ここでは、特定のPCに対してセキュリティパッチを選択して適用する方法を説明します。
通常、“6.2.4 セキュリティパッチを選択する”で選択したセキュリティパッチが配信/適用の対象となります。そのため、[ポリシーグループ管理]の「ポリシーグループ一覧」に表示されている「グループ種別」が“CS”または“DS”となっているポリシーグループではパッチ適用ポリシーを選択する必要はありません。
しかし、特定のセキュリティパッチを適用すると運用上問題のあるPCに対しては、セキュリティパッチを選択する必要があります。
[ポリシーグループ管理]-「ポリシーグループ一覧」に表示されている「グループ種別」が“ポリシーグループ”となっているポリシーグループに対して、パッチ適用ポリシーの選択が可能です。
これにより、特定のセキュリティパッチを適用すると運用上問題のあるPCに対して、例外的なパッチ適用の運用が行えます。これらの例外的な運用は、セキュリティパッチの自動適用や手動適用（ソフトウェアダウンロード画面からのパッチ適用、[スタート]メニュー（[アプリ]画面）からの[パッチ適用]）でも有効となります。
適用するセキュリティパッチの選択時には、以下の設定を行うことができます。
特定のPCに対して、適用するセキュリティパッチ選択する設定
特定のPCに対して、現状以降に提供されるセキュリティパッチを適用しない設定
上記の設定を組み合わせて運用することもできます。
運用のイメージ
特定のPCに対し、セキュリティパッチを選択して適用する運用のイメージ図を以下に示します。
イメージ図の「全PCに適用するセキュリティパッチの設定(デフォルト)」は、以下のグループのPCです。
「グループ種別」が“CS”または“DS”
「グループ種別」が“ポリシーグループ”で、パッチ適用ポリシーが未設定
このPCには、“6.2.4 セキュリティパッチを選択する”で配信対象としたパッチがすべて適用されます。
イメージ図の「適用するセキュリティパッチを選択(ポリシーグループ単位)」は、以下のグループのPCです。
「グループ種別」が“ポリシーグループ”で、パッチ適用ポリシーが設定済み
このPCには“6.2.4 セキュリティパッチを選択する”で配信対象としたパッチのうち、パッチ適用ポリシーにおいても適用と選択するパッチだけが適用されます。
このように、パッチ適用ポリシーを設定したグループを利用することで、特定のPCについて適用するパッチを一部除外するという運用ができます。
設定手順
パッチ適用ポリシーの設定手順は、以下のとおりです。
グループが使用するパッチ適用ポリシーを選択する方法は、“2.3.1.1 ポリシーグループを追加する”を参照してください。
[環境設定]-[ポリシーグループ管理]をクリックします。
→以下の画面が表示されます。
[各種ポリシーのカスタマイズ]ボタンをクリックします。
→以下の画面が表示されます。
[パッチ適用ポリシー]タブをクリックします。
→ポリシー名のリンクをクリックすると、以下の画面が表示されます。
左側のフィールドのツリーから、セキュリティパッチ適用の設定を変更するパッチグループを選択します。
→選択したパッチグループ配下のセキュリティパッチが、右側のフィールドに表示されます。
右側のフィールドのセキュリティパッチから、適用しないセキュリティパッチのチェックボックスを外します。また、以下の設定を行います。
[表示範囲に自動追加されるセキュリティパッチも対象とする]
選択しているパッチグループ直下に今後追加されるセキュリティパッチを適用対象としない場合は、チェックボックスを外します。
チェックボックスを外すと、今後ソフトウェア辞書にセキュリティパッチの定義が追加された場合や、[配信]-[セキュリティパッチの配信]画面で本パッチグループ直下のセキュリティパッチが選択された場合でも、セキュリティパッチは適用対象になりません。
[適用]ボタンをクリックして設定を保存します。
複数のパッチグループに対して設定の変更を行う場合は“3.”から“7.”の操作を繰り返します。
設定の変更を確認する場合は、再度“3.”の手順から行い、パッチグループを選択して確認します。
→セキュリティパッチ適用の設定が変更されたパッチグループは、以下のようにアイコンが変更されます。
アイコン | 説明 |
|---|---|
| 全セキュリティパッチが適用対象です。 |
| 適用対象外のセキュリティパッチが存在します。 |
ツリーに表示されるパッチグループは、すべてのパッチグループが表示されています。[配信]-[セキュリティパッチの配信]画面でチェックを外したパッチグループについては、パッチ適用ポリシーでチェックを付けても適用されません。
注意
Windows 10、Windows 11のセキュリティパッチおよび2016年10月以降にMicrosoft社から公開されるセキュリティパッチについて
Windows 10、Windows 11のセキュリティパッチおよび2016年10月以降にMicrosoft社から公開されるWindows 8.1、Windows Server 2012、Windows Server 2012 R2、Windows Server 2016、Windows Server 2019のセキュリティパッチは、複数の脆弱性に対する修正が1つのセキュリティパッチにまとめられたロールアップで提供されます。個々のセキュリティパッチが対応している脆弱性の詳細については、[ソフトウェア一覧]の[名称]のリンクをクリックして表示されるMicrosoft社の情報(「ソフトウェアの情報」の中の「詳細情報」)を参照してください。
上記の1つにまとめられたセキュリティパッチはサイズが増加していますので、ネットワーク負荷分散のために、セキュリティパッチの配信時間をグループ単位に分散することを推奨します。配信時間の設定方法は、“6.2.6 セキュリティパッチ適用間隔と配信間隔を設定する”を参照してください。
ポイント
パッチ適用ポリシーは、WSUSとの連携では使用できません。
WSUSとの連携を行う際に特定のPCに対してセキュリティパッチを適用しない場合は、以下のような運用を行ってください。
[ポリシーグループ管理]の追加または変更で、[WSUS設定]の項目[コンピュータグループで管理する]をチェックします。
[WSUS]-[更新プログラム]画面で承認を実施します。
1.で作成したコンピュータグループに対して[対象外]を選択します。
