WSUSグループポリシーによる更新プログラムの展開設定ガイド

前回の記事では、Windows Server 2012 R2 / 2016 における WSUS サーバーのインストール手順を詳しく解説しました。更新サーバーの構成が完了したら、次は Windows クライアント（サーバーおよびワークステーション）を設定し、インターネット上の Microsoft Update ではなく、社内の WSUS サーバーから更新プログラムを取得するように構成する必要があります。本記事では、Active Directory ドメインのグループ ポリシー（GPO）を使用して、クライアントを WSUS サーバーで管理する方法を説明します。

クライアント側ターゲティングの概要

AD グループ ポリシーを使用すると、管理者がコンピューターを異なる WSUS グループに自動的に割り当てられるため、WSUS 管理コンソールで手動でコンピューターをグループ間移動させたり、グループを最新の状態に維持したりする手間が省けます。クライアントをターゲット WSUS グループに割り当てる仕組みは、クライアント側のレジストリに設定されるラベル（GPO または直接的なレジストリ変更によって設定）に基づいています。この方式を クライアント側ターゲティング（Client-side Targeting） と呼びます。

本記事では、ネットワークで 2 種類の更新ポリシーを運用する想定で解説します。サーバー 用と ワークステーション 用の別々の更新ポリシーです。これら 2 つのグループは、WSUS コンソールの [すべてのコンピューター] セクションで事前に作成しておく必要があります。

WSUS コンソールでのターゲティング モードの設定

まず、WSUS コンソールでコンピューターのグループ分けルール（ターゲティング）を指定します。既定では、コンピューターはサーバー管理者によって手動でグループ分けされます（サーバー側ターゲティング）。これを、グループ ポリシーまたはレジストリ パラメータを使用したクライアント側ターゲティングに変更します。手順は以下のとおりです。

1. WSUS コンソールで [オプション] をクリックし、[コンピューター] を開きます。
2. 「グループ ポリシーまたはコンピューターのレジストリ設定を使用する」 を選択します。

WSUS クライアント用 GPO の作成

グループ ポリシーの管理（GPMC.msc）を開き、以下の 2 つの新しいグループ ポリシーを作成します。

• ServerWSUSPolicy（サーバー用）
• WorkstationWSUSPolicy（ワークステーション用）

Windows サーバー用 WSUS グループ ポリシー

最初にサーバー ポリシー ServerWSUSPolicy を構成します。Windows Update サービスの動作を制御するグループ ポリシー設定は、以下のパスにあります。

コンピューターの構成 → ポリシー → 管理用テンプレート → Windows コンポーネント → Windows Update

このポリシーを適用するすべてのコンピューターは、WSUS コンソールの「Servers」グループに割り当てられます。また、更新プログラムの受信時にサーバーで自動インストールされないようにし、利用可能な更新プログラムをローカル ドライブにダウンロードして、システム トレイに通知を表示し、管理者が手動でインストールを開始（ローカルまたは PSWindowsUpdate モジュールでリモート実行）するまで待機させます。これにより、本番サーバーが管理者の確認なしに自動的に更新をインストールして再起動することを防止できます（通常、これらの作業は月次の計画メンテナンスの一環としてシステム管理者が実行します）。この運用を実現するため、以下のポリシーを設定します。

• 自動更新の構成：有効、3 - 自動的にダウンロードしてインストールを通知する - クライアントが新しい更新プログラムを自動的にダウンロードし、通知します。
• イントラネット Microsoft 更新サービスの場所を指定する：有効。
  更新プログラムの検出に使用するイントラネット更新サービス：https://hq-wsus.woshub.com:8530
  イントラネット統計サーバーを設定する：https://hq-wsus.woshub.com:8530 - ローカル WSUS サーバーと統計サーバーのアドレスを設定（通常は同じ）。
• スケジュールされた自動更新のインストール時にログオン ユーザーがいる場合、自動的に再起動しない：有効 - ユーザー セッションが開いている場合、自動再起動を無効にします。
• クライアント側ターゲティングを有効にする：有効。このコンピューターのターゲット グループ名：Servers - WSUS コンソールでクライアントを「Servers」グループに割り当てます。

