WSUS (Windows Server Update Services)設定と動作確認

WSUS（Windows Server Update Services）は、Microsoft Update が提供する Windows の更新プログラムを社内のサーバに取り込み、配布を管理する Windows Server の役割です。各コンピューターがインターネット上の Windows Update に直接取りに行く代わりに、WSUS サーバから更新プログラムを受け取ります。

管理者は、どの更新プログラムをどのコンピューターのグループに配るかを承認で決められます。まず一部のコンピューターで試し、問題がなければ全体に広げる、という段階的な適用ができます。この記事では、ドメイン hirotanoblog.local に WSUS サーバを構築し、パイロットサーバ（win2019-pilot）に更新プログラムを適用するところまでを確認します。

検証構成

ドメイン hirotanoblog.local に、Active Directory の AD-1、WSUS サーバ（ホスト名 WSUS）、パイロットサーバ（ホスト名 win2019-pilot）を置いています。いずれも Windows Server 2019 です。

WSUS のインストール

役割と機能の追加ウィザードで WSUS を追加する

WSUS サーバで、サーバー マネージャー ›› 管理 ›› 役割と機能の追加 を開きます。ウィザードの各画面では、次のように選んで進めます。

インストール後のタスクを実行する

インストールが終わると、結果の画面に「続行する前に、追加の構成を行う必要があります」と表示されます。「インストール後のタスクを起動する」をクリックし、しばらく待って「構成が正常に完了しました」と表示されたら「閉じる」をクリックします。

WSUS の基本設定

設定ウィザードで同期の対象を決める

WSUS サーバで サーバー マネージャー ›› ツール ›› Windows Server Update Services を開くと、設定ウィザードが表示されます。各画面では、次のように選んで進めます。

初回の同期が終わったことを確認する

ウィザードを閉じると WSUS の管理コンソールが開き、ダッシュボードの「同期の状態」で同期が始まっていることがわかります。しばらくすると同期が終わり、状態が「アイドル」になります。

同期された更新プログラムは、更新プログラム ›› すべての更新プログラム で、状態を「任意」にして「最新の情報に更新」をクリックすると一覧で確認できます。

グループポリシー作成

パイロットサーバ（win2019-pilot）が WSUS サーバから更新プログラムを受け取るように、Active Directory でグループポリシーを設定します。

OU を作ってパイロットサーバを入れる

Active Directory ユーザーとコンピューターで WSUS-Test という OU を作り、パイロットサーバのコンピューターオブジェクト（WIN2019-PILOT）をこの OU に移動します。あとで作る GPO をこの OU にリンクし、適用範囲をパイロットサーバだけに絞ります。

▾ hirotanoblog.local    › Builtin      Computers      Domain Controllers    › ForeignSecurityPrincipals    › Managed Service Accounts      Users1    ▾ WSUS-Test2        WIN2019-PILOT

GPO（WSUS-GPO）を作る

グループ ポリシーの管理で、フォレスト: hirotanoblog.local ›› ドメイン ›› hirotanoblog.local ›› グループ ポリシー オブジェクト に WSUS-GPO を新規作成します。WSUS-GPO を右クリックして「編集」を選び、グループポリシー管理エディタで コンピューターの構成 ›› ポリシー ›› 管理用テンプレート ›› Windows コンポーネント ›› Windows Update を開きます。

ここで設定するのは、「イントラネットの Microsoft 更新サービスの場所を指定する」と「自動更新を構成する」の2つです。

イントラネットの Microsoft 更新サービスの場所を指定する

クライアントが接続する WSUS サーバを指定します。「イントラネットの Microsoft 更新サービスの場所を指定する」をダブルクリックし、「有効」を選んで2つの URL を入力し、「適用」をクリックします。

自動更新を構成する

更新プログラムのダウンロードとインストールの動作を決めます。「自動更新を構成する」をダブルクリックし、「有効」を選んで「自動更新の構成」を指定します。

今回は、既定の「3 – 自動ダウンロードしインストールを通知」を選びます。更新プログラムはバックグラウンドでダウンロードされ、インストールは手動で行います。

GPO を OU にリンクする

グループ ポリシーの管理で、OU WSUS-Test に WSUS-GPO をリンクします。

パイロットサーバにグループポリシーを適用する

win2019-pilot で gpupdate /force を実行してグループポリシーをすぐに適用し、gpresult /R で適用結果を確認します。「適用されたグループ ポリシー オブジェクト」に WSUS-GPO が表示されていれば、設定は届いています。

