Windows Updateの設定権限を「Sconfig」に取り戻せ（Windows Serverの話）：その知識、ホントに正しい？ Windowsにまつわる都市伝説（176）

ある日、Windows Updateを「手動」に設定していたと思っていたWindows Serverの数台で「カスタム」になっていることに気が付きました。あらためて「手動」や他の設定に変更してみても「カスタム」のまま変わりません。一体どういうことでしょう。調査を開始します。

Windowsにまつわる都市伝説

Windows ServerのWindow Update、既定は「ダウンロードのみ」

　「Windows Server 2016」以降（注：「Windows Server 2012 R2」以前については今回の調査対象外とさせてください）のWindows Updateの設定は、デスクトップエクスペリエンスインストールかServer Coreインストールかどうかのインストールオプション、あるいは長期サービスチャネル（LTSC）か半期チャネル（SAC）かどうかに関係なく、インストール直後の既定は「ダウンロードのみ」になっています（画面1）。

画面1　Windows Server 2016以降のWindows Updateの設定は、インストールオプションやリリースチャネル（LTSCかSAC）に関係なく「ダウンロードのみ」

　インストール直後に「サーバーマネージャー」管理ツールで「ローカルサーバー」のプロパティ情報を見ると、「Windows Updateを使用して更新プログラムを自動的にインストールする」と表示されるかもしれませんが、「タスク」メニューから「最新の情報に更新」を選択すると情報がリフレッシュされ、「Windows Updateを使用して更新プログラムのダウンロードのみを行う」になるはずです。

　このWindows Updateの初期設定は、レジストリの「HKEY_LOCAL_MACHINE\\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU」に直接書き込まれているポリシー設定によるものです。Windows Server 2016以降はインストールオプションに関係なく、「Sconfigサーバー構成ユーティリティー」で現在の設定の確認と、「自動」「ダウンロードのみ」「手動」への設定変更が可能です（画面2）。

画面2　Windows Updateの初期設定はレジストリに直接書き込まれているポリシー設定。Sconfigユーティリティーで確認、変更できる

　Windows ServerのWindows Updateの設定は、Sconfigユーティリティー以外にも、Active Directoryドメインの「グループポリシー」または「ローカルグループポリシーエディター」（gpedit.msc）によるポリシー設定でカスタマイズすることができます。

　Sconfigユーティリティーの「自動」または「ダウンロードのみ」の設定は、「自動更新を構成する」ポリシーが「有効」かつ「自動更新の構成：4 - 自動ダウンロードしインストール日時を指定」または「自動更新の構成：4 - 自動ダウンロードしインストール日時を指定」に相当します。

　Sconfigユーティリティーの「手動」の設定は、「自動更新を構成する」ポリシーが「無効」に相当します（画面3）。Windows Update関連のポリシー設定は既定で全て「未構成」になっていますが、ドメインのグループポリシーまたはローカルポリシーでカスタマイズすることはもちろん可能です。「自動」「ダウンロードのみ」「無効」以外の設定は、Sconfigユーティリティーは「カスタム」として報告します。

画面3　Windows Update関連のポリシー設定は既定で全て「未構成」

想定外の「Windows Updateの設定：カスタム」に遭遇

　ここまでは、Windows Serverを設定したことがある人や、Windows Serverの管理者の方ならご存じかと思います。

　筆者は評価、テスト環境のWindows Serverについては、理由がない限りWindows Updateの設定を「手動」にしています。Windows Updateの挙動を確認するために、Sconfigユーティリティーやローカルポリシーで変更することはありますが、忘れずに「手動」に戻してきたつもりでした。

　しかしある日、「手動」に設定していたはずのサーバの1台でSconfigユーティリティーを実行したところ、「Windows Updateの設定：カスタム」になっているのを目にしました。不思議なことに、設定を「手動」や「ダウンロードのみ」「自動」などに変更しようとしても、なぜか全て「カスタム」に設定されてしまうのです（画面4）。

画面4　SconfigユーティリティーでWindows Updateの設定を変更しようとしても、「カスタム」のまま変更できない

　何かポリシー設定を元に戻すのを忘れていたのかなと思い、「ローカルグループポリシーエディター」を開いてみると、Windows Update関連のポリシー設定は全て「未構成」の状態です（画面5）。このサーバはスタンドアロンの仮想マシンなので、ドメインのグループポリシーは全く関係ありません。

画面5　ローカルポリシーのWindows Update関連の設定は全て「未構成」なのに、Sconfigユーティリティーは「カスタム」と報告

原因の調査とSconfigユーティリティーの問題解消