> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.
# Windows Update Library Item の設定
> Iru Endpoint で Windows Update Library Item を設定します。更新リング、延期期間、アクティブ時間、エンドユーザーの更新エクスペリエンスを管理します。
この Library Item は Windows コンピュータで利用できます
**Windows Update** Library Item を使用すると、Windows コンピュータの Windows Update 設定とエンドユーザーの更新エクスペリエンスを管理できます。更新プログラムが提供される方法とタイミングを制御し、作業を妨げる再起動を避けるためにアクティブ時間を設定し、ユーザーが Windows Update UI から実行できる操作を制限します。
各設定の詳細な技術的背景については、Microsoft の公式 [Update Policy CSP ドキュメント](https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp-update)を参照してください。
## Windows Update Library Item を作成する
この Library Item を Iru Endpoint の Library に追加するには、[Library の概要](/ja/endpoint/library/library-items-profiles/library-overview)の記事の手順に従ってください。
**Library** に移動し、**Library Item を追加** を選択します。
**Windows Update** を検索して選択します。
Library Item に **名前** を付けます。
プロファイルを 1 つ以上の **Blueprints** に割り当てます。必要に応じて、Blueprint 内で Assignment Map を使用して条件付きロジックを適用できます。
## 設定
Windows Update では次の設定を利用できます。
### Windows Update から提供される更新プログラムの管理
#### Allow Optional Content
必須の更新プログラムに加えて、オプションの更新プログラムと段階的なロールアウト（制御された機能ロールアウト、CFR）をデバイスが受け取るかどうかを制御します。オプション:
* オプションの更新を受け取らない
* オプションの更新を自動的に受け取る (CFR を含む)
* オプションの更新のみを自動的に受け取る
* ユーザーがオプションの更新を選択できる
### エンドユーザーエクスペリエンスの管理
#### Allow Auto Update
更新プログラムのインストール方法（通知のみ、自動インストール、または自動インストールと再起動）を制御します。オプション:
* 更新をダウンロードする前にユーザーに通知
* 自動的にインストールし、再起動のスケジュールをユーザーに通知
* 自動的にインストールして再起動 (既定)
* 自動的にインストールし、スケジュールされた時刻に再起動
* ローカル管理者に設定の選択を許可
* 自動更新をオフにする
#### Active Hours Start
アクティブ時間帯の開始時刻（0～23 時）。Windows はこの時間帯に更新のためにデバイスを再起動することを避けます。
#### Active Hours End
アクティブ時間帯の終了時刻（0～23 時）。この時刻以降に再起動が行われる可能性があります。
#### Set Disable Pause UX Access
ユーザーが Windows Update UI から更新を一時停止できるかどうかを制御します。オプション: **Users can pause updates** または **Remove the pause option from the device UI**。ユーザーが更新を先延ばしにできないようにするには、後者を選択します。
#### Manage Preview Builds
デバイスが Windows Insider Preview ビルドを受け取れるかどうかを制御します。オプション:
* プレビュービルドを無効にする
* 次のリリースが公開されたらプレビュービルドを無効にする
* プレビュービルドを有効にする
* プレビュービルドはユーザーの選択に任せる
#### Update Notification Level
ユーザーに表示される更新通知（デフォルト、再起動の警告以外をすべて非表示、または再起動の警告を含めすべて非表示）を制御します。オプション:
* 既定の Windows Update 通知を使用
* 更新の再起動通知を無効にする (再起動の警告を除く)
* 更新のすべての通知を無効にする (再起動の警告を含む)
## 詳細設定
これらの設定は、Library Item の展開可能なセクションに表示されます。デフォルトでは設定されておらず、更新動作をより細かく制御する必要がある管理者向けです。
* **Microsoft 以外が署名した更新を許可**
イントラネットの更新サービス（例: サードパーティのパッチ用の WSUS）を使用する場合に、Microsoft 以外が署名した更新プログラムをデバイスが受け入れられるようにします。
* **自動メンテナンスのスリープ解除**
必要に応じて、自動メンテナンスが毎日のスケジュールされたメンテナンスのためにデバイスをスリープ解除できるようにします。
* **WUfB のセーフガードを無効にする**
