構成動作

このタブでは、パッチの配布に関連したさまざまなオプションを構成できます。

配布の動作

[配布の動作] を使用すると、パッチをいつ配布するか (スケジュール)、どのパッチを配布するか (配布オプション)、および配布プロセス中にターゲットデバイスの再起動要求を送信するかどうかとそのタイミング (再起動動作) を構成できます。

同じパッチ構成内で、オペレーティングシステムごとに異なる配布動作を構成できます。オペレーティングシステムごとの配布動作は、次のような、オンまたはオフに切り替えることができる1つ以上の配布タスクで構成されます。

定期メンテナンス: 通常、オペレーティングシステムとアプリケーションの標準的な月次パッチ適用に使用され、エンドポイントの再起動が必要になることがよくあります。
優先アップデート (Windows のみ): ブラウザや通信アプリケーションなど、より頻繁に更新がリリースされるアプリケーション向け。再起動が必要になることはほとんどないため、これらの配布をより頻繁にスケジュールすると、ユーザへの影響をほとんど与えずに脆弱性を軽減できます。
ゼロデイレスポンス (Windows のみ): 悪用された脆弱性などに対する緊急対応向け。
継続的な準拠 (Windows のみ): 非準拠エンドポイントの修復用。詳細については、「継続的な準拠」をご参照ください。

これらのタスクを使用すると、異なるタイプのパッチが異なるスケジュールで配布されるように構成することで、パッチ適用のリスクベースの戦略を実装できます。

スキャンのみのパッチ構成を作成するには、すべてのオペレーティングシステムのすべてのタスクの配布トグルをオフにします。パッチエンジンは、インストールされるとすぐにエンドポイントをスキャンし、その後は毎日、ローカルエンドポイント時間の午後10時から午前6時の間にスキャンします。

パッチタスクを有効にするには、そのトグルを有効にした後、[このタスクを構成] をクリックして、タスクの構成パネルを表示します。

リング配布

リング配布は、常に正常にインストールされないパッチや、インストールされた場合にデバイスに悪影響を与えるパッチを配布するリスクを軽減するのに役立ちます。リング配布では、IT 資産内のすべてのデバイスに同時にパッチを配布するのではなく、最初にテストデバイスのセットにのみパッチを配布し、テストデバイスへの配布が成功したと見なされる場合にのみ、残りのデバイス全体に配布をロールアウトできます。

スケジュール

この領域では、反復スケジュールで実行される配布の構成と、リング配布を有効にしている場合はリング間でパッチがどのように昇格されるかの構成を行えます。

スケジュールがない場合は、再起動時に実行: デバイスの電源がオフになっているためにスケジュールされた配布のタイミングを逸した場合、デバイスの電源が再びオンになってから1時間以内に実行されます。
パッチの配布: 以下のオプションを使用してパッチ配布をスケジュールできます。
- 日単位: 毎日、指定した時刻に配布が実行されます。
- 週単位: 指定した曜日の、指定した時刻に、配布が実行されます。
- 月単位: 指定日、つまり毎月所定日の指定した時刻に配布が実行されます。このオプションを使用して、Microsoft の Patch Tuesday と連動させた配布をスケジュールすることもできます。
- Patch Tuesday: Patch Tuesday として知られる Microsoft の月例パッチイベントと同じ日に配布が実行されるようにスケジュールします。

[リング配布を構成] が無効になっている場合は、上述のオプションボタンの下に適切なスケジュールコントロールがあります。

[リング配布を構成] を有効にしている場合は、[テストリング]、[早期利用者リング]、および[プロダクションリング] の追加セクションが表示され、[テストリング] セクション内にスケジュールコントロールが表示されます。

プロダクションリングまでの日数: テストリングの開始からプロダクションリングの開始までの期間を、最長90日間で指定します。詳細については、「複数の同時リングロールアウト」をご参照ください。

リング配布の場合、テストリングへの配布のみをスケジュールし、他のリングへの配布の開始は、適切な [ソーク時間] および [遅延時間]から計算されます。 [リング配布を構成] が有効になっていると、次のコントロールが利用可能になります。

