【徹底解説】Windows Server 2012 R2 / 2016へのWSUSインストールと構成の手順

WSUS（Windows Server Update Services）は、Microsoft製品（Windows、Office、SQL Server、Exchangeなど）向けのパッチやセキュリティ更新プログラムを、企業ネットワーク上のコンピューターやサーバーに対して一元的に管理できる更新サービスです。

まず、WSUSの仕組みをおさらいしておきましょう。WSUSサーバーはスケジュールに従ってインターネット上のMicrosoft Updateサーバーと同期し、選択した製品の最新アップデートをダウンロードします。WSUS管理者は、社内のワークステーションやサーバーにどの更新プログラムを適用するかを決定します。そしてWSUSクライアントは、構成されたポリシーに従って、社内の更新サーバーから必要な更新プログラムをダウンロードしてインストールします。自前のWSUSサーバーを運用することで、インターネットトラフィックを削減でき、企業内の更新管理をより柔軟に行えるようになります。

WSUSとSCCMの違い

MicrosoftはSCCM（System Center Configuration Manager）など、他の更新配布システムも提供しています。しかし、多くの有償製品とは異なり、WSUSサーバーは完全に無料で利用できます（実際、SCCMの更新機能であるSUP（Software Update Point）もWSUSがベースとなっています）。

Windows Server 2012の登場以前、最新のMicrosoft更新サーバーは「Windows Server Update Services 3.0 SP2」（WSUS 3.2）でしたが、このバージョンはWindows 10やWindows Server 2012 R2 / 2016といった現行OSをサポートしていません。新しいサーバープラットフォームの登場とともに、Microsoftは新版のWSUS 6.0を発表しました（バージョンの付け方としては本来WSUS 4.0になるべきところですが…）。

Windows Server 2012 R2 / 2016搭載のWSUS 6.0には根本的な新機能はありません。ただし注意点として、現在ではWSUSのインストールパッケージをMicrosoftのサイトから個別にダウンロードすることはできず、Windows Server本体に統合され、独立したサーバーロールとしてインストールされる仕様に変更されています。さらに、WSUS 6.0ではPowerShellによる更新管理にも対応しました。

本記事では、Windows Server 2012 R2 / Windows Server 2016におけるWSUSロールのインストールと基本構成について解説します。

WSUSロールをWindows Server 2012 R2 / 2016にインストールする方法

Windows Server 2008以降、WSUSはサーバーマネージャーコンソールからインストールできる独立したロールとして提供されています。Windows Server 2012 R2 / 2016でも手順は同じです。サーバーマネージャーを開き、「Windows Server Update Services」ロールを選択します。システムが必要なIIS Webサーバーのコンポーネントを自動的に検出し、一緒にインストールするよう提案してくれます。

データベースの種類を選択する（WID または SQL Server）

「WSUS Services」にチェックを入れると、WSUSが使用するデータベースの種類を選択する画面が表示されます。Windows Server 2012のWSUSが対応しているデータベースは以下の2種類です。

• Windows Internal Database（WID）
• Microsoft SQL Server 2008 R2 SP1 / 2012 / 2014 / 2016（Enterprise / Standard / Expressエディション）

つまり、追加ライセンスが不要で無料のWIDを使うか、あるいはローカルまたはリモート（別サーバー上）の専用SQL ServerデータベースにWSUSデータを保存するかを選べます。

デフォルトのWIDデータベースは「SUSDB.mdf」という名前で、「%windir%\wid\data」フォルダに格納されます。このデータベースはWindows認証のみをサポートし（SQL認証は不可）、WSUS用の内部データベースインスタンス名は「server_name\Microsoft##WID」になります。WSUSデータベースには、更新サーバーの設定情報、更新メタデータ、クライアント情報が保存されます。

内部データベース（WID）が推奨されるケース

• 組織がSQL Serverのライセンスを持っておらず、購入する予定もない場合
• WSUSの負荷分散（NLB WSUS）を利用する予定がない場合
• 支店オフィスなどに子WSUSサーバーを展開する予定がある場合（この場合、下位サーバーでは組み込みのWIDを使用するのが推奨されます）

WIDデータベースは、SQL Server Management Studio（SSMS）から接続文字列 \\.\pipe\MICROSOFT##WID\tsql\query を指定すれば管理することも可能です。

なお、無償版のSQL Server 2008/2012 Expressには最大10GBというデータベースサイズの制限がありますが、この上限に達することはまずありません（参考：3,000クライアント規模のWSUSデータベースでも約3GB程度です）。一方、WIDの上限は524GBです。

WSUSとSQL Serverを別サーバーに分ける場合の制限

• WSUSデータベースをホストするSQL Serverは、ドメインコントローラーを兼ねてはならない
• WSUSサーバーをリモートデスクトップサービスホストと兼用することはできない

組み込みのWIDデータベースを使う場合（大規模インフラストラクチャでも十分実用的な推奨オプションです）は、「Database」オプションにチェックを入れてください。

