Windows Updateについて複数社に聞いてみた話

各社Windows Updateってどうやってるの？ということで数社の情シスが集まってLT会実施した時の話。

集まった流れについては以下のありがたいnoteを参照してください。

ケース1 資産管理ソフトでの管理

配布：資産管理ソフトを利用して配布
適用：情シスより告知をしてユーザに検証および適用を依頼
　　　一定期間を過ぎたら資産管理ソフトで強制適用
悩み所：資産管理ソフトを経由するため、すぐに適用ができない。
　　　　社外のPCに強制更新がさせられない。
　　　　検証は依頼はしても不具合が出たら実際に消すのは情シス

ケース2　WSUSでの管理1

配布：ADの設定含めてアウトソーシング
適用：適用計画を作成し、アウトソーシング先に依頼書を提出
　　　ユーザに更新作業をするように依頼
　　　一定期間を過ぎたら再度適用の告知を実施
悩み所：拠点によって回線の帯域が厳しいところがあるため、帯域圧迫し
　　　　ないようにOUを分けて配布タイミングをずらさざるを得ない。

ケース3 資産管理ソフト+WSUS

現状は資産管理とWSUSの連携はできいないが、将来的には以下のようにしたい
配布：WSUS
適用：業務時間外に資産管理ソフトによりPCの電源をONにして適用を実施
悩み所：帯域制御をしたい
　　　　外部に持って行ったPCは適用されないので困る。

ケース4 手動

現状は資産管理とWSUSの連携はできいないが、将来的には以下のようにしたい。配布：ADもないため、そのままWindows Update
適用：ローカルポリシーで機能更新プログラムのバージョンだけ
　　　1台1台手動指定（設定情報はこちら）
悩み所：2021/03のプリンタドライバ不具合が発生した場合は都度個別に
　　　　対応する必要があり大変。

ケース5 MECM +WSUS

対象クライアント数万をMicrosoft Endpoint Configuration Managerで管理
※MECM=旧SCCM
配布：MECMで一定期間毎に「各アプリ検証責任者、人柱、全ユーザ」と
　　　対象を分けて配布。
　　　各アプリ検証責任者に通知し、期間内に問題点がなければ次の
　　　適用先に配布していく。
　　　検証の内容はユーザに任せている。
適用：基本的には業務時間外に適用させる。
　　　再起動の制御ができるため、非常に便利
悩み所：MECMの日本語資料がない
　　　　ログが難解
　　　　管理者側に一定以上の知識が必要
　　　　エージェントが不安定

ケース6 WSUSでの管理2

以下を参照

感想

詳細は省くが、それぞれの社内事情により上記の環境となっている。
一通りのお話をお伺いした感想は以下。

・適用の検証はアプリによっては必要だが、内容はユーザに決めてもら
　わざるを得ない。
・某猫の管理ソフトは適用させるパッチをDLしてファイルサーバに上げ
　ないといけない点は不便。
　WSUSと連携すれば便利になるのだろう。
・人柱配布はあったほうが良いかもしれない。
・WSUS運用の場合はメンテが面倒。
・Windows Updateは帯域との戦いにもなる。
　WSUSでできることは以前書いた記事にいずれ追記しようと思う。
・ADない環境はきつそう。レジストリファイルを実行してもらうなどの
　軽減策を使って楽にしていかないといけない。参考資料
・リモートワークを意識するとクラウドベースでの配布を模索していかね
　ばならない。(Intuneの勉強が必要か)

ある程度のテーマをもって他社の運用どうなってるの？というのを聞けるのはとてもありがたかった。自社の状況を整理することで見えてくるものもあるので、とてもよい時間だった。

お話を聞かせて頂いた皆様ありがとうございました。非常に勉強になりました。