成功率 ([テストリング] および [早期利用者リング] 内): 配布が成功とみなされ、パッチが次のリングへの昇格に適切となるために、[ソーク時間] 内に成功する必要があるパッチのインストール試行の割合。
ソーク時間 ( [テストリング] および [早期利用者リング] 内): リングへの配布の開始から、各パッチの [成功率] が計算されるまでの時間。最良のソーク時間を決定するためには、実験が必要になる可能性があります。リング間の進行のバランスを効率的にとるには、パッチの配布に十分な時間を確保し、含まれるすべてのパッチのインストールの成功率を統計的に表すために必要な十分な数のデバイスを含めます。各リングの最大期間は28日間です。
ユーザ調査とパッチ昇格: テストリングまたは早期利用者リングから次のリングまでのパッチ配布プロセスの一環として、ターゲットユーザ調査を通じてユーザフィードバックが収集されます。ユーザ調査の作成と管理の詳細については、「ボット」をご参照ください。
- 調査を選択: パッチ配布調査用に作成された調査を調査ドロップダウンリストから選択します。パッチ配布用の最新のユーザ調査リストに自動入力するには、を使用します。既に選択されている調査に対して変更があると、エラーが示される場合があります。変更を反映するには、を使用します。
- 調査結果に基づいてパッチを昇格させる: [はい] を選択すると、最小応答数と平均ユーザセンチメントのしきい値に基づいて、パッチが次のリングに昇格されます。 [いいえ] を選択すると、情報は調査から収集されますが、調査結果に基づいたリングの昇格は行われません。
遅延時間 ([早期利用者リング] および [プロダクションリング] 内): 前のリングのソーク時間が完了してから、このリングへの配布が開始されるまでの、待機時間。

ロールアウトが完了してから、同じロールアウトの次のインスタンスの開始をスケジュールする必要があります。この結果、[ソーク時間] と [遅延時間] のすべての値の合計は、[月] スケジュール、または [Patch Tuesday] スケジュールの場合、28日を超えてはなりません。

パッチの配布スケジュールの後の、次に使用可能なメンテナンス時間枠を使用するには、[次回のメンテナンス時間枠中に配布] を選択します。リング構成では、このオプションをリングごとに個別に使用できます。

次回のメンテナンス時間枠中に配布を選択した場合は、エージェントポリシーで将来のメンテナンス時間枠が構成されていることを確認してください。メンテナンス時間枠がないと、パッチ配布ができなくなります。

[スケジュールがない場合は、再起動時に実行] オプションと [次回のメンテナンス時間枠中に配布] オプションの両方を有効にした場合は、デバイスが利用不可であったためにスケジュールされた配布が実行されなかった場合に、次に使用可能なメンテナンス時間枠中にパッチの配布とデバイスの再起動 (必要な場合) が実行されます。

配布の開始がスケジュールされる前に、パッチコンテンツをステージングすることもできます。これは、メンテナンス時間枠が設定されているエンドポイントの場合に特に役立ち、メンテナンス時間枠の期間がダウンロードに無駄遣いされることがなくなります。

配布前にコンテンツをステージング (Windows および Mac): エンドポイントのパッチエンジンに、配布タスクの前にパッチをダウンロードするように指示します。配布が実行される1～23時間前の間に、コンテンツをステージングできます。配布前にデバイスのパッチステータスを再評価するために、ステージングプロセスの開始時にエージェントによってパッチスキャンが自動的に実行されます。
月の最初の日に行われるパッチ配布には例外があります。うるう年やその他の、類似したカレンダーの得意日に伴う問題を避けるため、月の最初の日よりも前にはコンテンツをステージングできないように、このインターフェイスは作られています。たとえば、その月の最初の日の午前8:00に配布をスケジュールすると、コンテンツをステージングできるのは配布前1～8時間の間のみです。

