教育機関向け Microsoft Intune を使った Windows 更新プログラムの管理

By Scott Breen, Senior Product Manager | Microsoft Intune

2023年4月6日

Windows Update for Business は、世界中の膨大な数の Windows 端末を毎月更新する、マイクロソフトのインテリジェントな更新サービスです。Windows Update for Business は、テレメトリを使用して更新プログラムの対象を動的に指定すると同時に、組織で管理される端末も Intune からポリシーを設定することで、更新プログラムの適用方法を細かく設定できます。Windows Update クライアントサービスには更新プログラムの動作を構成するための数多くのオプションが用意されており、多様な端末の利用シナリオに対応することができます。

このブログ記事では以下の用語を使用します。

アクティブ時間： Windows の更新によってユーザーに影響が及ばないようにするために構成可能な期間です。既定の期間は午前 8 時から午後 5 時ですが、Intune を使用して設定を変更することもできます。
品質更新プログラム：セキュリティ更新と修正を含む毎月リリースされる更新プログラム。
機能更新プログラム：Windows の新機能や機能変更を含む更新プログラムで、例えば Windows 10 22H2 などというバージョン名で呼ばれるものです。

教育機関で利用される端末の利用シナリオは、主に 2 つ存在します。1 つは、一般的な利用シナリオで、もう 1 つは、複数人が利用することがあり、利用後は保管庫にしまうような端末、または据え置き型のデスクトップ端末といった利用シナリオです。一般的な端末は、毎日生徒が利用する方法が様々で柔軟に利用されるシナリオと言えます。例えば、端末が 45 分間の授業の間だけ利用された後、電源をシャットダウンしたり、利用していない場合には電源に接続していない状況が多くありえるようなシナリオです。一方で保管庫にしまう端末とは、据え置き型のデスクトップ端末や、ノート型端末においても利用後には常にスリープ状態かつ電源とインターネットに常時接続することができるような保管スペースにしまっておくことが想定されるシナリオです。この保管庫にしまう端末シナリオでは、基本的には端末は常にスリープ状態でスタンバイしており、電源をシャットダウンされることはあまり想定されません。一般的な端末向けの Windows Update の設定は、いずれの利用シナリオでも、ユーザーエクスペリエンスと端末のセキュリティのバランスがとれるように最適化されています。

しかしながら、以下の条件で夜間、保管庫にしまう端末向けに設計された設定も用意されています。

電源に接続されているか、70% 以上電池が残っている
インターネットに接続されている
電源がオンのまま、スリープモードになっている

スライド画像「端末の利用シナリオ」／一般的な端末：端末の状態や電源接続を一括で管理できない場合／電源の接続の状態が一括管理できない／端末の起動状態を一括管理できない／保管庫にしまう端末：端末の状態や電源接続を一括で管理できる場合／電源とネットワーク接続を一括管理できる：一晩中電源接続されている、70％以上バッテリー充電がある、インターネットに接続している／起動状態を一括管理できる：起動中、スリープ、シャットダウンしている、休止（ハイバネート）している

Windows Update には、保管庫にしまう端末向けに、再起動チェック (別名 setEduRestart) という設定が用意されています。この設定が [スキップ] に設定されている場合、アクティブ時間外に端末で更新プログラムのダウンロードとインストールおよび再起動が行われます (既定のアクティブ時間は午前 8 時から午後 5 時ですが、ActiveHoursStart と ActiveHoursEnd の設定を使用して任意のアクティブ時間を Intune から構成することもできます)。

アクティブ時間外にスリープにも電源オンにもなっていない端末で [再起動チェック] が [スキップ] に設定されている場合、Windows 更新プログラムのインストールは行われません。

お客様の環境にこれら 2 つの利用シナリオの端末が混在している場合もあるかもしれません。この場合、以下のような対応をご検討いただけます。

すべての端末に一般的な端末用の設定を適用し、全ての端末の Windows 更新エクスペリエンスを統一する。
または保管庫にしまう端末に対してのみ、保管庫にしまう端末用の設定を適用して、それ以外の端末には一般的な端末向けの設定を適用する。

スライド画像／両シナリオに一般的な端末向け設定／各シナリオに応じて異なる設定／保管庫にしまう端末：電源接続されている、70% 以上バッテリー充電がある、起動中、スリープ／一般的な端末：起動しているか分からない、電源接続されているか分からない

Microsoft Intune を使用した Windows Update の構成

Intune では、「更新リングポリシー」というポリシーを使用して Windows Update の動作を構成できます。更新リングポリシーを使用すると、端末に更新プログラムを適用するタイミングやエンドユーザーエクスペリエンスを構成できます。また、更新リングポリシーを使用して、更新プログラムの一時停止と再開、または直近の更新プログラムのアンインストールを実行するということもできます。

マイクロソフトは Windows Update の既定の動作を使用するよう推奨していますが、一方で組織によって違いがあり、固有の要件が存在する場合があることも認識しています。一般的な端末向けの設定と保管庫にしまう端末向けの設定で動作を変更する設定のうち、主に注意が必要な項目は再起動チェックの設定です。この設定は、保管庫にしまう端末の条件を満たしている場合以外は、[許可] に設定する必要があります。次の表から、再起動チェック設定を使用する条件をご判断いただけます。

端末の条件	Windows Update のシナリオ	再起動チェック
・条件を問わない	一般的な端末向けのシナリオ
・アクティブ時間外に保管庫で保管されている・毎晩、電源がオンのまま、スリープモードになっている	保管庫にしまう端末向けのシナリオ	必要に応じて [スキップ] に設定

詳細については、「Intune での Windows 10 以降のポリシー用の更新リング」を参照してください。

Tips :機能更新プログラムの適用タイミングなどを細かく管理、構成したい場合、機能更新プログラムポリシーを使用することができます。機能更新プログラムポリシーを使用して Windows 機能更新プログラムのバージョンを管理する場合、機能更新プログラムポリシーの設定を定期的にチェックして、必要に応じアップグレードしたい対象の機能更新プログラムバージョンに合わせてポリシーを更新する必要があります。