WSUS などと同じように、Microsoft Intune でも、組織のデバイスにセキュリティ更新や機能更新を計画的に適用できます。Intune では「更新リング」を使い、デバイスのグループごとに更新プログラムを受け取るタイミングをずらします。
この記事では、Microsoft Entra ID に参加している Windows 11 デバイスに、Intune の更新リングで Windows の更新プログラムを段階的に適用する手順と、デバイス側での見え方を確認します。
- 機能更新プログラムと品質更新プログラムの違い、更新リングの考え方
- 延期期間・期限・猶予期間を決めて、更新リングを作る手順
- リングによって、デバイスの Windows Update の画面がどう変わるか
機能更新プログラムと品質更新プログラム
Windows の更新プログラムには、大きく分けて機能更新プログラムと品質更新プログラムの2つがあります。更新リングでは、それぞれに別の延期期間を設定できます。
| 項目 | 機能更新プログラム | 品質更新プログラム |
|---|---|---|
| 中身 | Windows の新しいバージョンへのアップグレード。新機能や画面の変更を含む大きな更新 | セキュリティ修正やバグ修正などをまとめた累積更新 |
| リリース | Windows 11 では年1回、その年の後半 | 毎月第2火曜日（日本では翌日の水曜日） |
| 表し方 | 「22H2」のように、西暦の下2桁と H1（前半）／H2（後半） | 「2023-10」のように年月と KB 番号 |
| 更新リングの延期期間 | 0〜365日 | 0〜30日 |
更新リングとは
更新リングは、Windows Update の更新プログラムをいつ受け取り、どうインストールするかを決めるポリシーです。デバイスのグループごとに延期期間を変えたリングを割り当てると、まず小さなグループで更新プログラムの影響を確かめてから、広い範囲に展開できます。
この記事では、次の3つのリングに分けます。
| リング | 対象 | 延期期間 |
|---|---|---|
| 事前検証リング | IT 管理者のデバイスなど。公開されたらすぐに適用して、事前にテストする | 0日 |
| パイロット展開リング | 全社に展開する前に、一部のデバイスに適用する | 7日 |
| 全社展開リング | 組織全体のデバイス | 30日 |
更新リングはデバイスのグループに割り当てることが推奨されています。デバイスのグループなら、ユーザーがサインインする前にポリシーを適用できます。また、1台のデバイスには1つのリングだけが割り当たるようにします。全社展開リングを「すべてのデバイス」に割り当てる場合は、事前検証とパイロット展開のグループを除外します。
検証の構成
今回は、Win11-1 を事前検証リング、Win11-2 を全社展開リングに入れて、更新プログラムの受け取り方の違いを確認します。
更新リングを設定する
グループを作成する
Microsoft Entra ID で、リングごとのグループ（事前検証リング、パイロット展開リング、全社展開リング）を作成します。各リングの更新リングを、このグループに割り当てます。デバイスをグループに入れるのは、リングを作ったあとに行います。
この記事の画面は、実際の画面ではなく、検証時の画面から設定する項目（見るポイント）を抜き出して描いたイメージです。バージョンによって、項目の並びや表記は変わります。
| 名前 |
|---|
| 1パイロット展開リング |
| 事前検証リング |
| 全社展開リング |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | 3つのグループ | リングごとに1つずつ作成した。それぞれに同じ名前の更新リングを割り当てる |
事前検証リングを作成する
Microsoft Intune 管理センター（https://intune.microsoft.com/）で、デバイス ›› Windows 10 以降向け更新リング を開き、「プロファイルの作成」をクリックします。「基本」で名前（今回は「事前検証リング」）を入力し、「次へ」をクリックします。
「更新リングの設定」では、まず「設定の更新」で更新プログラムを受け取るタイミングを決めます。事前検証リングは更新プログラムをすぐに受け取るので、品質更新プログラムと機能更新プログラムの延期期間をどちらも 0 にします。機能更新プログラムのアンインストール期間は 60 日にします。
| Microsoft 製品の更新プログラム * | ◉ 許可○ ブロック |
| Windows ドライバー * | ◉ 許可○ ブロック |
| 1品質更新プログラムの延期期間 (日数) * | 0 |
| 機能更新プログラムの延期期間 (日数) * | 0 |
| Windows 10 デバイスを最新の Windows 11 リリースにアップグレードする | ○ はい◉ いいえ |
| 2機能更新プログラムのアンインストール期間 (2 から 60 日間) の設定 * | 60 |
| プレリリース ビルドを有効にする * | ○ 有効化◉ 構成されていません |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | 品質・機能更新プログラムの延期期間 | 0日。公開されたらすぐに受け取る（設定できる範囲は品質が0〜30日、機能が0〜365日） |
| 2 | 機能更新プログラムのアンインストール期間 | 60日。機能更新プログラムを入れたあと、この日数の間は元のバージョンに戻せる |
ユーザー エクスペリエンスを設定する
続けて「ユーザー エクスペリエンスの設定」で、自動更新の動作、アクティブ時間（業務時間帯）、ユーザーに許可する操作を決めます。今回は既定のまま、メンテナンス時に自動的にインストールします。
「期限の設定を使用する」は既定では「構成されていません」ですが、よく使う設定なので「許可」にします。機能更新プログラムと品質更新プログラムの期限を30日、再起動の猶予期間を7日にします。
| 1自動更新の動作 | メンテナンス時に自動的にインストールする |
| アクティブ時間の開始 * | 午前 8:00 |
| アクティブ時間の終了 * | 午後 5:00 |
| Windows 更新プログラムを一時停止するためのオプション | ◉ 有効にする○ 無効にする |
| Windows 更新プログラムを確認するためのオプション | ◉ 有効にする○ 無効にする |
| 通知の更新レベルを変更する | 既定の Windows Update 通知を使用する |