配布の対象

利用可能な配布オプションは、オペレーティングシステムによって異なります。

Windows: [リスクスコア別に配布]、[重要度別に配布]、[パッチグループ別の配布/除外]、[有効化パッケージを含める]、[有効化パッケージを含める]、および [ただし、次の場合のみ: 選択したベンダ/製品]
Mac: [重要度別に配布]、[パッチグループ別配布]
Linux: [未適用のパッチをすべて配布する]、[重要度別に配布]、[パッチグループ別配布]

定期的に [準拠レポート] コンポーネントを使用してデバイスの準拠ステータスを確認し、新しい [セキュリティ: 重大] パッチがあればパッチグループに追加することをお勧めします。詳細については、「準拠レポート」と「パッチグループ」をご参照ください。

配布オプションの選択

未適用のパッチをすべて配布する / 選択済みのパッチを配布する (Linux のみ): Linux の場合は、[未適用のパッチをすべて配布する] を選択できます。または、[選択されているパッチを配布する] を選択すると、さらなる制御が可能になり、配布されるパッチを選択できるようになります。
リスクスコア別に配布 (Windows のみ): 有効になっている場合、配布に含めるパッチに関連付けられているリスクスコアを指定できます。
- VRR スコア: 構成した値以上の VRR スコアを持つパッチが配布されます。脆弱性リスク評価 (VRR) は、所定の脆弱性によってもたらされるリスクを、0～10の数値スコアとして表しています。
- CVSS スコア: パッチに関連付けられているすべての CVE から得られた CVSS (共通脆弱性スコアリングシステム) スコアの最新バージョンが、構成した値以上であるパッチが配布されます。スコアの範囲は0.1～10です。
- 悪用された脆弱性に対するパッチを配布: 有効になっている場合、悪用されたと報告されている脆弱性に対するパッチが配布されます。
重要度別に配布: 有効になっている場合、配布に含めるパッチのタイプと重要度レベルを指定できます。既定では、重大なセキュリティパッチのみが選択されます。各オペレーティングシステムおよび Linux ディストリビューション用にさまざまなレベルがあります。アイコンは、各レベルをサポートしている Linux ディストリビューションを示しています。
- セキュリティ: セキュリティ情報関連のパッチ。 1つ以上の特定の重要度レベルを配布することを選択できます。
  - 重大: 認証されていないリモート攻撃者によって悪用される可能性のある脆弱性、またはオペレーティングシステムのゲスト/ホストの分離を破壊する脆弱性。悪用されると、ユーザが操作を行うことなく、ユーザデータや処理リソースの機密性、完全性、可用性が侵害されます。脆弱性の悪用がさらに拡大すると、インターネットワームが拡散したり、仮想マシンとホスト間で任意のコードが実行されたりするおそれがあります。
  - 重要: 悪用された場合に、ユーザデータや処理リソースの機密性、完全性、可用性の侵害につながる脆弱性。このような不備があると、ローカルユーザが権限を取得する、認証されたリモートユーザが任意のコードを実行できる、ローカルまたはリモートのユーザが簡単にサービス妨害攻撃を実行できる、といったことを許します。
  - 標準: 構成により、または悪用の困難性により、悪用の可能性がかなりのレベルまで緩和されているものの、特定の配布シナリオにおいては依然としてユーザデータや処理リソースの機密性、完全性、可用性への何らかの侵害につながるおそれのある不備。このようなタイプの脆弱性は、重大または重要な影響を及ぼす可能性はありますが、不備の技術的な評価に基づく限り、悪用することがそれほど容易ではないか、構成への影響の可能性は低いと見られます。
  - 低: セキュリティに影響を及ぼすその他のすべての問題。悪用することがきわめて困難であると考えられるか、悪用された場合でも最小限の影響に抑えられる脆弱性。
  - 未割り当て (Windows および Mac): 重要度レベルがまだ割り当てられていないセキュリティパッチ。
- 非セキュリティ (Windows および Mac): セキュリティの問題ではない、既知のソフトウェアの不具合を修正するベンダ提供のパッチ。 Windows の場合は、1つ以上の特定のベンダ重要度レベルを配布することを選択できます。使用可能な重要度レベルについては、「セキュリティパッチ」をご参照ください。
