Windows 品質更新プログラムのポリシーを迅速化する

迅速化ポリシーを使用すると、Microsoft Intune で管理するデバイスへの特定の Windows セキュリティ更新プログラムとセキュリティ以外の更新プログラムのインストールを迅速化できます。 優先更新プログラムは、延期設定や通常の展開タイミングをバイパスして、できるだけ早期にインストールされます。既存の月次更新ポリシーを一時停止または変更する必要はありません。

標準の更新プロセスではすぐに更新プログラムを展開できない場合に、優先ポリシーを使用して、重大なセキュリティの脆弱性を迅速に軽減できます。 優先ポリシーは、対象を絞った期限付きのシナリオ向けに設計されており、将来の品質更新プログラムの展開方法を変更しません。

すべての更新が優先の対象となるわけではありません。 サポートされている Windows セキュリティ更新プログラムのみを優先できます。 毎月の定期的な品質更新プログラムを管理するには、更新リングや Windows 品質更新プログラム ポリシーなどの標準の Windows Update メカニズムを引き続き使用します。

開始する前に

正常性ツールの更新

24H2 より前の Windows バージョンの場合、迅速な更新をサポートするには、デバイスで更新プログラムの正常性ツールが必要です。 ツールは KB4023057 を使用してインストールすることも、 Microsoft ダウンロード センターから手動でインストールすることもできます。

Windows 11 バージョン 24H2 以降の場合、優先更新をサポートするためにデバイスに更新プログラムの正常性ツールをインストールしないでください。 更新プログラムの正常性ツールがデバイスに存在するかどうかを確認するには、次の手順を実行します。

• C:\Program Files\Microsoft Update Health Tools というタイトルのフォルダーを探すか、Microsoft Update Health Tools のサービスを確認するか、プログラムを追加または削除します。
• 管理者として (または Intune から)、次の PowerShell スクリプトを実行します。

### Check for the Microsoft Update Health Service; if found, no remediation is needed.
if (Get-Service -Name "Microsoft Update Health Service" -ErrorAction SilentlyContinue) {
    Write-Host "Microsoft Update Health Service is present."
    Exit 0
} else {
    Write-Host "Microsoft Update Health Service is missing."
    Exit 1
}

スクリプトが 1 を返す場合、デバイスには UHS クライアントがあります。 スクリプトが 0を返す場合、デバイスには UHS クライアントがありません。 Windows 11 バージョン 24H2 以降が使用されており、スクリプトが UHS クライアントを識別する場合は、修正する必要があります。 これを修正するには、PowerShell スクリプトを使用して MSI をアンインストールします。

迅速な更新プログラムのしくみ

優先ポリシーを作成するときは、サポートされている Windows セキュリティ更新プログラムを 1 つ選択して展開します。 この更新プログラムはリリース日によって識別されます。これにより、バージョン固有のポリシーを作成せずに、1 つのポリシーをサポートされている複数の Windows バージョンに適用できます。

ポリシーが割り当てられた後、Windows Update は各ターゲット デバイスを評価して適用性を判断します。 評価ではデバイスの現在のビルド、アーキテクチャ、および更新プログラムの状態が考慮され、必要に応じて適切なバージョンの更新プログラムが Windows Update で提供されます。

更新プログラムを必要とするデバイスのみが更新プログラムを受信します:

• 既に同じ更新プログラム、またはより新しい適用可能な更新プログラムがあるデバイスは、優先更新プログラムを受信しません。

• 以前のビルドのデバイスの場合、Windows Update はインストール前に更新プログラムが引き続き適用可能であることを確認します。

  重要

  一部のシナリオでは、優先ポリシーで指定された更新プログラムよりも新しい更新プログラムが Windows Update によってインストールされる場合があります。 この動作により、デバイスは適用可能な最新のセキュリティ更新プログラムを確実に受信します。

デバイスが次の更新スキャンを完了し、サービスと通信すると、優先更新プログラムのインストールが開始されます。 インストールの開始に必要な時間は、デバイス接続、スキャンのタイミング、サービス処理などの要因によって異なります。

