あらゆる規模の企業向け Windows 10 アップグレードの完全ガイド

担当する Windows 10 PC が XNUMX 台であっても、数千台であっても、更新管理の課題は同じです。 目標は、セキュリティ更新プログラムを迅速にインストールし、機能更新プログラムをよりスマートに処理し、予期しない再起動による生産性の低下を防ぐことです。

あなたのビジネスには、Windows 10 アップデートを処理するための包括的な計画がありますか? これらのダウンロードは、発生したらすぐに対処する必要がある定期的な迷惑行為であると考えたくなります。 ただし、更新に対する事後対応​​のアプローチは、フラストレーションと生産性の低下を招きます。

代わりに、管理戦略を作成して更新をテストおよび実装し、プロセスが請求書の送信や月次会計残高の完了と同じくらい日常的なものになるようにすることができます。

この記事では、Microsoft が Windows 10 を実行しているデバイスに更新プログラムをプッシュする方法を理解するために必要なすべての情報と、Windows 10 Pro、Enterprise、または Education を実行しているデバイスでこれらの更新プログラムをスマートに管理するために使用できるツールとテクニックについて詳しく説明します。 (Windows 10 Home は非常に基本的な更新管理のみをサポートしているため、ビジネス環境での使用には適していません。)

ただし、これらのツールを使用する前に、計画が必要です。

更新ポリシーには何と記載されていますか?

アップグレード ルールのポイントは、アップグレード プロセスを予測可能にし、ユーザーに警告する手順を定義して、それに応じて作業を計画し、予期しないダウンタイムを回避できるようにすることです。 このルールには、失敗した更新のロールバックなど、予期しない問題を処理するためのプロトコルも含まれています。

合理的な更新ルールでは、毎月の更新作業に一定の時間が割り当てられます。 小規模な組織では、各 PC のメンテナンス スケジュールに特別な期間を設けることで、この目的を果たすことができます。 大規模な組織では、画一的なソリューションが機能する可能性は低く、PC 全体を更新グループ (Microsoft では「リング」と呼んでいます) に分割し、それぞれが独自の更新戦略を持つ必要があります。

ルールには、いくつかの異なるタイプの更新を記述する必要があります。 最もわかりやすいタイプは、月次の累積的なセキュリティおよび信頼性の更新プログラムで、毎月第 XNUMX 火曜日 (「パッチ火曜日」) にリリースされます。 このリリースには通常、Windows 悪意のあるソフトウェアの削除ツールが含まれていますが、次の種類の更新プログラムのいずれかが含まれる場合もあります。

• .NET Framework のセキュリティ更新プログラム
• Adobe Flash Playerのセキュリティアップデート
• サービススタックの更新 (最初からインストールする必要があります)。

これらの更新プログラムのインストールは、最大 30 日間延期できます。

PC メーカーによっては、ハードウェア ドライバーとファームウェアが Windows Update チャネルを通じて配布される場合もあります。 これを拒否することも、他のアップデートと同じスキームに従って管理することもできます。

最後に、機能更新プログラムも Windows Update を通じて配布されます。 これらのメジャー パッケージは Windows 10 を最新バージョンに更新し、長期サービス チャネル (LTSC) を除く Windows 10 のすべてのエディションに対して 365 か月ごとにリリースされます。 Windows Update for Business を使用すると、機能更新プログラムのインストールを最大 30 日間延期できます。 Enterprise および Education エディションの場合、インストールはさらに最大 XNUMX か月延期される場合があります。