- バグ修正 (Linux のみ): バグを修正するベンダ提供のパッチ。
- 機能拡張 (Linux のみ): 機能拡張を提供するベンダ提供のパッチ。
パッチグループ別の配布/除外 (Windows) またはパッチグループ別配布 (Mac および Linux): 有効にすると、配布に含めるパッチが含まれているパッチグループを1つ以上、または (Windows のみ) 配布から除外するパッチが含まれているパッチグループを1つ以上指定できます。これは、許可されたパッチのみが配布されるようにするための良い方法です。 [含む] に設定されたパッチグループに含まれていない欠落パッチは、[重要度別に配布] オプションで指定された要件を満たしていない限り、配布されません。 [除外] に設定されたパッチグループ内のパッチは、配布されるべきであることが他の設定で明確に推奨されている場合でも、配布されません。使用可能なパッチグループについての詳細は、[パッチ設定] ページのパッチグループタブを使用して表示できます。パッチグループは Patch Intelligence 内で管理します。
Linux デバイスは、たとえ前のバージョンパッチグループに追加されている場合でも、リポジトリで入手可能な最新のパッケージに常に更新されます。また、パッチグループ内のアドバイザリに関連付けられているパッケージだけでなく、従属アドバイザリに関連付けられているパッケージもインストールされます。
[パッチグループ別配布/除外] を有効にすると、全パッチグループのグリッドが表示され、オペレーティングシステムごとのパッチの数と、パッチグループごとのパッチの総数が示されます。パッチグループの横にあるチェックボックスをオンにして、必要に応じて [含む] または [除外] をクリックします。パッチグループの選択を解除するには、[クリア] をクリックします。
構成されていないオペレーティングシステム用のパッチ数の横にあるまたはは、その構成には既にそれらのパッチが含まれている、または除外されていることを示しています。
グループを選択する前に、そのグループにどのようなパッチが含まれているか迅速に把握できると便利です。そのためには、グリッド内の数字リンクをクリックして、[パッチグループ] グリッドの下に対応するパッチを表示します。オペレーティングシステムを判別するには [プラットフォーム] 列を、個々のパッチのステータスを判別するには [ステータス] 列を使用します。
表示されるステータスは、実際には、現在のパッチ構成でのこのパッチグループの使用状況に基づく、おおよそのステータスです。パッチのステータスには、さまざまな要因が影響します。たとえば、[選択したベンダ/製品] とパッチグループを使用する場合、1 つ以上のパッチがグループから除外される可能性があります。
- アクティブ: このパッチグループは、パッチをエンドユーザのデバイスで利用できるようにするため、この構成で使用されてきました。デバイスは、このパッチ構成に関連付けられているポリシーの一部です。
- 非アクティブ: このパッチステータスになる理由は2つ考えられます。 (1) このパッチグループは、パッチを任意のデバイスで利用できるようにするためには使用されていなかった。 (2) このパッチグループが割り当てられているパッチ構成は、デバイスに対してアクティブにされていなかった。
  [非アクティブ] にリストされているパッチが実際にはアクティである、というシナリオもあります。このパッチが複数のパッチグループに配置されている場合、他のパッチグループのいずれかが、デバイスに対してこのパッチをアクティブにする際に使用されていた可能性があります。
有効化パッケージを含める (Windows のみ、[定期メンテナンス] のみ): 有効になっている場合、選択した有効化パッケージが配布されます。有効化パッケージは、あるバージョンの Windows を別のバージョンにアップグレードするための、累積的な更新プログラムの限定的なセットです。置き換えられた項目を表示する、または非表示にするには、[置き換えられたパッケージを表示] を使用します。
ただし、次の場合のみ: 選択したベンダ/製品 (Windows のみ): 無効な場合、利用可能なすべてのベンダと製品のパッチが、[重要度別に配布] および [パッチグループ別配布] オプションで定義された配布に含まれます。新しい製品やパッチは、利用可能になった時点で配布に追加されます。