Windows ワークステーション用 WSUS グループ ポリシー

サーバー ポリシーとは対照的に、クライアント ワークステーションでは、更新プログラム受信後、夜間に自動的にインストールし、インストール後に自動的に再起動する（5 分前にユーザーに通知）運用を想定します。

WorkstationWSUSPolicy では、以下の設定を指定します。

• 自動更新の即時インストールを許可する：無効 - 受信直後の即時インストールを無効化。
• 管理者以外のユーザーに更新通知を表示する：有効 - 非管理者ユーザーにも新しい更新の通知を表示し、手動インストールを許可。
• 自動更新の構成：有効。
  自動更新の構成：4 - 自動的にダウンロードしてインストールをスケジュールする
  スケジュールされたインストールの曜日：0 - 毎日
  スケジュールされたインストールの時刻：05:00 - クライアントが新しい更新をダウンロードし、午前 5 時に自動インストールをスケジュール。
• このコンピューターのターゲット グループ名：Workstations - WSUS コンソールでクライアントを「Workstations」グループに割り当て。
• スケジュールされた自動更新のインストール時にログオン ユーザーがいる場合、自動的に再起動しない：無効。
• イントラネット Microsoft 更新サービスの場所を指定する：有効。社内 WSUS サーバーのアドレスを設定（上記と同じ）。

WSUS グループ ポリシーの AD OU への割り当て

次に、作成したポリシーを対応する Active Directory コンテナ（OU）に割り当てます。本例では OU 構造をシンプルにし、以下の 2 つのコンテナを用意しています。

• Servers：ドメイン コントローラーを除く、会社のすべてのサーバーを含む
• WKS (Workstations)：ユーザーのワークステーションを含む

ポリシーを OU に割り当てるには、グループ ポリシー管理コンソールで対象の OU を右クリックし、[既存の GPO のリンク] を選択して、該当するポリシーを指定します。

クライアントでグループ ポリシーを更新して、WSUS サーバーへのバインドを即座に反映させます。

gpupdate /force

グループ ポリシーで設定したすべての Windows Update 設定は、クライアントのレジストリ キー HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate に反映されます。

GPO で更新設定を構成できないコンピューター（ワークグループ環境、隔離セグメント、DMZ など）に WSUS 設定を移行するには、以下の .reg ファイルを使用できます。

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]
"WUServer"="https://hq-wsus.woshub.com:8530"
"WUStatusServer"="https://hq-wsus.woshub.com:8530"
"UpdateServiceUrlAlternate"=""
"TargetGroupEnabled"=dword:00000001
"TargetGroup"="Servers"
"ElevateNonAdmins"=dword:00000000
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU]
"NoAutoUpdate"=dword:00000000
"AUOptions"=dword:00000003
"ScheduledInstallDay"=dword:00000000
"ScheduledInstallTime"=dword:00000003
"ScheduledInstallEveryWeek"=dword:00000001
"UseWUServer"=dword:00000001
"NoAutoRebootWithLoggedOnUsers"=dword:00000001

適用された WSUS 設定をクライアントで確認するには、rsop.msc スナップインを使用すると便利です。

しばらくすると（更新の数と WSUS サーバーへの帯域幅によります）、システム トレイに新しい更新のポップアップ通知が表示されます。クライアント（コンピューター名、IP アドレス、OS、パッチ適用率、最終ステータス更新日）が WSUS コンソールの対応するグループに表示されるはずです。GPO を使用してコンピューターとサーバーを異なる WSUS グループに割り当てたため、それぞれの WSUS グループで承認された更新のみを受信します。

クライアントは更新をローカル フォルダ C:\Windows\SoftwareDistribution\Download にダウンロードします。

WSUS サーバーで新しい更新の検索を即座に開始するには、以下のコマンドを実行します。

wuauclt /detectnow

また、クライアントを WSUS サーバーに強制的に再登録させる必要がある場合もあります。

wuauclt /detectnow /resetAuthorization

特に難しいケースでは、wuauserv サービスを以下のように修復してみてください。クライアントで更新受信時にエラー 0x80244010 が発生する場合、自動更新の検出頻度 ポリシーを使用して、WSUS サーバーへの更新チェック頻度を 3～4 時間に変更してみてください。

次の記事では、WSUS サーバーでの更新プログラムの承認の詳細と、承認済み更新を PowerShell を使用して WSUS サーバー間でグループごとに移行する方法について説明します。