Microsoft Intune で Windows 品質更新プログラムを迅速化する

[アーティクル]
04/12/2024

Windows 10以降のポリシーの品質更新プログラムを使用すると、Microsoft Intuneで管理するデバイスに最新のWindows 10/11 のセキュリティ更新プログラムを迅速にインストールできます。迅速な更新プログラムの展開は、既存の月次更新プログラムポリシーを一時停止または編集する必要なく行われます。たとえば、しばらくの間、通常の更新プロセスで更新プログラムを展開していない場合、セキュリティの脅威を軽減するために特定の更新プログラムを迅速化できます。

すべての更新プログラムを迅速化できるわけではありません。現在、品質更新ポリシーを使用して展開できるのは、迅速化できる Windows 10/11 セキュリティ更新プログラムのみです。定期的な月次品質更新プログラムを管理するには、Windows 10 以降のポリシー向けの更新リングを使用します。

迅速な更新プログラムのしくみ

迅速な更新プログラムを使用すると、最新の パッチ火曜日 のリリースや、0 日間の欠陥に対する帯域外のセキュリティ更新プログラムなどの品質更新プログラムのインストールを迅速に行うことができます。

迅速な更新ポリシーは、遅延やその他の設定を一時的にオーバーライドして、更新プログラムをできるだけ迅速にインストールします。このプロセスにより、デバイスが更新プログラムをチェックするまで待たずに、迅速な更新プログラムのダウンロードとインストールを開始できます。

デバイスが更新を開始するために必要な実際の時間は、デバイスのインターネット接続、スキャンタイミング、デバイスへの通信チャネルが機能しているかどうか、およびクラウド処理時間などのその他の要因によって異なります。

迅速な更新ポリシーごとに、リリース日に基づいてデプロイする 1 つの更新プログラムを選択します。リリース日を使用することで、Windows 10 バージョン 1809、1909 などの異なるバージョンの Windows を搭載したデバイスに、その更新プログラムの異なるインスタンスを展開するために個別のポリシーを作成する必要がありません。
Windows Update では、各デバイスのビルドとアーキテクチャが評価され、適用される更新プログラムのバージョンが配信されます。
更新が必要なデバイスのみが、迅速な更新プログラムを受信します。
- Windows Update では、更新プログラムのバージョン以上のリビジョンが既に存在するデバイスの更新プログラムの迅速化は試みられません。
- ビルドバージョンが更新プログラムよりも低いデバイスの場合、Windows Update により、更新プログラムをインストールする前に、引き続きそれがデバイスに必要であることが確認されます。
重要

一部のシナリオでは、Windows Update により、迅速な更新ポリシーで指定した更新プログラムよりも新しい更新プログラムをインストールすることができます。このシナリオの詳細については、この記事で後述する最新の適用可能な更新プログラムのインストールに関する説明を参照してください。
迅速な更新ポリシーでは、展開する更新プログラムのバージョンの品質更新プログラムの延期期間が無視され、オーバーライドされます。品質更新プログラムの延期期間を構成するには、Intune Windows 更新リングと [品質更新プログラムの延期期間] の設定を使用します。
更新プログラムのインストールを完了するために再起動が必要な場合、ポリシーが再起動の管理に役立ちます。ポリシーでは、ポリシーによって自動再起動が強制される前にユーザーがデバイスを再起動できる期間を構成できます。また、ユーザーは、再起動をスケジュールするか、またはデバイスの "アクティブ時間" 外に最適な時間をデバイスに見つけさせるかを選択することもできます。再起動の期限に達する前に、デバイスではデバイスのユーザーに期限を警告する通知が表示され、これには、再起動をスケジュールするオプションが含まれます。

期限までにデバイスが再起動されない場合、再起動が営業日の途中で発生する可能性があります。再起動の動作の詳細については、「更新プログラムの対応期限の強制」を参照してください。
通常の月次品質更新プログラムサービスでは、迅速な更新プログラムは推奨されません。代わりに、Windows 10 以降のポリシー向けの更新リングの [期限の設定] の使用を検討してください。詳細については、「Windows Update の設定」に関する記事の「ユーザーエクスペリエンスの設定」にある「期限の設定を使用する」を参照してください。

前提条件

重要

この機能は、GCC および GCC High/DoD クラウド環境ではサポートされていません。

既存の EA でサブスクリプションのアクティブ化を有効にするは、WuFB-DS 機能の GCC および GCC High/DoD クラウド環境には適用されません。

Intune を使用した迅速な品質更新プログラムのインストールに適合する要件は、次のとおりです。

ライセンス:

Intuneのライセンスに加えて、organizationには、Windows Update for Business デプロイサービスのライセンスを含む次のいずれかのサブスクリプションが必要です。