有効な場合、エンドポイントに配布できるベンダ、製品ファミリー、製品バージョンを指定できます。選択されていないベンダと製品は配布から除外されます。項目は階層リストで表示されます。あるレベルのチェックボックスを1つ選択すると、その下のレベルのチェックボックスもすべてオンになります。

すべてを選択: このチェックボックスをオンにすると、リスト内のすべてのベンダおよび製品に関して現在利用できるパッチがすべて選択されます。以降の日付において使用可能になる新しいベンダおよび製品のパッチが配布に追加されます。

除外する項目数が少ない場合は、[すべて選択] を有効にしてから、除外する項目のチェックボックスをオフにできます。

個別のベンダと製品を選択する: 選択したベンダ、製品ファミリー、製品バージョンのパッチのみが配布されます。選択されていないベンダおよび製品は配布から除外されます。

さまざまな配布オプションを使用したユースケース例

既定では、セキュリティ上重大な Windows 用のパッチのみが配布されます。設定により、次のようになります。

[重要度別に配布] を有効にして構成し、[パッチグループ別の配布/除外] でいくつかのパッチグループを [含む] に設定した場合、効果は付加的であり、構成された各オプションのすべてのパッチが配布されます。
[有効化パッケージを含める] を有効にして構成すると、有効化パッケージが含まれます。これらのパッケージは、あるバージョンの Windows を別のバージョンにアップグレードするための、累積的な更新プログラムの限定的なセットです。
[ただし、次の場合のみ: 選択したベンダ/製品] を有効にして構成すると、このオプションにより、選択したベンダと製品のパッチがフィルタリングされます。
[パッチグループ別の配布/除外] でパッチグループを [除外] に設定すると、[除外] に設定されたパッチグループ内のパッチは、別の場所で [含む] に設定されていたとしても、常に除外されます。

例1: あるパッチグループに含まれているパッチのみを配布する場合:

[重要度別に配布] および [ただし、次の場合のみ: 選択したベンダ/製品] オプションを無効にする
[パッチグループ別の配布/除外] オプションを有効にし、目的のパッチグループを [含む] に設定する

例2: 次のように構成したとします。

重要度別に配布: [セキュリティ: 重大] と [セキュリティ: 重要] が選択されます。パッチ適用除外リストには、配布から除外されるパッチが表示されます。
パッチグループ別の配布/除外: [セキュリティ: 重大] パッチが1つ、[セキュリティ: 重要] パッチが1つ、[セキュリティ: 標準] パッチが2つ含まれているパッチグループを1つ [含む] に設定
ただし、次の場合のみ: 選択したベンダ/製品: このオプションは無効

この場合、次のようになります。

すべてのベンダおよび製品について、[セキュリティ: 重大] パッチと [セキュリティ: 重要] パッチが配布されます。
2つの [セキュリティ: 標準] パッチも含め、このパッチグループに含まれている4つのパッチすべてが配布されます。

例3: 例2と同じですが、次の設定も行います。

[ただし、次の場合のみ: 選択したベンダ/製品] オプションを使用して、Adobe パッチのみが配布されるように指定します。

この場合、配布される唯一のパッチは次のとおりです。

[Adobe セキュリティ: 重大] パッチ、[Adobe セキュリティ: 重要] パッチ、およびパッチグループに含まれるすべての Adobe パッチ

例4: 例3と同じですが、次の設定も行います。

[パッチグループ別の配布/除外] オプションを使用して、特定の [Adobe セキュリティ: 重大] パッチを含むパッチグループを除外します。

この場合、配布される唯一のパッチは次のとおりです。

[Adobe セキュリティ: 重大] パッチ (除外されたパッチグループに含まれているものを除く)
[Adobe セキュリティ: 重要] パッチ
パッチグループに含まれるすべての Adobe パッチ

[除外] に設定されているパッチグループにパッチが追加された場合、たとえそのパッチを配布すべきことが他の設定で明確に推奨されていても、そのパッチは配布されません。

例5 (Windows Edge の場合): 仮に、[重要度別に配布] を [セキュリティ: 重大] のみで構成し、Vantosi V3が含まれるように [パッチグループ別配布] も構成したとします。

