【WSUS】「クライアント側のターゲットを有効にする」グループポリシー

どうも、Tです。

WSUSを使うとき、WSUSのコンピュータグループを自動配置してくれる以下のグループポリシーの検証の備忘録です。

クライアント側のターゲットを有効にする

環境

バージョン

検証環境については、下記記事の「環境」をご参照ください。

事前に設定しているグループポリシー

以下のグループポリシーは事前に設定済みの環境で確認しています。

イントラネットのMicrosoft更新サービスの場所を指定する
自動更新の検出頻度
自動更新と再起動の期限を指定する

設定の詳細は、下記記事の「Windows Updateグループポリシーの評価・検証結果サマリ」の検証結果を参照してください。

https://t-dilemma.info/wsus-gpo-point-on-w2k22/

GPOが未構成の場合

「クライアント側のターゲットを有効にする」ポリシーはデフォルトで上記のようになっています。

デフォルトでは、WSUSクライアントをどのコンピュータグループに割り当てるのかは、WSUSコンソールで対象のWSUSクライアントのメンバーシップの変更(コンピュータグループの割当）を手動で実施する必要があります。

「クライアント側のターゲットを有効にする」ポリシーを使うことで、このメンバーシップの変更を半自動化できます。

WSUS設定

WSUSのコンピュータオプション設定

「クライアント側のターゲットを有効にする」ポリシーを使用する場合、WSUSサーバーの「オプション」->「コンピューター」->「コンピューターのグループポリシーまたはレジストリ設定を使用します。」に設定変更しておく必要があります。

この設定を行うと、手動でメンバーシップの変更が行えなくなります。そのため、運用上では、手動でメンバーシップの変更を行うか、グループポリシーに任せるかのどちらかを考慮する必要があります。

WSUSのコンピュータグループ作成

WSUSコンソールで「コンピュータ」->「すべてのコンピューター」を右クリック->「コンピュータグループの追加」をクリックし、コンピュータグループを追加しておきます。

今回は、上図のように「検証」「本番」のコンピュータグループを追加しました。

GPO設定

テスト用の「test7」OUの配下に「dev」「prod」OUを作成しました。

「dev」OUに配置したコンピュータは、WSUSの「検証」コンピュータグループ

「prod」OUに配置したコンピュータは、WSUSの「本番」コンピュータグループ

に自動的にメンバーシップの変更が行われるようにしていきます。

「コンピュータの構成」->「管理用テンプレート」->「Windows コンポーネント」->「Windows Update」->「クライアント側のターゲットを有効にする」を設定します。

今回は、2つのグループポリシーを作成しました。

32の番号は、下記記事の「Windows Updateグループポリシーの評価・検証結果サマリ」の項目に記載しているNoです。

個人的に検証結果がわかりやすいように番号を振っているだけなので任意の名前で問題ありません。

windowsupdate-32_dev

windowsupdate-32_prod

それぞれのグループポリシーを「有効」にし、「このコンピューターのグループ名をターゲットにする」にWSUSで作成したコンピュータグループ名を指定します。

注: このポリシーは、このコンピューターで指定されている先のイントラネット Microsoft 更新サービスがクライアント側のターゲットをサポートするように構成されているときにのみ適用されます。[イントラネットの Microsoft の更新サービスの場所を指定する] ポリシーが無効か構成されていない場合、このポリシーは有効にはなりません。

それぞれのOUにグループポリシーをリンクしておきます。

GPO設定後

AD側でドメインに参加したWSUSクライアントをそれぞれのOUに配置します。

WSUSクライアントを再起動するか「gpupdate /foce」コマンドでグループポリシーを反映します。

他のグループポリシーでWindows Updateで更新プログラムが検知されるのを待つか、手動で「Windows Update」->「更新プログラムのチェック」をクリックします。

WSUSサーバーで検知するとグループポリシーで設定したコンピュータグループに自動で割り当てられます。

今回は検証のためAD側のOU名とWSUS側のコンピュータグループ名を別にしていましたが、本番で利用する場合は、同じ名前で合わせておいたほうがよいでしょう。管理上見た目でわかりやすくなります。

注意点

手動と自動の併用はできない

「クライアント側のターゲットを有効にする」ポリシーを使用している（というよりも、WSUSサーバーで「コンピューターのグループポリシーまたはレジストリ設定を使用します。」を設定している）場合、メンバーシップの変更は手動で行えなくなります。

コンピューターを右クリックしてもグレーアウトして操作できません。

コンピュータグループの管理
learn.microsoft.com
クライアント側のターゲット
クライアント側のターゲットでは、WSUS コンソールで作成したコンピュータグループにクライアントコンピュータを追加できます。Active Directory ネットワーク環境のグループポリシーを使用するか、Active Directory 以外のネットワーク環境のクライアントコンピュータのレジストリエントリを編集して、クライアント側のターゲットを有効にできます。クライアントコンピュータが WSUS サーバーに接続するときに、正しいコンピュータグループに追加されます。クライアント側のターゲットは、クライアントコンピュータが多い場合や、コンピュータグループへの割り当てプロセスを自動化する場合に適したオプションです。