エンタープライズ環境でWSUS(Windows Server Update Services)を活用する方法

エンタープライズ環境は、一般的なコンシューマー向けの利用形態とは大きく異なります。サーバー管理者であるあなたは、組織内のデバイスに届くコンテンツや更新プログラムをフィルタリングするために、追加の防御壁を設ける必要があります。管理者はWindows Server Update Services(WSUS)を利用して更新プログラムをダウンロードし、入念なテストと詳細な評価を経たうえで、組織内の複数のデバイスへ適用していきます。本記事では、エンタープライズ環境でWSUSを活用する方法について解説します。

エンタープライズ環境におけるWindows Server Update Services

WSUSサーバーは、Windowsのサービスやコンポーネント、さらにはMicrosoft OfficeやSQL Serverといったアプリケーションに関する多数の更新プログラムをダウンロードします。管理者は、これらの更新プログラムを組織ネットワーク上の他のデスクトップクライアントへ展開する際、慎重に選別しなければなりません。すべての更新プログラムは、下位層のデバイスへの配布を承認する前に、一定の基準に基づいてテストおよび評価される必要があります。

展開シナリオ

WSUSには柔軟な展開シナリオが複数用意されており、ダイヤルアップ接続の小規模企業から、多数のサイトにユーザーが分散する大規模企業まで、さまざまな規模の組織で活用できます。

単一WSUSサーバーシナリオでは、管理者は社内ファイアウォール内に1台のWSUSサーバーを設置します。このサーバーはMicrosoftのサーバーから直接更新プログラムを取得し、組織レベルの他のクライアントコンピューターに対する配信サーバーとして機能します。

比較的大きな組織では、複数のWSUSサーバーを運用することになるでしょう。さらに、Microsoft Updateサーバーへ接続できるサーバーの台数を設定することも可能で、それに応じて個々のWSUSサーバーに異なる役割を割り当てられます。たとえば、独立して管理される複数のWSUSサーバーがあり、各サーバーがMicrosoft Updateサーバーからそれぞれ個別にコンテンツを同期するケースがあります。以下の図は、複数のWSUSサーバーがそれぞれ独立してMicrosoft Updateサーバーへ接続している様子を示したものです。

ただし、実運用では、Microsoftサーバーから更新プログラムを直接取得できるWSUSサーバーは1台のみとし、それを下流のWSUSサーバー向けの一元的な供給源とする構成が常に推奨されます。この方式では、インターネットに露出するのは1台のサーバーだけであり、そのサーバーが組織のイントラネットを通じて他のWSUSサーバー向けにコンテンツを同期します。セキュリティ面でも管理面でも、この一元化された構成が最も効率的です。

WSUSのその他のメリット

WSUSサーバーは、管理者が承認した更新プログラムに関する詳細なレポートの生成にも利用できます。最近承認された更新プログラムの適用に成功したコンピューターの数、あるいは失敗したコンピューターの数を把握できるため、各デスクトップクライアントへのパッチ適用タイミングをより適切に計画できます。

更新管理プロセスにおいて、理想的なフローは次の4つの段階で構成されます。

• 決定(Determine): 更新管理のレイアウトを策定します。組織の構造に基づいて、どのレイアウトが最適かを決定しましょう。
• 特定(Identify): Microsoft Updateサーバーに直接接続されているWSUSサーバー上で利用可能になった新しい更新プログラムを特定します。
• 評価と計画(Evaluate and Plan): さまざまな展開シナリオに基づいて更新機能を徹底的にテスト・検証し、潜在的な問題を洗い出します。
• 展開(Deploy): 他のデスクトップクライアントへの展開を承認します。展開シナリオに応じて、組織内の複数のWSUSサーバーまたはクライアントへ更新プログラムを配布します。

WSUSサーバーの展開についてさらに詳しく知りたい方は、MicrosoftのTechNetドキュメントを参照するとよいでしょう。

関連記事: Windows ServerでWindows Updateを構成する方法。