その後 [セキュリティ: 重大] として Vantosi V4がリリースされ、かつ、別のパッチ配布の前に [セキュリティ: 重要] として Vantosi V5がリリースされると、Windows の場合は Vantosi V4も Vantosi V5も配布されません。これは、最新バージョン (Vantosi V5) が配布対象となる「重要度」の必要条件を満たしておらず、Vantosi V4も Vantosi V5もそのパッチグループに含まれていないためです。 Mac 用に同じパッチ構成を構成した場合は、Vantosi V4が配布されることになるでしょう。

再起動動作

この領域では、配布プロセス中にターゲットデバイスの再起動が要求されるかどうかと、そのタイミングを構成できます。 Ivanti Neurons プラットフォームでは、さまざまな Ivanti Neurons 機能による競合を防ぐため、再起動要求を一元的に処理します。つまり再起動は、要求されたときに即時には行われない場合があります。

macOS は、オペレーティングシステムへのパッチ配布の後には必ず、オペレーティングシステムの更新を配布するようにユーザに促した後、再起動します。 Mac 構成の場合は、[更新後に常に再起動する (オペレーティングシステムのパッチが適用されなかった場合でも) ] を選択することもできます。

配布前に再起動 (Windows のみ): 有効な場合、パッチが配布される前にターゲットデバイスが再起動されることを指定しています。重要な新しいソフトウェアをインストールする前、特にオペレーティングシステムの製品レベルなど大規模なソフトウェア変更を伴う場合には、デバイスを再起動することがベストプラクティスであると考えられます。デバイスを再起動することを選択した場合は、ログオンユーザが受け取る警告の量を指定できるとともに、再起動プロセスに対してユーザが行える制御の度合いを選択できます。次のことを行えます。
- 数分経過した後に再起動を強制実行する
- ログオフすると再起動が行われることをユーザに警告する
- シャットダウンシーケンスが開始されたときにカウントダウンメッセージを表示する期間を選択する。ユーザに表示されるダイアログボックスをプレビューするには、[カウントダウンのサンプル] をクリックします。
- 指定した最大値までユーザがタイムアウトカウントダウンを延長できるようにする。
- ユーザがタイムアウトをキャンセルできるようにする。タイムアウトがキャンセルされると、ユーザがログオフするか手動でデバイスを再起動するまで、パッチは配布されません。
- ユーザが再起動をキャンセルできるようにする。デバイスが再起動されるまで、パッチはインストールされません。

再起動の重要度を設定できます。エージェントに送信される再起動要求の優先順位を指定することで、エージェントはエージェントポリシーの [再起動エクスペリエンス] タブの設定に従って再起動をスケジュールできます。再起動要求は、ここで設定した値がエージェントポリシーで設定されている [再起動の最小重要度] と一致しているか、またはそれ以上である場合にのみ尊重されます。詳細については、「エージェントポリシー: 再起動エクスペリエンス」をご参照ください。

配布後に再起動 (Windows) または必要に応じて配布後に再起動 (Linux): 有効になっている場合は、パッチが配布された後にターゲットデバイスの再起動が要求されるかどうかを指定しています。 Linux では必要な場合にのみ再起動されますが、Windows では次の2つのオプションがあります。
- 常に実行: パッチが配布された後に各デバイスが再起動されることを指定します。ほとんどのパッチは、完了させるためには再起動が必要になるため、これがパッチを配布する際の最も安全なオプションですが、時として必要以上にデバイスが再起動されることもあります。
- 必要なときに実行: 各デバイスの再起動が必要かどうかを、配布に含まれているパッチに基づいて、Ivanti Neurons エージェントが判別することを指定します。

デバイスを再起動することを選択した場合は、さらなるオプションとして、ログオンユーザが受け取る警告の量や、関連付けられたポリシーを用してユーザが再起動プロセスに対して行える制御の度合いなどを指定できます。詳細については、「エージェントポリシー: 再起動エクスペリエンス」をご参照ください。