Windows 10/11 Enterprise E3 または E5 (Microsoft 365 F3、E3、または E5 に含まれます)
Windows 10/11 Education A3 または A5 (Microsoft 365 A3 または A5 に含まれます)
Windows Virtual Desktop Access E3 または E5
Microsoft 365 Business Premium

2022 年 11 月以降、Windows Update for Business 展開サービス (WUfB ds) ライセンスがチェックされ、適用されます。

WUfB ds を必要とする機能の新しいポリシーを作成するときにブロックされ、Enterprise Agreement (EA) を介して WUfB を使用するためのライセンスを取得する場合は、Microsoft アカウントチームやライセンスを販売したパートナーなどのライセンスのソースに問い合わせてください。アカウントチームまたはパートナーは、テナントライセンスが WUfB ds ライセンス要件を満たしていることを確認できます。「既存の EA でサブスクリプションのアクティブ化を有効にする」を参照してください。

サポートされる Windows 10/11 のバージョン:

x86 または x64 アーキテクチャでサービスを引き続きサポートする Windows 10/11 のバージョン

一般公開されている更新ビルドのみがサポートされます。ベータおよび開発チャネルを含むプレビュービルドは、更新プログラムの迅速化ではサポートされていません。

サポートされる Windows 10/11 のエディション

Professional
Enterprise
教育
Pro Education
Pro for Workstations

デバイスは、次の条件を満たす必要があります。

Intune MDM に登録する。
Microsoft Entra参加するか、ハイブリッドに参加Microsoft Entra。 Workplace Join はサポートされていません。
エンドポイントにアクセスできます。関連付けられているサービスに必要なエンドポイントの詳細な一覧については、ネットワークエンドポイントに関するページを参照してください。
- Windows Update
- Windows Update for Business の展開サービス
- Windows プッシュ通知サービス: "(推奨されますが、必須ではありません。このアクセスがない場合、デバイスでは次の毎日の更新チェックまで更新が迅速化されない可能性があります)"。
Windows Update サービスから品質更新プログラムを直接取得するように構成されている。
Update Health Tools がインストールされている。これは KB 4023057 - Windows 10 Update Service コンポーネントの更新プログラムでインストールされます。デバイス上に Update Health Tools が存在することを確認するには:
- フォルダー C:\Program Files\Microsoft Update Health Tools を探すか、[プログラムの追加と削除] で Microsoft Update Health Tools を確認してください。
- 管理者として、次の PowerShell スクリプトを実行します。
```
$Session = New-Object -ComObject Microsoft.Update.Session
$Searcher = $Session.CreateUpdateSearcher()
$historyCount = $Searcher.GetTotalHistoryCount()
$list = $Searcher.QueryHistory(0, $historyCount) | Select-Object -Property "Title"
foreach ($update in $list)
{
   if ($update.Title.Contains("4023057"))
   {
      return 1
   }
}
return 0 
```
スクリプトから 1 が返された場合、デバイスには UHS クライアントがあります。スクリプトから 0 が返された場合、デバイスには UHS クライアントがありません。

デバイスの設定:

迅速な更新プログラムのインストールをブロックするおそれのある競合や構成を回避するために、デバイスを次のように構成します。 Intune のWindows 10 以降のポリシー向けの更新リングを使用して、これらの設定を管理できます。

更新リングの設定	おすすめの値
プレリリース版のビルドを有効にする	この設定は、[未構成] に設定する必要があります。ベータおよび開発チャネルを含むプレビュービルドは、更新プログラムの迅速化ではサポートされていません。
自動更新のビヘイビアー	既定値にリセットその他の値を使用すると、ユーザーエクスペリエンスが低下し、更新プログラムを迅速化するプロセスが遅くなる可能性があります。
Update 通知レベルを変更する	[再起動の警告を含むすべての通知をオフする] 以外の値を使用します。

これらの設定の詳細については、「ポリシー CSP - 更新」を参照してください。

グループポリシー設定はモバイルデバイス管理ポリシーをオーバーライドします。次のグループポリシー設定の一覧は、迅速化ポリシーに干渉する場合があります。これらの設定がグループポリシーによって管理されているデバイスでは、これらをデバイスの既定値 (未構成) に復元します。

CorpWuURL - イントラネットの Microsoft 更新サービスの場所を指定します。
AutoUpdateCfg - 自動更新を構成します。
DeferFeatureUpdates - プレビュービルドや機能更新プログラムをいつ受信するかを選択します。
デュアルスキャンを無効にする - 更新プログラムの延期ポリシーによって Windows Update に対するスキャンが実行されないようにします。

[Windows の正常性の監視] を有効にする:

迅速な更新の結果と更新の状態を監視する前に、Intune テナントでデータ収集を有効にする必要があります。

Workplace 参加済みデバイスの制限事項

Windows 10 以降の品質更新プログラムのIntuneポリシーでは、Windows Update for Business (WUfB) と Windows Update for Business デプロイサービス (WUfB ds) の使用が必要です。 WUfB が WPJ デバイスをサポートする場合、WUfB ds は WPJ デバイスでサポートされていない追加機能を提供します。

Intune Windows Update ポリシーに関する WPJ の制限事項の詳細については、「Windows 10の管理」の「Workplace 参加済みデバイスのポリシーの制限事項」および「Intuneのソフトウェア更新プログラムをWindows 11する」を参照してください。

迅速な品質更新プログラムを作成して割り当てる

Microsoft Intune 管理センターにサインインします。
[デバイス>Windows 10以降の更新プログラム品質更新>プログラム >プロファイルの作成] を選択します。
[設定]で、このプロファイルを識別するための次のプロパティを入力します。
- 名前: プロファイルのわかりやすい名前を入力します。後で簡単に識別できるよう、プロファイルに名前を付けます。
- 説明: プロファイルの説明を入力しますこの設定は省略可能ですが、おすすめされています。
[設定]で、[Expedite installation of quality updates if device OS version less than]$デバイスの OS バージョンがこれより古い場合に品質更新プログラムのインストールを迅速化する$ を構成します。ドロップダウンリストから、迅速化する更新プログラムを選択します。リストには、迅速化できる更新プログラムのみが含まれます。

ヒント

オプションの Windows 品質更新プログラムは迅速化できないので、選択できません。

更新プログラムを選択する場合:
- 更新プログラムは、リリース日で識別され、ポリシーごとに選択できる更新プログラムは 1 つだけです。
- 名前に文字 B が含まれている更新プログラムは、"月例パッチ" イベントの一部としてリリースされた更新プログラムであることを示します。文字 B は、更新プログラムが月の第 2 火曜日にリリースされたことを示します。
- 月例パッチの帯域外でリリースされる Windows 10/11 のセキュリティ更新プログラムは、迅速化できます。 帯域外パッチリリースには、文字 B ではなく別の識別子が含まれます。
- 更新プログラムを展開すると、Windows Update により、ポリシーを受信する各デバイスに、そのデバイスのアーキテクチャに適用される更新プログラムのバージョンと、現在の Windows バージョン (バージョン 1809、2004 など) が確実にインストールされます。
セキュリティ以外の迅速Updates: 以前の B/Security リリース後の品質修正が含まれています。管理者は、延期期間を待たずに、デバイスに適用できる最新の品質更新プログラムのインストールを迅速に行うことができます。
- SecurityUpdate という単語を使用しないUpdatesは、セキュリティ更新プログラムではないことを示します。名前に文字 D を含むUpdatesは、最新のパッチ火曜日のセキュリティ週間以降にリリースされた更新プログラムを識別します。 2024.01 OOB Update (帯域外 パッチリリース) も表示される場合があります。 Windows の月次更新プログラムの説明
- セキュリティ以外の更新プログラムは、最新のリリースの場合にのみ表示されます。ドロップダウンリストが更新され、最新の 2 つのセキュリティ更新プログラム (1 つが帯域外の更新プログラムの場合など) が表示されます。最新のセキュリティ以外の更新プログラムが最新のセキュリティ更新プログラムよりも新しい場合は、セキュリティ以外の更新プログラムもドロップダウンリストに含まれます。その結果、場合によっては 2 つの更新プログラムが表示され、それ以外の場合は 3 つの更新プログラムが表示されます。
  
  ヒント
  
  詳細については、ブログ「Windows 10 更新サービスの頻度 - Microsoft Tech Community」を参照してください。
- セキュリティ以外の迅速な更新プログラムは、Windows 11デバイスに適用されます。 Windows 10デバイスが D リリースを設定する Expedite ポリシーに割り当てられている場合、それらのデバイスは迅速化されず、次のレポートにアラートが表示されます。
  - レポート>Windows Updates>Reports タブ >Windows の迅速な更新レポート
  - デバイス>Windows 10以降の更新プログラム>[モニター] タブ>の [迅速な品質更新ポリシーとアラート] タイルを使用して、タイトルをクリックします。
[設定]で、[Number of days to wait before forced reboot]$強制再起動までの日数$ を構成します。この設定では、更新プログラムのインストール後、更新プログラムのインストールを完了するためにデバイスが自動的に再起動されるまでの期間を選択します。 0 日間から 2 日間までを選択できます。期限前にデバイスが手動で再起動された場合、自動再起動は取り消されます。更新プログラムが再起動を必要としない場合、この設定は適用されません。
- [0 日間] の設定は、デバイスに更新プログラムがインストールされた直後に、ユーザーに再起動が通知され、ユーザーが作業を保存する時間が限られていることを意味します。
  
