セキュリティリスクの軽減、システムの安定性の維持のために、パッチ管理は重要な作業です。WSUS（Windows Server Update Services）は、Windowsサーバーのパッチ管理を行う代表的なツールです。しかし2024年9月、Microsoft社はWSUSを非推奨とすることを発表しました。Microsoft社はクラウドツールへの移行を推奨しており、サーバーOSのパッチ管理についてはAzure Update Managerが代替のサービスとなります。本記事では、WSUSとAzure Update Managerの運用を比較し、Azure Update Managerがパッチ管理の効率化に有用なサービスであることを紹介します。

ざっくり、WSUSの運用とAzure Update Managerの運用を比較

こちらの表は、WSUSの運用とAzure Update Managerの運用を大まかに比較したものです。

結論、Azure Update Managerの方が運用負荷が軽い

Azure Update Managerは専用のサーバーを必要としないため、WSUSと異なり、サーバーの維持管理の手間がかかりません。また、運用環境が変わった際の設定変更もAzure Update Managerならば、Azureポータルから簡単に行うことができます。さらに、Azure Update Managerは異なるネットワークに属するサーバーも一元的に管理できます。以上の点から、Azure Update ManagerはWSUSに比べて、効率的にパッチ管理ができると言えます。

WSUSにおける基本的な運用業務

WSUSの運用においては、次のような業務が日常的に発生します。

1. サーバーの維持管理

WSUSを使用する場合、サーバーを定期的にメンテナンスする必要があります。具体的には、ソフトウェアの更新、ハードウェアの点検、セキュリティ対策のため設定を見直すといった作業が発生します。WSUSは同じネットワーク内のデバイスに更新プログラムを配布するサービスであるため、複数のネットワークがある場合、その数だけWSUSサーバーが必要です。当然、それぞれのWSUSサーバーをメンテナンスする必要があり、数が多いほど運用の負荷は大きくなります。

2. ディスク容量の管理

WSUSでは更新プログラムがダウンロードされ、サーバー内に蓄積されます。そのため、ディスク容量の管理は必須です。定期的にディスク容量を確認し、不要な更新プログラムを削除する必要があります。ディスク容量の管理が不十分だと、サーバーの動作が不安定になったり、更新プログラムの配信に支障が出る可能性があります。

3. 更新適用状況の確認

WSUSの管理コンソールから、クライアントデバイスへの更新プログラムの配布を制御でき、必要な更新プログラムの承認、スケジュール設定、レポートの確認が可能です。更新プログラムの適用状況やエラーの発生状況も確認でき、ネットワーク内のパッチ管理を行います。

4. GPO設定の変更

WSUSを利用するためには、GPOを設定して、クライアントのデバイスがWSUSサーバーから更新プログラムをダウンロードするようにします。他のGPOの設定や、WSUSの管理コンソールの設定を行うことで、細かな設定を行います。運用環境の変更に伴い、GPOの設定を変更したり、コンピューターアカウントのOUを移動させたり、OUとGPOの関連付けを見直したりする必要があります。

Azure Update Managerにおける基本的な運用業務

Azure Update Managerの運用においては、次のような業務が日常的に発生します。

1. 更新適用状況の確認

Azure Update Managerでは、ダッシュボードを通じてリアルタイムでパッチ適用状況を確認することが可能です。管理対象はAzure VM及びAzure Arcに登録されているマシンで、Azureポータルからこれら全てのサーバーのパッチ適用状況を確認できます。 WSUSは、同じネットワーク内のデバイスしか確認できませんが、Azure Update Managerは、異なるネットワークに属するサーバーも同じ画面から確認できます。

2. メンテナンス構成の設定値の変更

Azure Update Managerの場合、専用のサーバーは使用せず、メンテナンス構成というリソースを作成して、パッチ管理を行います。 メンテナンス構成の中で、更新のスケジュール、適用する更新プログラムの種類、それらの設定を適用する対象といった内容を設定します。メンテナンス構成を複数用意して、サーバーごとに異なる設定で運用することも可能です。また、適用対象の条件としてリソースグループ、 タグ等を指定することができ、該当するサーバーを自動的に管理対象に含めることが可能です。運用環境に変更が生じた際は、Azureポータルからメンテンナンス構成を編集して対応する必要があります。

まとめ

WSUSでは、サーバーの維持管理、ディスク容量の管理といった手間が発生します。一方、Azure Update Managerの場合、これらのメンテナンスを行う必要はなく、負担が大幅に軽減されます。 またWSUSでは、GPOおよびWSUS管理コンソールから設定を行う必要があり、複雑です。一方、Azure Update Managerではメンテナンス構成というリソースを通じて、シンプルに設定を行うことができます。 さらに、Azure Update Managerは異なる環境にあるサーバーを一元管理でき、よりシンプルに更新適用状況を把握することが可能です。 このようにAzure Update Managerを活用することで、パッチ管理の運用負荷を大幅に軽減でき、効率的な運用が実現します。 今後、パッチ管理の効率化を図る企業にとって、Azure Update Managerは有力な選択肢となるでしょう。

CloudSteadyでは、他にもAzure Update Managerに関する情報を発信しています。ぜひご参照ください。