継続的な準拠

関連付けられた、自動的に生成された準拠基準パッチグループに定義されているパッチへの準拠を満たしていないエンドポイントがある場合に、継続的な準拠は、それらのエンドポイントに対して、通常のスケジュール外のパッチを自動的に配布します。継続的な準拠を有効にすると、スケジュールを構成して、不足しているパッチを該当するエンドポイントに配布し、パッチ準拠を回復できます。このプロセスは、パッチ配布要件に準拠するようにエンドポイントを回復しようとします。

デバイスがオフラインである、ネットワーク接続の問題が発生したなど、予期しない状況によってスケジュールされたパッチ配布を逃したエンドポイントを修復するには、この機能を使用します。

「準拠基準」パッチグループは、定期メンテナンスタスクを通じて配布されたパッチでのみ自動的に更新されます。この動作は、Windows、macOS、Linux など、サポートされているすべてのプラットフォームに適用されます。

コンプライアンスベースラインパッチグループへの追加を遅延

エンドポイントが即座に非準拠としてマーク付けされるのを回避するため、遅延期間を構成できます。この遅延により、スケジュールされたパッチ配布を逃したエンドポイントを修正してから、そのパッチを準拠基準パッチグループに追加できます。

標準配布 - 遅延時間 (日数): パッチがピアデバイスに正常に配布された後の日数。
リング配布 - 遅延時間 (日数): パッチが最終 (実稼働) リングに達した後の日数。

両方の遅延オプションを構成できます。ただし、定期メンテナンスの構成設定によって、1つのオプションのみが適用されます。

リング配布の遅延動作

リング配布の場合、継続的な準拠を有効または無効にすると、プロダクションリングの終了日と、パッチが準拠基準パッチグループに追加されるタイミングの両方に影響します。

継続的な準拠が無効の場合、プロダクションリングは、次のロールアウトのプロダクションリングが始まる1日前に終了し、パッチは、プロダクションに昇格されると、準拠基準パッチグループにただちに追加されます。
継続的な準拠が有効の場合、プロダクションリングは、すべてのロールアウトにわたって、ユーザが定義した遅延期間の間アクティブのままになり、パッチは、プロダクションリングが終了した後にのみ、準拠基準パッチグループに追加されます。

設定 - Microsoft プレビューパッチ

テストの目的で、Microsoft は正式な Patch Tuesday リリースに先立ち、Windows 用のプレビューパッチセットを提供しています。これらのパッチにはセキュリティ更新が含まれていないため、通常はすべてのデバイスに配布することはなく、そのため、これらのパッチのスキャンは既定で無効になっています。プレビューパッチのスキャンを有効にするには、[Microsoft プレビューパッチのスキャン] を有効にします。

プレビューパッチを配布することを選択した場合は、組織内の限定されたテストグループにのみ配布することをお勧めします。

設定 - メンテナンス時間枠の締切時間

メンテナンス時間枠の終了に対して分単位 (0～60) で定義された締切時間を構成できます。

配布の締切時間: 時間枠が終了する前の、新たな配布の開始を停止するための時間 (分)。メンテナンス時間枠が終了するまでの指定した分数までに開始されなかったパッチインストールがある場合、そのパッチインストールは除外されます。

再起動の締切時間: 時間枠が終了する前の、再起動の開始を停止するための時間 (分)。メンテナンス時間枠が終了するまでの指定された分数までに開始されなかった再起動がある場合、その再起動はスキップされます。 エージェントポリシー: 再起動エクスペリエンス の「エージェントポリシー: 再起動エクスペリエンス」をご参照ください。

複数の同時リングロールアウト

複数の同時リングロールアウト機能は、長期スケジュールと柔軟な構成オプションに対応するために、複数の同時リングロールアウトのスケジュールをサポートしています。競合を防止するため、どの時点でも必ずリングあたり1つのロールアウトのみがアクティブになるように、ロールアウトは交互に配置されます。

たとえば、以下の図は、異なるフェーズ中のリングロールアウトと、更新の各バージョンに対する各リングの影響を示しています。