Windows Update for Business（WUfB）。有効にすると、既知の互換性の問題がある場合にアップグレードをブロックする Microsoft のセーフガードホールドをデバイスがスキップします。検証目的でのみ使用してください。アップグレードエクスペリエンスが低下する可能性があります。
* **品質更新から WU ドライバーを除外**
Windows の品質更新プログラムからドライバーの更新を除外します。ドライバーを別途管理している場合に使用します。
* **アクティブ時間の最大範囲**
アクティブ時間の開始時刻から数えて、ユーザーがアクティブ時間帯として設定できる最大時間数（8～18）。
* **従量制課金ネットワークでの Windows Update の自動ダウンロードを許可**
従量制課金接続（例: 携帯電話回線）経由で Windows Update が更新プログラムをダウンロードできるようにします。データ通信料金が発生する場合があります。
* **MU 更新サービスを許可**
デバイスが Microsoft Update 経由でアプリやその他の Microsoft 製品の更新プログラムをスキャンするかどうかを制御します。
* **一時的なエンタープライズ機能制御を許可**
許可すると、毎月の品質更新プログラム（サービス）で提供される機能が次の機能更新プログラムの前にオンになります。無効にすると、これらの機能はそれを含む機能更新プログラムまでオフのままです。
* **機能更新のアンインストール期間を構成**
機能更新プログラムのインストール後、ユーザーがそれをアンインストールできる日数（2～60）。
* **アクティブ時間中は更新通知なし**
アクティブ時間中の Windows Update 通知を減らすかオフにします（オプションで再起動の警告を除外）。設定されている場合、期限後には通知が表示されることがあります。
* **スケジュールされたインストール曜日**
更新プログラムがインストールされる曜日（または毎日）。**Allow auto update** が **予定時刻に自動インストールして再起動** または **Allow the local administrator to choose the setting** に設定されている場合にのみ適用されます。オプション: Every day、Sunday、Monday、Tuesday、Wednesday、Thursday、Friday、Saturday。
* **毎週のスケジュールされたインストール**
有効にすると、更新プログラムが毎週スケジュールされます。**Allow auto update** が **予定時刻に自動インストールして再起動** または **Allow the local administrator to choose the setting** に設定されている場合にのみ適用されます。
* **第 1 週のスケジュールされたインストール**
月の第 1 週（1～7 日）にインストールをスケジュールします。特定の曜日（例: 第 1 火曜日）を指定するには **Scheduled install day** と組み合わせて使用します。
* **第 2 週のスケジュールされたインストール**
月の第 2 週（8～14 日）にインストールをスケジュールします。特定の曜日を指定するには **Scheduled install day** と組み合わせて使用します。
* **第 3 週のスケジュールされたインストール**
月の第 3 週（15～21 日）にインストールをスケジュールします。特定の曜日を指定するには **Scheduled install day** と組み合わせて使用します。
* **第 4 週のスケジュールされたインストール**
月の第 4 週（22～31 日）にインストールをスケジュールします。特定の曜日を指定するには **Scheduled install day** と組み合わせて使用します。
* **スケジュールされたインストール時刻**
スケジュールされた更新プログラムがインストールされる時刻（0～23 時）。約 30 分の時間枠があります。**Allow auto update** が **予定時刻に自動インストールして再起動** または **Allow the local administrator to choose the setting** に設定されている場合にのみ適用されます。
* **UX の WU アクセスを無効に設定**
有効にすると、ユーザーは Windows Update の設定 UI から更新プログラムのスキャン、ダウンロード、インストールを行えなくなります。
* **EDU 再起動を設定**
更新を完了するために、アクティブ時間外にデバイスが自動的に再起動できるようにします。教育（EDU）シナリオ向けです。
* **更新サービスを許可**
イントラネットの更新サービスを使用している場合に、デバイスが引き続き Microsoft Update、WSUS、または Microsoft Store を使用できるかどうかを制御します。無効にすると、Store やその他のパブリックサービスが機能しなくなる可能性があります。
* **検出頻度**
Windows が更新プログラムを確認するまでに待機する時間数に、0～4 時間のランダムなオフセットを加えたもの。WSUS サーバーを使用している場合にのみ適用されます。範囲: 1～22 時間。
* **更新の検出にエンタープライズ TLS 証明書のピン留めを適用しない**
有効にすると、Windows Update クライアントは更新プログラムの検出時に TLS 証明書のピン留めを強制しません。Microsoft は WSUS 環境では TLS ピン留めを有効にしておくことを推奨しています。
