WSUSの「製品と分類」の「製品（Products）」を調べてみた

どうも、Tです。

WSUSの製品（Products）についての備忘録です。

環境

今回確認している環境はWindows Server 2022のWSUSで2024年3月時点で確認しているものです。

製品（Products）とは

本記事の分類は、「WSUSコンソール」->「オプション」->「製品と分類」->「製品」タブで表示される製品の一覧のことです。

かなりの製品数がありますが、デフォルトではWindows配下にすべてチェックが付いています。

製品（Products）のMicrosoftの説明

製品に関して一般的な公式の説明は見つかりませんでした。以下の短い文章くらいです。

A product is a specific edition of an operating system or application, for example, Windows Server 2012. A product family is the base operating system or application from which the individual products are derived. An example of a product family is Microsoft Windows, of which Windows Server 2012 is a member. You can select the products or product families for which you want your server to synchronize updates. You can specify a product family or individual products within the family. Selecting any product or product family will get updates for current and future versions of the product.
訳：
製品とは、たとえばWindows Server 2012のような特定のエディションのオペレーティングシステムやアプリケーションのことです。製品ファミリーとは、個々の製品が派生する基本のオペレーティングシステムやアプリケーションのことです。製品ファミリーの例としては、Microsoft Windowsがあり、Windows Server 2012がその一員です。サーバーが更新を同期させる製品や製品ファミリーを選択できます。製品ファミリーまたはそのファミリー内の個々の製品を指定できます。任意の製品や製品ファミリーを選択すると、その製品の現行および将来のバージョンの更新が取得されます。

どの製品の更新プログラムなのか

同期された更新プログラムが、どの製品のものなのか知りたいときもありますが、すべての更新プログラムなどを一覧できる更新ビュー画面では、製品カラムが用意されていないため確認することができません。

とりあえず確認する方法を3つ記載します。しかし、どれも一長一短でお勧めできるものはないので、確認頻度などによって使い分けていくしかなさそうです。

更新プログラムの詳細を確認する

更新ビューで更新プログラムを選択すると下部に詳細が表示されるので、その中の「製品」を確認するとどの製品なのか確認することができます。確認したい数が多い場合は非常に面倒ですが、さっと確認するにはよさそうです。

レポート機能を使う

「レポート」画面から「更新レポート」のいずれかを選択して、表示したい「製品」「コンピュータグループ」「状態」を設定して「レポートの実行」をクリックします。

更新レポートの種類によりますが、製品の更新プログラムを一覧で表示できます。ただ、毎回するのは面倒なのとレポート生成によりCPUやメモリリソースが使われるため通常運用でどこまで耐えれるかは運用状況によってくるかなと思います。

更新ビューを使う

製品毎の更新ビューを用意することで確認できます。「更新プログラム」を右クリック->「新しい更新ビュー」をクリックします。

下記の設定を行い「OK」をクリックします。

ステップ１：「更新は特定の製品用です」にチェック
ステップ2：「製品」を選択
ステップ3：更新ビューの名前を任意で設定

更新ビューを見ると製品の更新プログラムを表示できます。分類カラムなども用いて一覧で表示できるので便利です。ただ、WSUSコンソールがクラッシュなどすると更新ビューが消える現象も経験したため、どこまで信用できるのか懐疑的です。しかし、一番楽で視認性が良い方法かと思います。

いろいろ疑問や注意点

製品を選べばいいだけだろう？という思いがあるのかわりませんが、パッと見てもわかりにくい製品の表記が目立ちました。

使う頻度が高そうなWindows OS回りの製品について、注意点や疑問に思ったところを書き記します。

PowerShell、Microsoft Edge、Defenderなどは1つの製品

WindowsOSに標準で含まれるPowershell、Microsoft Edge、Defenderなどは、Windows OSの製品ではなく、それぞれ個別の製品となっています。

Powershellの更新プログラムは上図のようになっていました。

Powershell7.2以降が対象になっているようで、下記のMicrosoftの記事とも合致しています。

Microsoft Edgeの更新プログラムは上図のようになっていました。

Windows Defender Antivirusの更新プログラムは上図のようになっていました。

Office製品の更新プログラムは提供できるのか？

WindowsOSとは異なりますが、製品の中に「Office」->「Microsoft 365 Apps/Office 2019/Office LTSC」の項目があり、M365やOfficeも管理できるのか？と思いますが、WSUSでM365やOffice2019以降は管理できません。理由は下記の記事がわかりやすいかったです。

https://www.itmedia.co.jp/enterprise/articles/1904/19/news054_2.html

Redirecting
answers.microsoft.com

Microsoft 365 Apps の更新プログラム管理方法の選択 - Deploy Office
インターネットやオンプレミスの場所から自動的に更新するなど、Microsoft 365 Appsを更新するさまざまな方法を比較します。
learn.microsoft.com

