WSUSクライアントをGPOで構成する中心設定は、「イントラネットのMicrosoft更新サービスの場所を指定する」と「自動更新を構成する」の2つです。前者に実際のWSUS URLを設定し、後者でダウンロード・通知・インストール時刻の方針を決めます。いきなり全社OUへリンクせず、テスト端末用OUで名前解決、証明書、ポート、適用結果、更新検出、再起動動作を確認してから段階展開してください。
設定前に用意する情報
- WSUSサーバーのFQDN、HTTPまたはHTTPS、実際のポート番号
- TLS利用時のサーバー証明書と、クライアント側の信頼チェーン
- WSUSで同期する製品・分類・言語と承認ルール
- 更新のダウンロード、インストール、再起動の運用時間
- パイロット端末を入れるOUと、問題時にGPOを外す手順
- クライアント側ターゲットを使う場合のWSUSコンピューターグループ名
URLはWSUS管理者が構築した値を使い、記事の例をそのまま入力しません。Microsoftの現行資料では、WSUSの既定ポートはHTTP 8530、HTTPS 8531ですが、変更可能です。またTLS構成ではHTTPS側の実ポートを含めるよう案内されています。名前だけでなく、クライアントからそのURLへ到達できることをブラウザーやネットワーク監視の結果で確認します。
GPOを新規作成してパイロットOUへリンクする
グループ ポリシーの管理で、既定のドメインポリシーを直接編集せず、WSUSクライアント専用のGPOを新規作成します。最初は少数のテストPCだけを含むOUへリンクします。GPO名に対象、目的、版を含め、変更記録とロールバック担当を残します。セキュリティフィルターやWMIフィルターを使う場合は、意図しない端末が除外されていないかも確認します。
Windows 11向けの現在の管理用テンプレートでは、ポリシーがWindows Update配下のサブフォルダーへ整理されています。環境のADMX版によって表示階層が少し異なることがあるため、ポリシー名で検索し、説明欄の対応OSを確認します。
1. イントラネットの更新サービスを指定する
主な場所は次のとおりです。
コンピューターの構成
> ポリシー
> 管理用テンプレート
> Windows コンポーネント
> Windows Update
> Windows Server Update Service から提供される更新プログラムの管理
> イントラネットの Microsoft 更新サービスの場所を指定するポリシーを「有効」にし、更新プログラムを検出・ダウンロードするサーバーと、統計情報を送信するサーバーの2欄を設定します。同じWSUSサーバーが両方を担当する一般的な構成では同じURLを入力します。TLSをポート8531で構成したサーバーの例は次のとおりです。実環境のFQDNとポートへ置き換えてください。
https://wsus01.example.local:8531HTTPで設計された環境ならhttp://サーバー名:8530のようになりますが、スキームとポートはサーバー設定に一致させます。HTTPSのURLを指定するだけではTLS化できません。WSUS側IIS設定、証明書、クライアントの信頼されたルート証明機関、名前解決が揃っている必要があります。証明書エラーを回避するために検証を無効化するのではなく、証明書配布を修正します。
2. 自動更新を構成する
主な場所は次のとおりです。
コンピューターの構成
> ポリシー
> 管理用テンプレート
> Windows コンポーネント
> Windows Update
> エンド ユーザー エクスペリエンスの管理
> 自動更新を構成する「有効」を選び、運用に合うオプションを決めます。数字だけを選ぶのではなく、ユーザー通知、保守時間、再起動期限、ノートPCの稼働時間を含めて設計します。
| 選択肢 | 動作の要点 | 向く場面 |
|---|---|---|
| 2 | ダウンロード前に通知し、その後自動インストール | 利用者判断を残す限定環境 |
| 3 | 自動ダウンロードし、インストールを通知 | インストール時期を利用者へ知らせたい環境 |
| 4 | 自動ダウンロードし、指定スケジュールでインストール | 保守時間が明確な管理端末 |
| 5 | ローカル管理者が構成を選択 | 中央統制を弱めてもよい限定用途 |
| 7 | ダウンロード後、インストールと再起動を通知 | 対応するWindows Server |
クライアントPCで一般的に使う3または4のどちらが正しいかは、組織の更新期限と再起動方針次第です。営業時間中の固定時刻を安易に指定すると作業中断につながります。Windows 11のアクティブ時間や更新期限のポリシーも含め、1台でダウンロード、インストール、再起動の一連を検証します。