* **空のコンテンツ URL を埋める**
メタデータにダウンロード URL が含まれていない場合に、Windows Update Agent がダウンロード URL を判断できるようにします。すべてのコンテンツ URL を設定しない代替ダウンロードサーバーや ISV キャッシュを使用する場合に使用します。
* **ドライバー更新にポリシーベースの更新ソースを設定**
ドライバーの更新を Windows Update から取得するか WSUS サーバーから取得するかを選択します。**Update service URL** の設定が必要です。
* **機能更新にポリシーベースの更新ソースを設定**
機能更新プログラムを Windows Update から取得するか WSUS サーバーから取得するかを選択します。**Update service URL** の設定が必要です。
* **その他の更新にポリシーベースの更新ソースを設定**
その他の更新プログラムを Windows Update から取得するか WSUS サーバーから取得するかを選択します。**Update service URL** の設定が必要です。
* **品質更新にポリシーベースの更新ソースを設定**
品質更新プログラムを Windows Update から取得するか WSUS サーバーから取得するかを選択します。**Update service URL** の設定が必要です。
* **更新の検出のプロキシ動作を設定**
HTTP の WSUS サーバーで更新プログラムを検出する際に、フォールバックとしてユーザープロキシを使用できるようにします。ユーザープロキシを使用するとセキュリティが低下する可能性があるため、可能な場合はシステムプロキシを優先してください。
* **更新サービスの URL**
デバイスが Microsoft Update ではなく WSUS サーバーで更新プログラムを確認するための、WSUS サーバーの URL（例: `https://server:8531` または `http://server:8530`）。種類ごとの更新ソース設定を有効にするには、このフィールドを設定しておく必要があります。
* **代替の更新サービス URL**
更新プログラムの検出、ダウンロード、または統計レポート用の代替イントラネットサーバー。セカンダリのダウンロードサーバーを指定したり、レポートトラフィックをメインの WSUS サーバーとは別にリダイレクトしたりする場合に使用します。
## 考慮事項
設定が「Not configured」のままの場合、ローカルデバイスの設定は上書きされません。これが、Not configured と既存のデバイス設定との相互作用の仕組みです。
Windows Update UI へのアクセスを無効にすると（**Set disable UX WU access**）、ユーザーは手動で更新プログラムを確認できなくなります。これを有効にする前に、更新ポリシーが関連するすべてのデバイスに適用されていることを確認してください。
日中に再起動がユーザーの作業を妨げないように、組織の勤務スケジュールに合わせてアクティブ時間を設定してください。
種類ごとのソース設定（機能、品質、ドライバー、その他）を有効にするには、**Update service URL** を設定しておく必要があります。
**Allow update service** を無効にすると、Microsoft Store やその他のパブリック Microsoft サービスが機能しなくなる可能性があります。無効にする前に、これらのサービスに引き続きアクセスできることを確認してください。
**Detection frequency** は WSUS サーバーを使用している場合にのみ適用されます。クラウドのみの Windows Update 構成では効果はありません。
**Set proxy behavior for update detection** を使用する場合、ユーザープロキシのフォールバックを有効にするとセキュリティが低下します。環境上必要でない限り、システムプロキシを優先してください。
更新プログラムの検出において、**Do not enforce enterprise TLS cert pinning for update detection** を有効にすると TLS ピン留めがオフになり、更新スキャンのセキュリティが低下します。ピン留めの無効化はセキュリティに影響します。WSUS インフラストラクチャで必要な場合にのみ有効にしてください。
## ベストプラクティス
主要な設定には Iru 推奨のデフォルト値があります。まずそれらを使用し、組織に合わせて調整してください。
勤務時間中に再起動が発生しないように、ユーザーの勤務日に合わせて **Active hours start** と **Active hours end** を設定してください。
ユーザーが Windows Update UI から更新を先延ばしにできないように、**Set disable pause UX access** を **Remove the pause option from the device UI** に設定してください。
フリート全体に展開する前に、少数のデバイスで設定をテストしてください。パイロットグループは、予期しない再起動動作を発見するのに役立ちます。
## トラブルシューティング
更新プログラムがスケジュールどおりにインストールされない場合は、スケジュール、アクティブ時間、および **Allow auto update** を確認してください。