更新ファイルの保存先を指定する

次に、更新プログラムを保存するディレクトリを指定します。選択するディスクには最低10GB以上の空き容量を確保することを推奨します。

WSUSのディスク使用量は、更新対象とする製品の数やWindows OSのバージョンに大きく左右されます。大規模な組織では、更新ファイルの合計サイズが数百GBに達することもあります。たとえば筆者の環境では、Windows 7 / 8.1 / 10、Windows Server 2008 R2 / 2012 R2 / 2016、Exchange 2013、Office 2010 / 2016、SQL Server 2008 / 2012 / 2016向けの更新プログラムを保存しており、WSUSフォルダは約400GBに達しています。ストレージ計画の際は必ずこの点を考慮してください。

個別のSQLデータベースを使用することを選んだ場合は、データベースサーバー名とDBインスタンスを指定し、接続テストを行ってください。

その後、必要なコンポーネント一式とともにWSUSロールのインストールが実行されます。インストール完了後、サーバーマネージャーからWSUS管理コンソールを起動しましょう。

また、内部データベース（WID）を使用するWSUSサーバーは、以下のPowerShellコマンド1つでもインストールできます。

Install-WindowsFeature -Name Updateservices,UpdateServices-WidDB,UpdateServices-services –IncludeManagementTools

Windows Server 2012 R2 / 2016におけるWSUSの基本構成

WSUSコンソールを初めて起動すると、「更新サーバー構成ウィザード」が自動的に立ち上がります。ここから、ウィザードを使った基本的な設定手順を順番に見ていきましょう。

更新元の指定（Microsoft Update直結 or 上位WSUSサーバー）

WSUSサーバーが更新プログラムをMicrosoft Updateサイトから直接取得するか、上位のWSUSサーバーからダウンロードするかを指定します。後者は主に大規模ネットワークで活用される構成で、たとえば地方拠点のWSUSサーバーが本社のWSUSから更新を受け取る形にすることで、本社と支社間のWAN回線の負荷を大幅に軽減できます。

WSUSサーバー自身がWindows Updateから直接ダウンロードする構成で、インターネット接続にプロキシサーバーを使用している場合は、プロキシのアドレス・ポート番号・認証資格情報を入力してください。

続いて上位の更新サーバーとの接続確認が行われます。「接続の開始」をクリックしてください。

言語と製品の選択

次に、WSUSが更新プログラムをダウンロードする言語を選択します。ここでは「英語」を選択しています（言語リストは後からWSUSコンソールでいつでも変更可能です）。

続けて、更新プログラムを取得する対象製品の一覧を指定します。社内ネットワークで実際に使われているすべてのMicrosoft製品を選びましょう。ただし、余分な製品にチェックを入れるとそれだけディスク容量を消費するため、不要なものは外してください。たとえばネットワーク上にWindows XPやWindows 7の端末が存在しないことが確実であれば、該当OSのチェックボックスはオフのままにします。これだけでWSUSサーバーのドライブ容量をかなり節約できます。

なお、必要に応じてMicrosoft Updateカタログから任意の更新プログラムを手動でWSUSサーバーへインポートすることも可能です。

更新プログラムの分類を選ぶ

「分類ページ」では、WSUS経由で配布する更新プログラムの種類を指定します。おすすめの選択は以下の通りです。

• 重要な更新（Critical Updates）
• 定義の更新（Definition Updates）
• セキュリティ更新プログラム（Security Updates）
• サービスパック（Service Packs）
• 更新プログラムのロールアップ（Update Rollups）
• 更新プログラム（Updates）

ちなみに、Windows 10の機能更新プログラム（ビルド1709、1803、1809など）は、WSUSコンソールでは「Upgrades」クラスに分類されます。

同期スケジュールの設定

最後に、更新プログラムの同期スケジュールを指定します。毎日夜間に自動同期する設定を推奨します。業務時間中の同期はインターネット回線に余計な負荷をかけるため、避けましょう。

上位サーバーとの初回同期は、選択した製品の数や回線速度によっては数日かかる場合がありますので、あらかじめ余裕をもって計画してください。

ウィザードが完了すると、WSUSコンソールが起動します。

WSUSサーバーのパフォーマンスを高めるためのヒント

Windows Server上のWSUSのパフォーマンスを維持するため、以下のフォルダをウイルス対策ソフトのリアルタイムスキャン対象から除外することを強く推奨します。

• \WSUS\WSUSContent
• %windir%\wid\data
• \SoftwareDistribution\Download

これで、クライアントPCはポート8530でWSUSサーバーに接続し、更新プログラムを受信できるようになります（Windows Server 2003 / 2008時代のWSUSではデフォルトでポート80が使われていました）。1,000台を超えるような大規模環境では、クライアントへの更新配信を担うIISアプリケーションプール「WsusPoll」のパフォーマンスチューニングも検討するとよいでしょう。

また、WSUSコンソールで各種更新レポートを表示したい場合は、サーバーにオプションコンポーネントの「Microsoft Report Viewer 2008 SP1 再頒布可能パッケージ」（またはそれ以降のバージョン）をインストールしておく必要があります。

まとめ

本記事では、Windows Server 2012 R2 / 2016へのWSUSロールのインストール手順と、構成ウィザードを使った基本設定（更新元・言語・製品・分類・同期スケジュール）について解説しました。

今後の記事では、グループポリシーを使ったWSUSクライアント設定の方法、新しい更新プログラムの承認手順、WSUSターゲットグループ間での承認済み更新の複製方法などを詳しく取り上げる予定です。ぜひお楽しみに！