクロソフトから直接受け取る形が、一般的な例です。

LGWAN接続系やマイナンバー利用事務系は、インターネットから直接は受け取れません。そこで、受け取った更新を、決められた手順で、層の中のWSUSに渡す形があります。

渡す方法は、媒体を使う場合もあれば、決められた経路を使う場合もあります。どの方法なのか、誰が運ぶのかは、必ず確認してください。

止まったときの気づき方

WSUSは、止まっても、画面は何も言いません。気づくための見方が必要です。

WSUSの管理画面には、更新が未適用のパソコンの台数が出ます。ずっと更新されていないパソコンは、電源が入らない、ネットワークにつながらない、ADに参加していない、などの理由があります。

サーバー側でも、ディスクの容量不足などで、止まることがあります。定期的に画面を見る人を、決めておくのが基本です。

これからのWSUS

マイクロソフトのWindows Server 2025の資料には、WSUSは、もう積極的には開発されていない、と書かれています。既存の機能と内容は、これまで通り使えます。

インターネットにつながる端末では、クラウドの管理サービスで更新を配る方法も、選べます。ただ、三層分離の中の端末で、どこまで使えるかは、団体のモデルによって違います。

今あるWSUSを、急いでやめる、という話ではありません。サーバーの更新時期の考え方は、第12回でお話しします。

現場でよくある誤解

現場でよくある誤解を、3つ挙げます。

一つ目。WSUSを入れていれば、更新は自動で全部入る、という誤解です。承認していない更新は配られませんし、再起動を待っている端末もあります。

二つ目。WSUSで配ったから、全部のソフトが最新、という誤解です。WSUSが扱うのはマイクロソフトの製品が中心で、業務ソフトやPDFのソフトなどは、別の更新が要ります。

三つ目。更新は、急いで入れるほどいい、という誤解です。急ぐ更新と、検証してから入れる更新を、分けて考えます。

異動してきたら最初に確かめること

では、異動してきたら、まず何を確かめればいいでしょうか。

一つ目。WSUSサーバーが、どの層に何台あるか。そして、誰が承認しているかを確かめます。

二つ目。未適用のパソコンの台数と、その理由。最後に更新された日も見ます。

三つ目。層をまたいで更新を渡す手順と、その担当者です。担当者が異動すると、手順が分からなくなりがちなので、手順が書いてあるかを確かめます。