再起動が必要な場合は、再起動を強制する前にユーザーがデバイスの再起動を制御する必要がある期間を定義するために、再起動期限を構成できます。 ユーザーは、すぐに再起動したり、再起動をスケジュールしたり、Windows がアクティブ時間外の時間を選択できるようにしたりできます。 通知は、保留中の再起動と更新の期限をユーザーに通知します。

期限前にデバイスが再起動しない場合は、稼働時間中に再起動が発生する可能性があります。 詳細については、「 更新プログラムの対応期限の強制」を参照してください。

迅速化ポリシーは、将来の品質更新プログラムの展開方法には影響しません。 継続的な月次サービスを管理するには、更新リング ポリシーまたは Windows 品質更新プログラム ポリシーとその期限設定を使用します。

迅速な品質更新プログラムを作成して割り当てる

1. Microsoft Intune 管理センターで、[デバイス>Windows Updates] を選択します。

2. [ 品質更新プログラム] を選択します。

3. [ ポリシーの作成>迅速化] を選択します。

4. [設定]で、このプロファイルを識別するための次のプロパティを入力します。

   • 名前: プロファイルのわかりやすい名前を入力します。
   • 説明: プロファイルの説明を入力します この設定は省略可能ですが、おすすめされています。
   • [優先する 品質更新プログラムの選択] ドロップダウン リストから、優先処理する更新プログラムを選択します。 リストには、迅速化できる更新プログラムのみが含まれます。

   更新プログラムを選択する場合:

   • ポリシーごとに選択できる更新プログラムは 1 つだけです。
   • Updates はリリース日によって識別されます。 名前に文字 B を含む Updates は、火曜日のパッチ イベントの一部としてリリースされます。 これらの更新プログラムは、毎月第 2 火曜日にリリースされます。
   • 火曜日のパッチから帯域外でリリースされる Windows のセキュリティ更新プログラムを迅速化できます。 文字 B の代わりに、帯 域外 (OOB) パッチ リリースでは OOB サフィックスが使用されます。
   • Windows Update により、更新プログラムが正しく展開されます。 ポリシーを受け取った後、各デバイスは、そのデバイスのアーキテクチャと現在の Windows バージョン (Windows 11、バージョン 24H2、25H2 など) に適用されるバージョンの更新プログラムをインストールします。

   セキュリティ以外の優先更新プログラム: これらは、以前のセキュリティ (B) リリースの後にリリースされた品質修正プログラムです。 管理者は、延期期間を待つことなく、デバイス上に該当する最新の品質更新プログラムのインストールを迅速に行うことができます。

   • SecurityUpdate という単語のない Updates は、セキュリティ更新プログラムではないことを示します。 名前に文字 D を含む Updates は、最新のパッチ Tuesday セキュリティ ウィーク以降にリリースされた更新プログラムを識別します。 2024.01 OOB 更新プログラム (帯域外 パッチ リリース) が表示される場合もあります。 Windows の月次更新プログラムの説明をご覧ください。

   • ドロップダウン リストには、OOB セキュリティ更新プログラムを含む、最新の 2 つのセキュリティ更新プログラムが表示されます。 セキュリティ以外の更新プログラムは、最新のセキュリティ更新プログラムが存在しない場合にのみ表示されます。 対象となる場合、最新のセキュリティ以外の更新プログラムと、帯域外 (OOB) でリリースされた場合にのみ以前のセキュリティ以外の更新プログラムがドロップダウンに表示されます。 セキュリティ更新プログラムがリリースされると、セキュリティ以外の更新プログラム (D または OOB) はドロップダウン リストに表示されなくなります。

     ヒント

     詳細については、ブログ「Windows Update Servicing cadence - Microsoft Tech Community」を参照してください。

   • セキュリティ以外の優先更新プログラムは、Windows 11 デバイスに適用されます。 Windows 10 デバイスが D リリースを設定する Expedite ポリシーに割り当てられている場合、それらのデバイスは優先されず、次のレポートに警告が表示されます。