ご存知ですか？Microsoft® Office 365 / Office 2019はWSUSだけでは管理できません
新Officeが採用するクイック実行形式では、WSUSサーバからの更新プログラム配布が行えません。この課題、Systemwalker Desktop Patrolで解決できます。
www.fujitsu.com

じゃあなんで項目があるのだろうですが、Microsoft Configuration Managerを使えば管理できるので、そのためにWSUSにも項目が表示されたままになっていると思われます。

https://learn.microsoft.com/ja-jp/deployoffice/updates/manage-microsoft-365-apps-updates-configuration-manager
Configuration Managerを使用して Office 更新プログラムを管理するための要件
Configuration Managerで Office 更新プログラムを管理できるようにするには、次のものが必要です。
Microsoft Configuration Manager (現在のブランチ)
Microsoft 365 Apps for enterprise、Microsoft 365 Apps for business、Project デスクトップアプリのサブスクリプションバージョン、または Visio デスクトップアプリのサブスクリプションバージョン。
Office でサポートされている更新プログラムチャネルのバージョン。詳細については、「Microsoft 365 Appsの更新履歴」を参照してください。
Windows Server Update Services (WSUS) 4.0
WSUS 単独で、更新を展開することはできません。 CONFIGURATION MANAGERでWSUS を使用する必要がある
階層の最上位の WSUS サーバーと最上位Configuration Managerサイトサーバーには、*.microsoft.com、*.msocdn.com、*.office.com、*.office.net、*.onmicrosoft.com、officecdn.microsoft.com、officecdn.microsoft.com.edgesuite.net の各 URL にアクセスできる必要があります。詳細については、「OFFICE 365 URL と IP アドレス範囲とインターネットアクセス要件」を参照してください。
Office がインストールされているコンピューターでは、 Office COM オブジェクトが有効になっています。

更新プログラムを確認すると同期はされていますが、説明部分に下記の文章があり、WSUSからは使えないことがわかります。

重要：この更新プログラムはWindows Server Update Service（WSUS）経由で直接デプロイするようには設計されていません。この更新プログラムをデプロイするには、Configuration Managerを使用する必要があります。

M365・Offie2019以前（Office2016など）の更新プログラムは2024年現在もWSUSで提供されています。

Windows10はなぜ複数あるのか？

Windows10を見てみると大きく二つの種類があります。※SやVibraniumについては記載を割愛します。

製品	使うとき	備考
Windows 10	1903より前を対象にする場合	2024年の現時点で使うことはまずないと思われる。
Windows 10 version 1903 and later	1903以降を対象する場合

分かれている理由はWindows 10 version1903からのUUPに対応するためのようです。

なお、Windows 11は当初からUUPに対応しているため、製品としてはWindows 11だけになります。

Windows 10 バージョン 1903 について、 WSUS の製品タブに「 Windows 10, version 1903 and Later 」が追加されました。
新しい更新プログラムの配信プラットフォームである「 Unified Update Platform (UUP) 」のサポートに備えた対応となります。
Windows 10 バージョン 1903 以降の更新プログラムを配布する場合には、製品タブにおいて「 Windows 10, version 1903 and Later 」を
追加する必要がございますので、ご注意ください。

WSUSのUUP対応については、下記の記事を参照してください。

Windows OS製品についている専門用語っぽいもの

Windows10やWindows11を見ていると下記の用語が付いたものがあります。

説明文は、未検証のため各資料から読み取った内容から簡潔にしているため誤りがあるかもしれません。

用語	意味	説明
Features On Demand	オンデマンド機能	オンデマンド機能に関する更新プログラム（Windows 10 バージョン1709よりも前のバージョンで使える）
Dynamic Updates	動的更新	Windowsをセットアップし、かつインターネットに接続されていないときに使われる。
GDR-DU	General Distribution Release Dynamic Update	Dynamic Updatesの中で現在のビルドの累積的な更新プログラムに対して使われる。
GDR-DU LP	General Distribution Release Dynamic Update Language Packs	Dynamic Updatesの中で現在のビルドの言語パック対して使われる。（おそらく、Windows 10 バージョン1709よりも前のバージョンで使える）
GDR-DU FOD	General Distribution Release Dynamic Features On Demand	Dynamic Updatesの中で現在のビルドのオンデマンド機能に対して使われる。（おそらく、Windows 10 バージョン1709よりも前のバージョンで使える）

それぞれの詳細について下記のブログから引用しながら記載します。

Features On Demand

Windows 10 のオンデマンド機能 (Features On Demand) で取得する更新プログラムが含まれます。オンデマンド機能では、Windows 10 に.NET Framework 3.5 などの機能を追加する際に、インストールモジュールを Windows Update から入手して、機能追加を行います。
オンデマンド機能は、Windows 10 の [設定] – [システム] – [アプリと機能] より [オプション機能の管理] をクリックし、[機能の追加］をクリックすることで、使用することができます。