  重要
  
  このエクスペリエンスは、ユーザーの生産性に影響を与える危険性があります。これは、可能な限りすばやく完了し、デバイスを再起動する必要があるデバイスまたは更新プログラムに対して使用することを検討してください。
- [1 日間] または [2 日間] の設定により、デバイスのユーザーは、再起動が強制的に実行される前に再起動を柔軟に管理することができます。これらの設定は、更新プログラムがデバイスにインストールされてから自動再起動までの 24 時間または 48 時間の遅延に対応します。
[割り当て] で、[グループの追加] を選択し、ポリシーを割り当てるデバイスまたはユーザーのグループを選択します。
レビューと作成ページで、[作成] を選択します。ポリシーが作成されると、割り当てられたグループに展開されます。

品質更新プログラムを迅速化するポリシーを管理する

管理センターで、[デバイス]>[Windows]>[Windows 10 以降向け品質更新プログラム] の順に移動して、管理するポリシーを選択します。ポリシーがその [概要] ウィンドウに表示されます。

このウィンドウから、次の作業を実行できます。

ポリシーを Intune から削除するには、[削除] を選択します。ポリシーを削除すると、Intune から削除されますが、更新プログラムのインストールが完了していれば、アンインストールされることはありません。 Windows Update では、進行中のインストールの取り消しを試みますが、進行中のインストールが正常に取り消される保証はありません。
[プロパティ] を選択して、その展開を変更します。 "[プロパティ]" ウィンドウで、[編集] を選択し、[設定]、[スコープタグ]、または [割り当て] を開くと、展開を変更できます。

監視とレポート

迅速な更新の結果と更新の状態を監視する前に、Intune テナントでデータ収集を有効にする必要があります。

ポリシーを作成した後、次のレポートで結果、更新の状態、エラーを監視することができます。

概要レポート

このレポートには、プロファイル内のすべてのデバイスの現在の状態が表示され、更新プログラムのインストールが進行中、インストールが完了した、またはエラーが発生した各デバイスの数の概要が示されます。

Microsoft Intune 管理センターにサインインします。
[レポート]>[Windows 更新プログラム] の順に選択します。 [概要] タブで、[Windows の迅速な品質更新プログラム] テーブルを表示できます。
詳細情報を表示するには、[レポート] タブ、[Windows Expedited Update Report]$Windows Expedited Update レポート$ の順に選択します。
「迅速な更新プログラムのプロファイルを選択する」のリンクをクリックします。
ページの右側に表示されるプロファイルの一覧から、結果を確認するプロファイルを選択します。
[レポートの生成] ボタンを選択します。

デバイスレポート

このレポートは、アラートまたはエラーが発生したデバイスを検出するのに役立ちます。また、更新プログラムの問題のトラブルシューティングにも役立ちます。

Microsoft Intune管理センターにサインインする
[デバイス]>[監視] の順に選択します。
監視レポートの一覧で、[ソフトウェア更新プログラム] セクションまでスクロールし、[Windows Expedited update failures]$Windows Expedited 更新プログラムの失敗$ を選択します。
ページの右側に表示されるプロファイルの一覧から、結果を確認するプロファイルを選択します。

更新の状態

更新の状態	更新の下位状態	定義
Pending	Validating	デバイスがサービスのポリシーに追加され、デバイスを迅速化できるかどうかの検証が開始されました。
Pending	スケジュール済み	デバイスは、検証に合格し、迅速化されます。
オファリング	OfferReady	迅速化の指示がデバイスに送信されました。
インストール	OfferReceived	デバイスにより、Windows Update に対するスキャンが実行され、更新プログラムは適用できますが、ダウンロードは開始されていません。
インストール	DownloadStart	デバイスで、更新プログラムのダウンロードが開始されました。
インストール	DownloadComplete	デバイスで、更新プログラムがダウンロードされました。
インストール	InstallStart	デバイスで、更新プログラムのインストールが開始されました。
インストール	InstallComplete	デバイスで、更新プログラムのインストールが完了しました。更新プログラムに更新エラーがない限り、デバイスはすぐに、RestartRequired または UpdateInstalled に移ります。
インストール	RestartRequired	インストールが完了し、再起動する必要があります。
インストール	RestartInitiated	デバイスの再起動が開始されました。
インストール	RestartComplete	デバイスの再起動が完了しました。
インストール済み	UpdateInstalled	更新は正常に完了しました。

Microsoft Intune で Windows 品質更新プログラムを迅速化する

迅速な更新プログラムのしくみ