3. 必要な場合だけクライアント側ターゲットを設定する
WSUSコンソールでサーバー側ターゲットを使うなら、この設定は不要です。クライアント側ターゲットを採用する設計では、「クライアント側のターゲットを有効にする」を有効化し、WSUSコンソールに実在するコンピューターグループ名を正確に入力します。名前が存在しない場合、Microsoftの資料ではWSUSに作成されるまで無視されます。部署名を思い込みで入力せず、WSUS管理者と一致を確認します。
4. パイロット端末でGPO適用を確認する
テストPCを対象OUへ移し、通常のグループポリシー更新を待つか、管理者のコマンド プロンプトで次を実行します。
gpupdate /target:computer
gpresult /r /scope computergpresultの「適用されたグループ ポリシー オブジェクト」に作成したGPOがあることを確認します。次にPowerShellで、ポリシーが書き込んだ値を読み取ります。これは確認専用で、値を変更するコマンドではありません。
Get-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate' -Name WUServer,WUStatusServer
Get-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU' -Name AUOptionsWUServerとWUStatusServerが意図したURL、AUOptionsが選んだ自動更新方式に対応することを確認します。レジストリ値が違う場合は手動で書き換えず、競合GPO、適用順序、ADMX、OUリンク、セキュリティフィルターを修正します。
5. WSUSとの通信と報告を確認する
- クライアントからWSUSのFQDNを名前解決できる。
- 指定ポートへ到達でき、TLS利用時に証明書エラーがない。
- Windows Update画面で組織管理の表示と更新スキャン結果を確認できる。
- イベント ビューアーの「Microsoft」→「Windows」→「WindowsUpdateClient」→「Operational」に接続エラーがない。
- 一定時間後、WSUSコンソールに端末と最終状態レポートが現れる。
GPO適用直後にWSUSコンソールへ表示されないからといって、端末IDの削除やWindows Updateコンポーネントのリセットをすぐ行わないでください。ポリシー適用、DNS、証明書、ファイアウォール、スキャン、レポート送信の順に時刻を追います。複製イメージ由来の重複などが疑われる場合は、Microsoftの現行トラブルシューティングと組織の展開手順に沿って扱います。
ドメイン未参加端末の扱い
WSUSはActive Directoryを必須とせず、ローカルグループポリシーでも同じクライアント設定を適用できます。ただし台数が多い環境で端末ごとに手作業すると、URLや再起動設定がずれ、監査とロールバックが難しくなります。MDMなど既存の管理基盤があるなら、中央配布を優先します。利用者へレジストリファイルを配って実行させる方法は避けます。
ロールバックと段階展開
問題が出たら、パイロットOUからGPOリンクを外すか対象を除外し、ポリシー更新後に適用GPOとレジストリ値を再確認します。手動で各端末のポリシーレジストリを削除すると、次の更新で再作成されたり別の値まで消したりするため行いません。更新元を公衆のWindows Updateへ戻すか、別の管理方式へ移すかは、ファイアウォールと「Windows Updateのインターネット上の場所に接続しない」など関連ポリシーも含めて設計します。
パイロットで少なくとも1回の更新、再起動、状態報告を確認したら、部門単位で対象を増やします。失敗率、再起動保留、業務アプリへの影響を見ながら進め、全社一斉切り替えを避けます。
WSUSの現在の位置づけ
MicrosoftはWSUSを非推奨としており、新機能は追加されません。一方で、製品ライフサイクルに従う本番展開は引き続きサポートされ、セキュリティ更新と品質更新を受けると明記しています。既存WSUSを直ちに停止するという意味ではありませんが、新規設計や中長期計画ではWindows Update for Businessやクラウド管理への移行可能性も評価してください。
よくある質問
2つのURL欄は同じでよいですか？
検出・ダウンロードと統計を同じWSUSサーバーが担当するなら同じURLで構いません。別サーバー構成なら設計どおりに分けます。
8530と8531のどちらを使いますか？
実際のWSUS構成に一致させます。既定ではHTTPが8530、HTTPSが8531ですが変更可能です。TLSを構成した環境では、証明書とFQDNを含めHTTPSの実ポートを指定します。
コメント