後述しますが、Features On Demandは、Windows 10 バージョン1709以降ではWSUSで使えなくなっています。

Dynamic Updates

Windows 10 をセットアップする時に自動的に適用される更新プログラムが含まれます。Dynamic Update については後述の “「GDR-DU」について” をご確認ください。

※現在の製品名は「Windows 10 Dynamic Update」から「Windows 10 and later Dynamic Update」になっているようです。

これは非常に簡素な説明ですが、下記のコミュニティ情報がもう少し詳しく説明してくれています。

上記を日本マイクロソフトサポートチームが抄訳してくれているものが下記になります。

「Dynamice Updtes」に含まれるコンポーネントは下記のようです。

Setup DU: Fixes to Setup binaries or any files that Setup uses for feature updates.
SafeOS DU: Fixes for the ‘safe OS’ that we use to update Windows recovery environment (WinRE).
Servicing Stack Update (SSU)/Critical DU: Fixes that are necessary to address the Windows 10 servicing stack issue and thus required to complete the feature update.
Latest Cumulative Update (LCU)/General Distribution Release (GDR) DU: Installs the latest cumulative quality update.
Language Pack (LP) and Feature On Demand (FOD) DU: Preserves users’ installed language packs and optional features by reinstalling them.
Driver DU: Latest version of applicable drivers that have been already published by manufacturers (OEMs and/or IHVs) into Windows Update and specifically targeted for Dynamic Update.

結局のところ、WindowsOSをセットアップする際に必要な更新プログラムを1ステップで最新の状態にするメリットがあるようですが、コミュニティの原文に下記の記載がありWSUSで使う必要があるのか不明瞭でした。

Based on your feedback, starting with Windows 10, version 1809, Dynamic Update content is downloaded directly from HTTPS endpoints. Prior to version 1809, Setup leveraged the in-box Windows Update client to retrieve Dynamic Update content, which required those organizations using Configuration Manager with WSUS to approve the Dynamic Update content in the WSUS console.
For Windows 10, version 1809 and later, there is no approval required in WSUS. Instead, by default, the client device receives all content from the following HTTPS endpoints:
https://fe3.delivery.mp.microsoft.com:443
http://tlu.dl.delivery.mp.microsoft.com

これは、日本マイクロソフトサポートチームの下記ブログで説明されていました。

Q3:
WSUS を利用して動的更新 (Dynamic Update) で適用される累積更新プログラムを制御できますか？
A3:
WSUS 環境で且つ、インターネットアクセスを制限している場合は、WSUS を参照して DU を行います。
WSUS 上で [Windows 10 GDR-DU] の製品を同期している場合、タイトルに Dynamic Cumulative Update がついた更新プログラムが同期されます。
これらを承認することで DU で適用される累積更新プログラムを制御することができます。
インターネットアクセスを制限していない場合は、最新の累積更新プログラムが DU で適用されます。

また、「Dynamic Updates」製品で不可解な動きもあります。上図は、「Windows 10 and later Dynamic Update」製品の更新プログラムです。laterのためWindows 11のDynamic Updatesも含まれているようで、2024年1月の更新プログラムが表示されていました。

上図は「Windows 11 Dynamic Updates」製品の更新プログラムを見てみると、こちらは2022年3月の更新プログラムが最新です。

「Windows 10 and later Dynamic Update」の方で配信されたいた「KB5034236」は、WSUSでは本来配信されていないはずのコンポーネントのため表示されているのが間違いのような気がします。

GDR-DU

Windows 10 をセットアップする時に自動的に適用される更新プログラムが含まれます。
通常の更新プログラムは、“Windows 10 がインストールされた状態で、Windows Update 実行時、もしくは WSUS からインストール指示があったとき” に検出・適用されます。

これでけではわかりにくいですが、Dynamic Updateの説明を再度引用すると、更新プログラムのタイトルにDynamic Cumulative Updateが付いたものが対象になるようです。

Q3:
WSUS を利用して動的更新 (Dynamic Update) で適用される累積更新プログラムを制御できますか？
A3:
WSUS 環境で且つ、インターネットアクセスを制限している場合は、WSUS を参照して DU を行います。
WSUS 上で [Windows 10 GDR-DU] の製品を同期している場合、タイトルに Dynamic Cumulative Update がついた更新プログラムが同期されます。
これらを承認することで DU で適用される累積更新プログラムを制御することができます。
インターネットアクセスを制限していない場合は、最新の累積更新プログラムが DU で適用されます。

まず、GDR（一般配布リリース）ですが、もう1つLDR（限定配布リリース）というものが存在します（WSUS上は製品として選択できません）。この2つのリリースのうちGDRを配布するということです。DGRとLDRの説明は下記がわかりやすいでしょう。

GDR vs. LDR branches
Now that we have described the different kinds of updates, let’s take a deeper look into how these fixes are built. When a new OS or service pack is released, 2 branches are created from the release code tree -a GDR (general distribution release) branch and a LDR (limited distribution release) branch. Hotfixes are built solely from the LDR branch, while Updates for broad release are built from the GDR branch.

