エンタープライズ環境でWindows Server Update Services（WSUS）を活用する方法

エンタープライズ環境は、一般的なコンシューマー向けの環境とは大きく異なります。サーバー管理者であるあなたには、組織内のデバイスに届くコンテンツや更新プログラムをフィルタリングするための追加の仕組みが必要です。管理者はWindows Server Update Services（WSUS）を使用して更新プログラムをダウンロードし、徹底的なテストと詳細な評価を行った上で、組織内の複数のデバイスへ適用していきます。本記事では、エンタープライズ環境でWindows Server Update Servicesを活用する方法について詳しく解説します。

エンタープライズ環境におけるWSUS

WSUSサーバーは、Windowsのサービスやコンポーネント、さらにはMicrosoft OfficeやSQL Serverなどのアプリケーションに関連する多数の更新プログラムをダウンロードします。管理者は、これらの更新プログラムを組織ネットワーク上の他のデスクトップクライアントへ展開する際、慎重に選別しなければなりません。すべての更新プログラムは、下位レベルのデバイスへの配布を承認する前に、一定の基準に基づいたテストと評価が求められます。

WSUSの展開シナリオ

WSUSには柔軟な展開シナリオが複数用意されており、ダイヤルアップ接続環境の小規模企業から、多数のサイトにユーザーが分散する大規模企業まで、さまざまな規模の組織で活用できます。

単一WSUSサーバーのシナリオでは、管理者は社内ファイアウォールの内側に単一のWSUSサーバーを設置できます。このサーバーはMicrosoftのサーバーから直接更新プログラムを取得し、組織内の他のクライアントコンピューターに対する配信サーバーとして機能します。

比較的規模の大きな組織では、複数のWSUSサーバーを運用するケースが一般的です。さらに、Microsoft Updateサーバーへ接続できるサーバーの数を設定することで、個々のWSUSサーバーに異なる役割を割り当てることも可能です。例えば、独立して管理される複数のWSUSサーバーがあり、各サーバーがそれぞれMicrosoft Updateサーバーから個別にコンテンツを同期する構成もあります。以下の図は、複数のWSUSサーバーがそれぞれ独立してMicrosoft Updateサーバーへ接続している様子を示したものです。

ただし、セキュリティと管理効率の観点からは、Microsoftサーバーから直接更新プログラムを取得できるWSUSサーバーは1台のみとし、それを他のダウンストリームWSUSサーバー向けの一元的な供給源とする構成が推奨されます。この場合、インターネットに露出するのは1台のサーバーだけであり、そのサーバーが組織のイントラネット経由で他のWSUSサーバー向けにコンテンツを同期します。

WSUSのその他のメリット

WSUSサーバーは、管理者が承認した更新プログラムに関する詳細なレポートを生成する機能も備えています。最近承認された更新プログラムを正常に適用できたコンピューターの数、あるいは適用に失敗したコンピューターの数を把握できるため、各デスクトップクライアントへのパッチ適用タイミングをより効果的に計画できます。

更新管理プロセスを設計する際、理想的なフローは次の4つの段階で構成されます。

• 決定（Determine）： 更新管理の全体設計を行います。組織の構造に基づいて、どのようなレイアウトが最適かを決定します。
• 特定（Identify）： Microsoft Updateサーバーに直接接続しているWSUSサーバー上で利用可能になった新しい更新プログラムを特定します。
• 評価と計画（Evaluate and Plan）： 様々な展開シナリオを想定して更新プログラムの動作を徹底的にテスト・検証し、潜在的な問題点を洗い出します。
• 展開（Deploy）： 他のデスクトップクライアントへの展開を承認します。展開シナリオに応じて、組織内の複数のWSUSサーバーやクライアントへ更新プログラムを配布します。

WSUSサーバーの展開についてさらに詳しく知りたい方は、MicrosoftのTechnetドキュメントを参照するとよいでしょう。

関連記事：Windows ServerでWindows Updateを構成する方法