| 2期限の設定を使用する | ◉ 許可○ 構成されていません |
| 機能更新プログラムの期限 | 30 |
| 品質更新プログラムの期限 | 30 |
| 猶予期間 | 7 |
| 期限前に自動的に再起動する | ◉ はい○ いいえ |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | 自動更新の動作 | メンテナンス時に自動的にインストールする（既定）。デバイスを使っていないときの自動メンテナンスでインストールする。アクティブ時間（8:00〜17:00）は自動再起動をしない |
| 2 | 期限の設定 | 期限は機能・品質ともに30日、猶予期間は7日。期限前に、アクティブ時間外の自動再起動を試みる |
| 3 | 次へ | 割り当てに進む |
期限は、デバイスが更新プログラムを最初に検出した日から数えます。期限を過ぎるとインストールが強制され、猶予期間を過ぎると、ユーザーが使っている時間でも再起動されます。
割り当てて作成する
「割り当て」で「グループを追加」をクリックし、STEP 1 で作成した「事前検証リング」グループを選びます。「確認および作成」で設定を確認し、「作成」をクリックすると、更新リングの一覧に追加されます。
| 名前 | 機能の延期 | 品質の延期 | 機能 |
|---|---|---|---|
| 1事前検証リング | 0 | 0 | 実行中 |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | 事前検証リング | 機能・品質の延期はどちらも0日。「機能」の列は、機能更新プログラムの配信が一時停止されていない（実行中）ことを表す |
パイロット展開リングと全社展開リングを作成する
同じ手順で、パイロット展開リングと全社展開リングを作成し、それぞれ同じ名前のグループに割り当てます。違うのは延期期間です。パイロット展開リングは事前検証リングでのテストが終わってから、全社展開リングはパイロット展開で安定して動くことを確かめてから受け取るように、延期期間を長くします。
| リング | 品質更新プログラムの延期期間 | 機能更新プログラムの延期期間 | アンインストール期間 |
|---|---|---|---|
| 事前検証リング | 0日 | 0日 | 60日 |
| パイロット展開リング | 7日 | 7日 | 60日 |
| 全社展開リング | 30日 | 30日 | 60日 |
- 現在の Microsoft Learn の手順では、
デバイス ›› プラットフォーム別 ›› Windows ›› 更新プログラムの管理 ›› Windows 更新プログラムの「更新リング」タブで「プロファイルの作成」をクリックします。設定する項目は同じです。 - Windows 10 は 2025年10月14日にサポートが終了しています。「Windows 10 デバイスを最新の Windows 11 リリースにアップグレードする」を「はい」にすると、対象となる Windows 10 デバイスを最新の Windows 11 にアップグレードできます。
動作を確認する
Microsoft Entra ID で、Win11-1 を「事前検証リング」グループに、Win11-2 を「全社展開リング」グループに追加します。しばらくすると、それぞれのデバイスに更新リングのポリシーが適用されます。
事前検証リングの Win11-1
Win11-1 では、更新プログラムが延期されずに検出され、「インストール可能な更新プログラム」として表示されました。2つの更新プログラムが「インストールの保留中」になっています。「メンテナンス時に自動的にインストールする」の設定なので、デバイスを使っていない自動メンテナンスの時間にインストールされます。すぐに入れたい場合は「今すぐインストール」をクリックします。
| 1悪意のあるソフトウェアの削除ツール x64 – v5.121 (KB890830) | インストールの保留中 |
| 2023-10 x64 (KB5031225) 向け Windows 11 用 .NET Framework 3.5、4.8 および 4.8.1 の累積的な更新プログラム | インストールの保留中 |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | インストールの保留中 | 更新プログラムは検出され、インストールを待っている |
| 2 | 今すぐインストール | メンテナンスの時間を待たずに、ユーザーがすぐにインストールできる |
全社展開リングの Win11-2
Win11-2 の Windows Update は「最新の状態です」と表示されました。全社展開リングでは、品質更新プログラムは公開から30日たつまで提供されません。
| 1利用可能になったらすぐに最新の更新プログラムを入手する 組織のポリシーにより、この設定は使用できません | オフ（変更できない） |
| 更新の一時停止 | 1 週間一時停止する |
| 更新の履歴 | › |
| 詳細オプション | › |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | 利用可能になったらすぐに最新の更新プログラムを入手する | オフで、ユーザーは変更できない。組織のポリシー（Intune）で更新を管理しているため |
この設定は、毎月の品質更新プログラムではなく、第4週に出るオプションの更新プログラム（プレビュー）や、段階的に有効になる新機能を早く受け取るためのものです。更新リングなどのポリシーで管理されているデバイスでは、「オプションの更新プログラムを有効にする」ポリシーを構成しない限り、オフのまま変更できません。延期期間とは別の設定です。
リングごとの適用状況は、Intune 管理センターで更新リングを開くと、「デバイスとユーザーのチェックイン状態」で確認できます。
まとめ
| 項目 | 今回の設定・ポイント |
|---|---|
| リングの分け方 | 事前検証（0日）→ パイロット展開（7日）→ 全社展開（30日） |
| 割り当て | リングごとのデバイス グループ。1台に1つのリング |
| 自動更新の動作 | メンテナンス時に自動的にインストールする（アクティブ時間 8:00〜17:00） |
| 期限 | 機能・品質ともに30日、猶予期間7日、期限前に自動的に再起動する |
| アンインストール期間 | 機能更新プログラムは60日間、元に戻せる |
延期期間でリングの間に時間差を作り、期限と猶予期間で「いつまでに必ず入るか」を決めておくと、テストと全社への適用を両立できます。
コメント