WSUSで更新プログラムを見るとタイトルにCumulative（累積的な）が付いています。つまり累積的な更新プログラムが適応されるということです。

「Dynamic Update」と「GDR-DU」の違いがよくわからず悩みましたが、以下が参考になりました。

つまり、「Dynamic Update」は21H2から22H2のようにビルドバージョンが変わるような動的更新にも対応しますが、「GDR-DU」は、22H2の中で累積更新プログラムに対応するようです。

GDR-DU LP

Windows 10 をセットアップする時に自動的に適用される Language Packが含まれます。

動的更新のLP（Language Pack）の更新プログラムです。後述しますが、現在では言語パックは、WSUSで配信できません。WSUSから見ても最後の提供は2018年4月30日になっています。また、Windows11で「GDR-DU LP」が付いている製品名はなくなっています。

GDR-DU FOD

動的更新のFOD（オンデマンド機能）の更新プログラムです。後述しますが、現在ではオンデマンド機能は、WSUSで配信できません。WSUSから見ても最後の提供は2018年4月30日になっています。また、Windows11で「GDR-DU FOD」が付いている製品名はなくなっています。

オンデマンド機能や言語パックはの対応は？

Windows 10を見ているとオンデマンド機能に関するFeature On Demand、FDOを表記された製品があります。

また、Windows 10以前では、言語パッケージに関するLanguage Packsの表記もあります。

現在オンデマンド機能や言語パックをWSUSで管理できなくなっています。

そのためかWindows 11には、Feature On Demand（FOD）やLanguage Packsと表記された製品はないようです。

https://learn.microsoft.com/en-us/windows/deployment/update/fod-and-lang-packs
As of Windows 10 version 1709, you can’t use Windows Server Update Services (WSUS) to host Features on Demand (FODs) locally. Starting with Windows 10 version 1803, language packs can no longer be hosted on WSUS.
In Windows 10 version 1809 and beyond, changing the Specify settings for optional component installation and component repair policy also influences how language packs are acquired, however language packs can only be acquired directly from Windows Update. It’s currently not possible to acquire them from a network share. Specifying a network location works for FOD packages or corruption repair, depending on the content at that location.
訳：
Windows 10 バージョン 1709 以降、Windows Server Update Services (WSUS) を使用して、Features on Demand (FODs) をローカルでホストすることはできません。Windows 10 バージョン 1803 から、言語パックは WSUS 上でホストされなくなりました。
Windows 10 バージョン 1809 以降、オプションのコンポーネントのインストールとコンポーネントの修復ポリシーを変更すると、言語パックの取得方法も影響を受けますが、言語パックは Windows Update からのみ直接取得できます。ネットワーク共有からの取得は現在できません。ネットワークの場所を指定すると、その場所のコンテンツによって FOD パッケージまたは破損修復が可能です。

「Windows 10 Feature On Demand」「Windows 10 Language Packs」「Windows 10 Language Interface Packs」製品の更新プログラムを見ても最後のリリース日のものが2017年になっており現在は使われていないことがわかります。

Windows Servser 2022に更新プログラムを配布するには？

Windows Server 2022の更新プログラム配布に必要なのは、「Microsoft Server operating system-21H2」製品です。日本マイクロソフトサポートチームのブログでも記載されています。

「Microsoft Server operating system-22H2」「Microsoft Server operating system-23H2」という製品もありますが、通常使用するWindows Server 2022には必要ありません。

これには、長期サービスチャネル（LTSC）と年間チャネル（AC)が関係しています。

通常インストールして使用するWindows Server 2022はLTSCチャネルです。※下記に明記はありませんが、20348.2340は21H2です。

「Microsoft Server operating system-22H2」「Microsoft Server operating system-23H2」はACチャネルです。これはAzure Stack HCIやコンテナー向けのものになります。

Hotpatch Categoryとは？

「Server 2022 Hotpach Category」という製品がありますが、通常のWindows Server 2022向けではなく、Azure Edition向けです。

How about Windows Server 2022 Azure Edition and neat Hotpatch feature?
You would assume that due to the naming convention you might find it in the near of Microsoft Server 2022 Azure Edition as a seperate product category.
Be disappointed. The naming convention does not apply to any extend.
It is called Server 2022 Hotpatch category, yes the full name, not even Windows Server 2022 Hotpatch or sorts.
Pardon me but seems like someone hotpatched the category name itself. I do not believe they will change this as this would stress to change the whole servicing and metadata and break things.