これらすべてを考慮して、更新ルールの作成を開始できます。更新ルールには、サービス対象の PC ごとに次の要素を含める必要があります。

• 月次アップデートのインストール期間。 デフォルトでは、Windows 10 は月例更新プログラムをパッチ火曜日のリリースから 24 時間以内にダウンロードしてインストールします。 会社の一部またはすべての PC に対するこれらのアップデートのダウンロードを遅らせて、互換性を確認する時間を確保できます。 この遅延により、Windows 10 で何度も発生したように、リリース後に Microsoft がアップデートの問題を発見した場合の問題を回避することもできます。
• 半年ごとのコンポーネント更新のインストール期間。 デフォルトでは、機能更新プログラムは、Microsoft が準備ができたと判断したときにダウンロードされ、インストールされます。 Microsoft がアップデートの対象と判断したデバイスでは、機能アップデートがリリースされてから到着するまでに数日かかる場合があります。 他のデバイスでは、機能アップデートが表示されるまでに数か月かかる場合や、互換性の問題により完全にブロックされる場合があります。 組織内の一部またはすべての PC に遅延を設定して、新しいリリースを確認する時間を確保できます。 バージョン 1903 以降、PC ユーザーにはコンポーネントのアップデートが提供されますが、コンポーネントのアップデートをダウンロードしてインストールするコマンドを発行できるのはユーザー自身だけです。
• 更新プログラムのインストールを完了するために PC の再起動を許可する場合: ほとんどの更新プログラムでは、インストールを完了するために再起動が必要です。 この再起動は、午前 8 時から午後 17 時までの「活動期間」外に行われます。 この設定は必要に応じて変更でき、間隔期間を最大 18 時間まで延長できます。 管理ツールを使用すると、更新のダウンロードとインストールを行う特定の時間をスケジュールできます。
• 更新と再起動についてユーザーに通知する方法: 不愉快な事態を避けるために、Windows 10 は更新が利用可能になるとユーザーに通知します。 Windows 10 設定でのこれらの通知の制御は制限されています。 「グループ ポリシー」ではさらに多くの設定が利用可能です。
• Microsoft は、通常のパッチ チューズデーのスケジュール外に重要なセキュリティ アップデートをリリースすることがあります。 これは通常、サードパーティによって悪意を持って悪用されたセキュリティ上の欠陥を修正するために必要です。 このようなアップデートの適用を早めるべきでしょうか、それともスケジュールの次の期間を待つべきでしょうか?
• 失敗したアップデートへの対処: アップデートが正しくインストールできなかったり、問題が発生したりした場合、どう対処しますか?

これらの要素を特定したら、更新を処理するツールを選択します。

手動アップデート管理

従業員が XNUMX 人しかいない店舗などの非常に小規模な企業では、Windows 更新プログラムを手動で構成するのは非常に簡単です。 [設定] > [更新とセキュリティ] > [Windows Update]。 そこで XNUMX つのグループの設定を調整できます。

まず、「活動期間を変更する」を選択し、自分の仕事の習慣に合わせて設定を調整します。 通常、夜間に作業する場合は、これらの値を午後 18 時から午前 XNUMX 時までに構成し、スケジュールされた再起動が午前中に行われるようにすることで、ダウンタイムを回避できます。

次に、「詳細オプション」と「更新をインストールするタイミングを選択」設定を選択し、ルールに従って設定します。

• 機能更新プログラムのインストールを延期する日数を選択します。 最大値は 365 です。
• パッチ火曜日にリリースされる累積的なセキュリティ更新プログラムを含む、品質更新プログラムのインストールを遅らせる日数を選択します。 最大値は 30 日です。

このページのその他の設定は、再起動通知を表示するかどうか (デフォルトで有効)、およびトラフィック対応接続で更新をダウンロードできるかどうか (デフォルトで無効) を制御します。

Windows 10 バージョン 1903 より前には、チャネルを選択するための設定 (半年ごと、またはターゲット半年ごと) もありました。 これはバージョン 1903 で削除され、古いバージョンでは機能しません。

もちろん、更新を遅らせる目的は、単にプロセスを回避して、少し遅れてユーザーを驚かせることではありません。 たとえば、品質更新プログラムを 15 日間延期するようにスケジュールした場合、その時間を更新プログラムの互換性の確認に使用し、その期間が終了する前の都合の良い時間にメンテナンス期間をスケジュールする必要があります。

グループポリシーによる更新の管理

前述の手動設定はすべて、グループ ポリシーを通じて適用することもできます。Windows 10 更新プログラムに関連付けられたポリシーの完全なリストには、通常の手動設定で使用できる設定よりもはるかに多くの設定があります。

これらは、ローカル グループ ポリシー エディター Gpedit.msc またはスクリプトを使用して個々の PC に適用できます。 ただし、ほとんどの場合、これらは Active Directory を備えた Windows ドメインで使用され、ポリシーの組み合わせを PC のグループで管理できます。

かなりの数のポリシーが Windows 10 でのみ使用されます。最も重要なポリシーは、[コンピューターの構成] > [管理用テンプレート] > [Windows コンポーネント] > [Windows Update] > [Windows Update for Business] にある「Windows Update for Business」に関連しています。

• プレビュー ビルドを受け取るタイミング、つまり機能更新のチャネルと遅延を選択します。
• 品質更新プログラムをいつ受信するかを選択します。毎月の累積更新プログラムやその他のセキュリティ関連の更新プログラムを遅らせます。
• プレビュー ビルドの管理: ユーザーが Windows Insider プログラムにマシンを登録し、Insider リングを定義できるとき。

追加のポリシー グループは、[コンピューターの構成] > [管理用テンプレート] > [Windows コンポーネント] > [Windows Update] にあり、次のことができます。