5. [ 設定] で、構成します 再起動が必要な場合は、再起動が適用されるまでの日数を選択します。 この設定では、更新プログラムのインストール後、更新プログラムのインストールを完了するためにデバイスが自動的に再起動されるまでの期間を選択します。 0 日間から 2 日間までを選択できます。 期限前にデバイスが手動で再起動された場合、自動再起動は取り消されます。 更新で再起動が必要ない場合、この設定は強制されません。

   • [0 日間] の設定は、デバイスに更新プログラムがインストールされた直後に、ユーザーに再起動が通知され、ユーザーが作業を保存する時間が限られていることを意味します。

     重要

     このエクスペリエンスは、ユーザーの生産性に影響を与える危険性があります。 これは、可能な限りすばやく完了し、デバイスを再起動する必要があるデバイスまたは更新プログラムに対して使用することを検討してください。

   • 1 日または 2 日の設定により、デバイス ユーザーは再起動を強制する前に柔軟に管理できます。 これらの設定は、更新プログラムがデバイスにインストールされてから自動再起動までの 24 時間または 48 時間の遅延に対応します。 この時刻は、アクティブ時間に関係なく、デバイスが強制的に再起動される前に、ユーザーに事前通知を提供します。

6. [割り当て] で、[グループの追加] を選択し、ポリシーを割り当てるデバイスまたはユーザーのグループを選択します。

7. レビューと作成ページで、[作成] を選択します。 ポリシーが作成されると、割り当てられたグループに展開されます。

最新の適用可能な更新プログラムを特定する

更新を迅速化するポリシーによって、ポリシーで指定されているバージョンよりも新しい更新プログラムがインストールされる可能性があるシナリオがあります。 このような結果は、新しい更新プログラムに、指定された更新プログラムが含まれており、その新しい更新プログラムが、指定された更新プログラムを上回るものであり、デバイスがチェックインして、迅速な更新プログラムのポリシーで指定された更新プログラムをインストールする前に利用できる場合に発生します。 このシナリオの詳細な例は 、この記事の後半で説明します。

最新の品質更新プログラムをインストールすると、意図した更新プログラムの利点を適用しながら、デバイスとユーザーの中断を減らします。 これにより、複数の更新プログラムをインストールする必要がなくなります。更新プログラムでは、それぞれ個別に再起動が必要になる可能性があります。

最新の更新プログラムは、次の条件が満たされた場合に展開されます。

• デバイスは、最新の更新プログラムのインストールをブロックする延期ポリシーの対象ではない。 この場合、延期されない最新の利用可能な更新プログラムが、インストールされる可能性がある更新プログラムです。

• 更新を迅速化するプロセス中に、デバイスはより新しい更新プログラムを検出する新しいスキャンを実行します。 これは、次のタイミングで発生する可能性があります。

  • インストールを完了するためにデバイスが再起動されるとき
  • デバイスで毎日のスキャンが実行されるとき
  • 新しい更新プログラムが利用可能になったとき

  スキャンで新しい更新プログラムが検出されると、Windows Update は元の更新プログラムのインストールを停止し、再起動を取り消してから、より新しい更新プログラムのダウンロードとインストールを開始します。

優先更新ポリシーは、ポリシーで指定された更新バージョンの更新延期を上書きしますが、他の更新バージョンに対して設定されている延期は上書きしません。

迅速な更新プログラムのインストールの例

次の一連のイベントは、 Test-1 と Test-2 という名前の 2 つのデバイスが、デバイスに割り当てられている品質更新プログラムのポリシーに基づいて更新プログラムをインストールする方法の例を示しています。

1. Intune 管理者は、毎月第 4 火曜日に最新の Windows 品質更新プログラムを展開します。 これにより、月例パッチ イベントから更新プログラムが強制的にインストールされるまで 2 週間の期間が与えられ、管理者はその間に、環境内の更新プログラムを検証することができます。

