IntuneとWSUSを使ってWindows Updateがどこまで制御出来るか検証してみた話。

1. IntuneとWSUSを使って
Windows Updateを
やってみる。
Japan Azure User Group
〜9周年イベント〜
（2019/09/07）
2019/9/7 Copyright © PERSOL HOLDINGS CO., LTD. All Rights Reserved.

2. Copyright © PERSOL HOLDINGS CO., LTD. All Rights Reserved.
自己紹介 & 会社紹介

3. 自己紹介 & 会社紹介
---
- title : Self-introduction
- name : 山村 昌太
career : MSプロダクトをメインで取り扱うインフラエンジニア2年生
like ：Infrastructure as Code ;勉強中
- name : [ Ansible , Terraform ]
company : パーソルテクノロジースタッフ 株式会社
# 〜会社説明〜
# IT領域と機械電気領域のエンジニア派遣サービスを主軸とする人材サービス会社。
# RPA、ドローン、セキュリティ、IoTなど注目技術領域のエンジニアも多数在籍。
Copyright © PERSOL HOLDINGS CO., LTD. All Rights Reserved. 3

4. Copyright © PERSOL HOLDINGS CO., LTD. All Rights Reserved.
本題

5. きっかけ
• モダンな管理をするために、MDM管理ツールを入れたい。
– Intune使いましょ！更新プログラムも管理できますし！
• 帯域に余裕が無いからWindows UpdateはWSUSを使うよ。
– （GPOで制御するかー、、、）
• Intuneで出来るんだよね＾＾
– えっ、、、
そんな経緯で、、、
Intuneを使ってどこまで制御が可能か検証してみました！！
（当時SE歴3ヶ月！）
Copyright © PERSOL HOLDINGS CO., LTD. All Rights Reserved. 5

6. Intuneを使用してWindows Updateを管理する場合
• IntuneはWindows10 更新リングでWindows Update for Business
を管理 することができる。
⎼ インターネット経由
⎼ 回線に余裕が無いと、
かなり厳しい
Copyright © PERSOL HOLDINGS CO., LTD. All Rights Reserved. 6

7. IntuneでWSUSを使用する設定を実現するには？
• Intuneカスタムプロファイルを使用して設定出来る。
Copyright © PERSOL HOLDINGS CO., LTD. All Rights Reserved. 7

8. Intuneカスタムプロファイル設定 その1
 対象GPOのIDを検索する
「C:WindowsPolicyDefinitionsja-JP」の該当のファイルからIDを検索
• GPO名：イントラネットの Microsoft 更新サービスの場所を指定する
– ID： CorpWuURL
<WindowsUpdate.admlファイルからGPO名で検索>
Copyright © PERSOL HOLDINGS CO., LTD. All Rights Reserved. 8
”<string id="CorpWuURL">イントラネットの Microsoft 更新サービスの場所を指定する</string>”

9. Intuneカスタムプロファイル設定 その2
 GPOのIDからOMA-URIを検索する
• https://docs.microsoft.com/でGPOのIDを検索
Copyright © PERSOL HOLDINGS CO., LTD. All Rights Reserved. 9

10. Intuneカスタムプロファイル設定 その3
 Intuneプロファイルへ設定
設定内容
– OMA-URI：./Device/Vendor/MSFT/Policy/Config/Update/UpdateServiceUrl
– データ型：文字列
– 値：WSUSのURL
Copyright © PERSOL HOLDINGS CO., LTD. All Rights Reserved. 10

11. Copyright © PERSOL HOLDINGS CO., LTD. All Rights Reserved.
まとめ

12. まとめ
• IntuneとWSUSの組み合わせでは更新プログラムの承認は不可
– WSUS側で作業する必要がある
• GPOで出来ることはだいたいIntuneでも出来る
– 作業的にはGPOの方が比較的楽
• Intuneカスタムプロファイルは細かな設定が出来るけど、
複雑化する原因になる
Copyright © PERSOL HOLDINGS CO., LTD. All Rights Reserved. 12

13. 参考ドキュメント
• 「GPO にサヨナラ。 Microsoft Intune によるモダンマネジメント」
– https://eventmarketing.blob.core.windows.net/mstechsummit2018-
after/PR10_PDF_TS18.pdf
• 書籍「ひと目でわかるIntuneクラウドで始めるモバイルデバイス管理」
Copyright © PERSOL HOLDINGS CO., LTD. All Rights Reserved. 13

14. Copyright © PERSOL HOLDINGS CO., LTD. All Rights Reserved. 14
WSUSを使うならGPOを使おう