1C:\Users\Administrator>gpupdate /forceポリシーを最新の情報に更新しています... コンピューター ポリシーの更新が正常に完了しました。ユーザー ポリシーの更新が正常に完了しました。 2C:\Users\Administrator>gpresult /R⋮RSOP のデータ WIN2019-PILOT\Administrator - WIN2019-PILOT : ログ モード⋮OS 構成:                    メンバー サーバーOS バージョン:              10.0.17763⋮コンピューター設定    CN=WIN2019-PILOT,OU=WSUS-Test,DC=hirotanoblog,DC=local    グループ ポリシーの適用元:       AD-1.hirotanoblog.local    ⋮    適用されたグループ ポリシー オブジェクト    -----------------------------------------3        WSUS-GPO        Default Domain Policy

コンピューターの登録

パイロットサーバを WSUS に登録する

WSUS の管理コンソールで コンピューター ›› すべてのコンピューター ›› 割り当てられていないコンピューター を開き、状態を「任意」にして「最新の情報に更新」をクリックします。この時点では、パイロットサーバはまだ表示されません。

クライアントは、WSUS に初めて接続して更新を確認したときに登録されます。検証では、パイロットサーバで次の PowerShell を実行して、更新の検出を促しました。Windows Update の画面で「更新プログラムのチェック」をクリックする方法でも、クライアントから WSUS への確認が行われます。

win2019-pilot（PowerShell）

$AutoUpdates = New-Object -ComObject "Microsoft.Update.AutoUpdate"
$AutoUpdates.DetectNow()

WSUS の管理コンソールで「最新の情報に更新」をすると、パイロットサーバが「割り当てられていないコンピューター」に表示されました。

コンピューターグループを作って割り当てる

すべてのコンピューター を右クリックして「コンピューター グループの追加」を選び、名前を「パイロット」にして「追加」をクリックします。次に、登録されたコンピューターを右クリックして「メンバーシップの変更」を選び、「パイロット」にチェックを入れて「OK」をクリックします。

更新プログラムの承認

パイロットグループに更新プログラムを承認する

登録したコンピューターに更新プログラムを配るには、承認が必要です。更新プログラム ›› すべての更新プログラム で状態を「任意」にして一覧を表示し、例として KB5021085（2022-12 の .NET Framework の累積的な更新プログラム）を承認します。更新プログラムを右クリックして「承認」を選びます。

「更新プログラムの承認」画面が開きます。パイロットグループを右クリックして「インストールの承認」を選ぶと、パイロットのアイコンが緑のチェックに変わり、承認が「インストール」になります。「OK」をクリックすると承認が処理され、結果が「成功」になります。

更新プログラムのダウンロード・インストール（手動）

パイロットサーバで更新プログラムを適用する

win2019-pilot のサーバー マネージャーを見ると、Windows Update の欄が「管理された更新サービスを使用して更新プログラムのダウンロードのみを行う」になっています。自動更新の構成で「3」を選んだ設定が反映されています。

この表示をクリックして Windows Update の画面を開くと、「一部の設定は組織によって管理されています」と表示され、グループポリシーが効いていることがわかります。今回は「更新プログラムのチェック」をクリックして手動で確認すると、承認した KB5021085 のダウンロードが始まりました。

うまくいかないとき

まとめ

関連記事：【Windows Server 2019】Active Directory ユーザ追加と端末のドメイン参加／【Active Directory】グループポリシーの構成・適用・更新／【Active Directory】グループポリシーの適用順ルール（サイト・ドメイン・OU）／【Windows Server 2019】DFS名前空間とレプリケーションの設定と動作確認／Windows Admin Centerによるリモート管理について解説
その他の Windows Server 関連記事は Windows Server カテゴリ から参照できます。