☰

ネットワークに接続されていないワークステーションに Windows セキュリティ更新プログラムをインストールする

tag-icon • tag-icon windows-10 windows-update
ネットワークに接続されていないワークステーションに Windows セキュリティ更新プログラムをインストールする

同様の質問をいくつか見てきましたが、それらはすべて古くなっているか、オフライン ネットワークまたはオフライン サーバーを前提としています。

当社には多数の遠隔地がありますが、そのほとんどは独自の IT 部門を持っていません。各拠点には、いかなるネットワークにも接続されていないワークステーションが少なくとも 2 台、場合によってはそれ以上あります。これらのワークステーションは Windows 10 Enterprise を実行しています。これらの点については、一切妥協できません。

私たちは、年に 2 ～ 4 回、アプリケーションの更新を準備しています。リモート ロケーションでは、セキュリティで保護された Web ポータルからその更新を取得し、フラッシュ ドライブにロードして、各ワークステーションにその更新を適用します。これを機会に、前回の更新以降の Windows のセキュリティ更新や重要な更新もインストールしたいと思います。

これまでのところ、私が見た中で最良のオプションは WSUS オフラインですが、増分更新を簡単に実行できず、それがないと、ダウンロード サイズが最終的に不合理なものになります。WSUS や SCCM を使用したことはありませんが、オフライン インストーラーを作成するオプションはないようです。ターゲット ワークステーションは厳重にロックダウンされているため、理想としては、結果として得られる実行可能ファイルが Microsoft または当社によって署名されていることを望みます。

他に検討すべきオプションはありますか? エンタープライズ ソリューションが利用可能であれば、その料金を支払うことに何の問題もありません。現在、WSUS オフラインからソースを取得して、ニーズに合わせて変更することを真剣に検討していますが、開発リソースを拘束したくありません。

答え1

新しいパッチ モデルでは、すべてが累積的になり、パッチのサイズが大きくなるのはそのためです。基本的に、製品ごとの月次サービス パックになりました。したがって、これらのマシンにロードされている製品に応じて、(#1) OS、次にインストールされている (#2) IE、(#3) .NET Framework、および (#4) Office の最新の更新プログラムのみが必要になります。

例: たとえば、1 月と 6 月に年に 2 回パッチを適用する場合、2018 年 1 月は 2017 年のものすべてを置き換え、2018 年 6 月は 2018 年 2 月から 5 月までのものを置き換えるため、その年の他の 10 か月間のものを適用する必要はありません。

答え2

マイクロソフト (正しい OS と x86 または x64 のものを入手してください) KB####### を 1 つずつ入力してカートに追加します。フォルダーのプロンプトが表示されたら、c:\updates を参照します。

Wusa.exe ファイルは %windir%\System32 フォルダーにあります。Windows Update スタンドアロン インストーラーは、Windows Update エージェント API を使用して更新パッケージをインストールします。

for /R "C:\Updates\" %i in (*.msu) do wusa "%i" /quiet /norestart

パッチの名前を変更して、ファイル名の先頭に 1、2、3 などを追加し、正しい順序でインストールされるようにすることをお勧めします。または、バッチ ファイルに wsu を複数含めることもできます。

wusa "package1.msu" /quiet /norestart
wusa "package2.msu" /quiet /norestart
wusa "package3.msu" /quiet /norestart
...

もちろん、更新の存在をチェックし、必要なものだけを適用する、よりインテリジェントなスクリプトを作成することもできます。

ここでの唯一の潜在的な問題は、アップデートには強制的な再起動が必要であり、スクリプトでその状況を処理する必要があることです。また、アップデートのインストールに失敗する可能性もあり、その場合はさらにエラー チェックが必要になります。

もう 1 つの可能性のある答えは、完全なイメージングです。Microsoft の imagex を使用して、Windows を wim ファイルにキャプチャできます。次に、wim ファイルを含む USB スティックに Windows PE 環境を用意します。wim ファイルを展開して再起動すれば完了です。

ここでの利点は、すべてのパッチが適切に展開されていることがわかることです。コンピューターは均一な構成になります。

エンドユーザーがファイルを保存する必要がある場合は、ハードドライブを c: と d: にパーティション分割し、すべてのユーザーファイルを D: に保存して、C: ドライブのイメージを自由に再作成できるようにすることをお勧めします。

最大の欠点はサイズです。イメージを徹底的にクリーンアップしても、サイズはずっと大きくなります。プログラムのサイズと、ハード ドライブから不要なファイルを徹底的に削除する量に応じて、16 GB または 32 GB になる場合があります。

答え3

  1. wsusscn2.cabここから最新のアップデート cab をダウンロードしてください:http://go.microsoft.com/fwlink/?linkid=74689
  2. PowerShellモジュールを入手して更新を管理し、手動でダウンロードします.nupkg https://www.powershellgallery.com/packages/PSWindowsUpdate/2.2.0.2
  3. これらの 2 つのファイルを、更新プログラムをコンピューターに移動するために使用する USB にコピーします。
  4. .nupkgモジュール フォルダーに解凍します。C:\Program Files\WindowsPowerShell\Modules最終的なパスは、C:\Program Files\WindowsPowerShell\Modules\PSWindowsUpdateそのフォルダー内の nupkg の内容と同じになります。
  5. モジュールをインポートします。Import-Module PSWindowsUpdate
  6. 手順 1 の cab ファイルを更新のソースとして追加します。Add-WUOfflineSync -Path C:\wsusscan.cabその際、cab ファイルを置いたパスを使用します。
  7. ServiceID手順6で作成したを次のように取得しますGet-WUServiceManager。このコマンドは、すべてのオプションとそのGUIDを一覧表示します。探しているオプションの名前は次のようになります。Offline Sync Service
  8. ServiceID手順 7 の次の部分を引用して、新しいソースから更新プログラムをインストールします<GUID>。

Install-WindowsUpdate -ServiceID <GUID> -AcceptAll -AutoReboot

関連情報