2. 1 月 19 日に、デバイス Test-1 と Test-2 は、1 月 12 日の patch Tuesday リリースからの最新の品質更新プログラムをインストールします。 翌日、どちらのデバイスも、それぞれ休暇で出かけるユーザーによって電源が切断されます。

3. 2 月 9 日に、Intune 管理者は、パッチのインストールを迅速化するポリシーを作成します 火曜日のリリース 2025 年 2 月 9 日 - 2025.02 B Windows のセキュリティ Updates は、更新プログラムによって解決される重大な脅威から企業デバイスをセキュリティで保護するのに役立ちます。 この迅速化ポリシーは、Test-1 と Test-2 の両方を含むデバイスのグループに割り当てられます。 そのグループに含まれるアクティブなすべてのデバイスでは、迅速な更新プログラムのポリシーが受信され、更新プログラムがインストールされます。

4. 3 月 9 日の火曜日パッチ イベントで、新しい品質更新プログラムが 2025 年 3 月 9 日 - 2025.03 としてリリースされます B Security Updates for Windows。 この更新プログラムには、迅速な展開を必要とする重大な問題はありませんが、管理者は、競合の危険性があることを発見します。 発生するおそれのある問題を確認する時間を提供するために、管理者は Windows 更新リング ポリシーを使用して、7 日間の延期ポリシーを作成します。 すべてのマネージド デバイスでは、3 月 14 日まで、この更新プログラムをインストールできません。

5. ここで、それぞれが再度電源を入れられた Test-1 と Test-2 の次の結果について考えてみましょう。

   • Test-1 - 3 月 12 日、Test-1 は再度電源が入れられ、ネットワークに接続されて、迅速な更新プログラムの通知を受信します。

     1. Windows Update により、Test-1 では、依然としてポリシーごとに更新プログラムのインストールを迅速化する必要があると判断されます。
     2. 3 月 9 日の更新プログラムは、2 月の更新プログラムを置き換えるため、Windows Update により、3 月 9 日の更新プログラムをインストールできました。
     3. 3 月の更新プログラムのアクティブな延期は、3 月 14 日まで期限切れになりません。

     結果: 3 月の更新プログラムの延期ポリシーが引き続きアクティブで、その更新プログラムのインストールがブロックされている状態で、 デバイス テスト 1 はポリシーで構成されている 2 月の更新プログラムをインストールします。

   • Test-2 - 3 月 20 日、Test-2 の電源が再度入れられ、ネットワークに接続されて、迅速な更新プログラムの通知が受信されます。

     1. Windows Update により、Test-2 では、依然としてポリシーごとに更新プログラムのインストールを迅速化する必要があると判断されます。
     2. 3 月 9 日の更新プログラムは、2 月の更新プログラムを置き換えるため、Windows Update により、3 月 9 日の更新プログラムをインストールできました。
     3. 3 月の更新プログラムの延期はアクティブではなくなります。

     結果: 3 月の更新プログラムの延期ポリシーは期限切れになり、Test-2 では、最新の 3 月の更新プログラムがインストールされます。2 月の更新プログラムはスキップされ、ポリシーで指定されたものより後の更新プログラムがインストールされます。

優先ポリシーを管理する

1. Microsoft Intune 管理センターで、[デバイス>Windows Updates] を選択します。
2. [ 品質更新プログラム ] タブを選択し、管理するポリシーを選択します。 ポリシーがその [概要] ウィンドウに表示されます。

このウィンドウから、次の作業を実行できます。

• ポリシーを Intune から削除するには、[削除] を選択します。 ポリシーを削除すると Intune から削除されますが、既にインストールが完了している場合は更新プログラムはアンインストールされません。 Windows Update は進行中のインストールを取り消そうとしますが、進行中のインストールの取り消しは保証されません。
• [プロパティ] を選択して、その展開を変更します。 "[プロパティ]" ウィンドウで、[編集] を選択し、[設定]、[スコープ タグ]、または [割り当て] を開くと、展開を変更できます。

監視とレポート

優先ポリシーを作成すると、次のレポートから結果、更新状態、エラーを監視できます。 レポートの詳細については、各タブを選択してください。