• 更新の一時停止機能へのアクセスを削除します。これにより、ユーザーはインストールを 35 日間遅らせることでインストールを妨げることができなくなります。
• すべての更新設定へのアクセスを削除します。
• トラフィックに基づいた接続での更新の自動ダウンロードを許可します。
• ドライバーのアップデートと一緒にダウンロードしないでください。

次の設定は Windows 10 のみにあり、再起動と通知に関連します。

• アクティブ期間中のアップデートの自動再起動を無効にします。
• 自動再起動の有効期間範囲を指定します。
• 更新プログラムをインストールするための自動再起動の期限を指定します (2 ～ 14 日)。
• 自動再起動について通知するように通知を設定します。これについてユーザーに警告する時間を増やします (15 分から 240 分)。
• 更新をインストールするための自動再起動通知を無効にします。
• 自動再起動通知が 25 秒後に自動的に消えないように設定します。
• 更新遅延ポリシーによる Windows Update スキャンのトリガーを許可しない: このポリシーにより、遅延が割り当てられている場合に PC が更新プログラムをチェックできなくなります。
• ユーザーが再起動時間とスヌーズ通知を管理できるようにします。
• 更新に関する通知 (通知の表示、4 ～ 24 時間)、および差し迫った再起動に関する警告 (15 ～ 60 分) を構成します。
• 電源ポリシーを更新して、ごみ箱を再起動します (バッテリー電源使用時でも更新を許可する教育システム向けの設定)。
• 更新通知設定を表示: 更新通知を無効にできます。

次のポリシーは、Windows 10 と一部の古いバージョンの Windows の両方に存在します。

• 自動更新設定: この設定グループでは、更新を自動的にダウンロードしてインストールする曜日と時間を含む、毎週、隔週、または毎月の更新スケジュールを選択できます。
• イントラネット上の Microsoft Update サービスの場所を指定します。ドメイン内に Windows Server Update Services (WSUS) サーバーを構成します。
• クライアントがターゲット グループに参加できるようにする: 管理者は、Active Directory セキュリティ グループを使用して WSUS 展開リングを定義できます。
• インターネット上の Windows Update の場所に接続しない: ローカル更新サーバーを実行している PC が外部更新サーバーに接続できないようにします。
• Windows Update の電源管理でシステムをスリープ解除して、スケジュールされた更新をインストールできるようにします。
• スケジュールされた時刻に常にシステムを自動的に再起動します。
• システム上で実行中のユーザーがいる場合は、自動的に再起動しません。

大規模な組織で作業するためのツール (エンタープライズ)

Windows ネットワーク インフラストラクチャを備えた大規模組織は、Microsoft アップデート サーバーをバイパスし、ローカル サーバーからアップデートを展開できます。 これには企業の IT 部門の注意がさらに必要になりますが、企業の柔軟性が高まります。 最も一般的な XNUMX つのオプションは、Windows Server Update Services (WSUS) と System Center Configuration Manager (SCCM) です。

WSUS サーバーはより単純です。 これは Windows Server の役割で実行され、組織全体に Windows 更新プログラムの一元的なストレージを提供します。 管理者は、グループ ポリシーを使用して、Windows 10 PC を WSUS サーバーに誘導します。WSUS サーバーは、組織全体の単一のファイル ソースとして機能します。 管理コンソールから、アップデートを承認し、個々の PC または PC のグループにアップデートをいつインストールするかを選択できます。 PC を別のグループに手動で割り当てることも、クライアント側のターゲット設定を使用して、既存の Active Directory セキュリティ グループに基づいて更新を展開することもできます。

Windows 10 の累積的な更新プログラムは、新しいリリースがリリースされるたびにどんどん増えていくため、帯域幅のかなりの部分を占有する可能性があります。 WSUS サーバーは高速インストール ファイルを使用してトラフィックを節約します。これにより、サーバー内により多くの空き領域が必要になりますが、クライアント PC に送信される更新ファイルのサイズは大幅に削減されます。

WSUS 4.0 以降を実行しているサーバーでは、Windows 10 の機能更新プログラムを管理することもできます。

10 番目のオプションである System Center Configuration Manager は、機能豊富な Windows 用 Configuration Manager を WSUS と組み合わせて使用​​し、品質更新プログラムと機能更新プログラムを展開します。 ダッシュボードを使用すると、ネットワーク管理者はネットワーク全体で Windows XNUMX の使用状況を監視し、サポート サイクルの終了が近づいているすべての PC の情報を含むグループベースのメンテナンス プランを作成できます。

組織が以前のバージョンの Windows で動作するように Configuration Manager をすでにインストールしている場合、Windows 10 のサポートを追加するのは非常に簡単です。

出所： habr.com