**考えられる原因:**
* Allow auto update が意図したオプションに設定されていない
* スケジュールされたインストールの時刻または曜日の設定が誤っている
* アクティブ時間の設定範囲が広すぎる（例: 許可される最大範囲に近い）
**解決策:**
* Allow auto update が意図したオプションに設定されていることを確認する
* スケジュールされたインストールの時刻と曜日が正しく設定されていることを確認する
* アクティブ時間が現実的な勤務時間帯に設定され、**Active hours max range** の設定に従っていることを確認する
**考えられる原因:**
* **Set disable pause UX access** が有効になっていない、または一時停止を許可する設定になっている
**解決策:**
* **Set disable pause UX access** を **Remove the pause option from the device UI** に設定する
営業時間中の再起動は、多くの場合アクティブ時間とタイムゾーンに関連しています。
**考えられる原因:**
* アクティブ時間の開始と終了が勤務日全体をカバーしていない
* タイムゾーンまたは設定が正しくない
**解決策:**
* **Active hours start** と **Active hours end** の設定を確認する
* 範囲がユーザーの勤務日全体をカバーしていることを確認する
**考えられる原因:**
* **Manage preview builds** が Preview ビルドを許可する設定、またはユーザーの選択に任せる設定になっている
**解決策:**
* デバイスが Windows Insider ビルドを受け取らないように、**Manage preview builds** を **Disable Preview builds** に設定する
デバイスが WSUS サーバーから更新プログラムを受け取らない場合は、次の点を確認してください。一般的な原因には、**Update service URL** と到達可能性があります。
**考えられる原因:**
* **Update service URL** が設定されていない、またはデバイスから到達できない
**解決策:**
* **Update service URL** が設定され、デバイスから到達可能であることを確認する。有効な Update service URL がないと、種類ごとのソース設定は有効になりません。
Microsoft Store やその他のパブリック Microsoft サービスが機能しない、またはアクセスできない場合は、次の点を確認してください。
**考えられる原因:**
* **Allow update service** が無効になっている
**解決策:**
* **Allow update service** が無効になっていないか確認する。無効にすると、Microsoft Store やその他のパブリック Microsoft サービスへのアクセスがブロックされる可能性があります。
想定したスケジュールで更新プログラムが検出されない場合は、次の点を確認してください。多くの場合、**Detection frequency** とランダムなオフセットが関係しています。
**考えられる原因:**
* **Detection frequency** の設定が誤っている、またはランダムなオフセットが考慮されていない
**解決策:**
* **Detection frequency** を確認する。Windows は設定された間隔に 0～4 時間のランダムなオフセットを追加します。Detection frequency が設定されていない場合、CSP のデフォルトは 22 時間です。
更新スキャンが TLS エラーで失敗する場合（例: WSUS 使用時）は、次の点を確認してください。一般的な原因には、WSUS の証明書と TLS ピン留めがあります。
**考えられる原因:**
* WSUS サーバーの証明書が TLS ピン留めと競合している
**解決策:**
* WSUS サーバーが TLS ピン留めと競合する証明書を使用している場合は、WSUS サーバーの証明書設定を確認した上で、**Do not enforce enterprise TLS cert pinning for update detection** を有効にする。
ダウンロード URL が見つからない、または壊れている場合（例: 代替ダウンロードサーバーや ISV キャッシュの使用時）は、次の方法を試してください。
**考えられる原因:**
* 代替ダウンロードサーバーまたは ISV キャッシュがメタデータにコンテンツ URL を設定していない
**解決策:**
* 代替ダウンロードサーバーまたは ISV キャッシュを使用している場合は、**Fill empty content URLs** を有効にして、更新メタデータにダウンロードパスがない場合でも Windows Update Agent が解決できるようにする。
## 関連記事
Library Item を選別、作成、管理し、Blueprint に追加します
Windows コンピュータで Microsoft Defender ウイルス対策と脅威保護を設定します
Windows コンピュータのファイアウォール設定を構成して適用します
Windows コンピュータで BitLocker 暗号化を設定します
Windows コンピュータの登録を設定します
Mac コンピュータの管理対象 OS アップデートを設定します