Software Update Services (SUS) を使用した Windows XP Service Pack 2 (SP2) の展開

トピック

はじめに
SUS を使用して Windows XP SP2 を展開する場合の主な利点
状況の概要
SUS を使用して Windows XP SP2 を展開する際に考慮する要素
全般的な推奨事項
まとめ

はじめに

Windows XP Service Pack 2 (SP2) では、ハッカー、ウイルス、およびワームから保護するために、セキュリティが大幅に強化されています。また、Windows XP SP2 では、Windows XP のセキュリティ機能の管理が簡便化され、セキュリティやプライバシの潜在的脅威になるかどうかを判断する際に役立つ詳細情報が提供されます。マイクロソフトは、Windows XP および Windows XP Service Pack 1 ベースのシステムをご使用のお客様に対して、できる限り早急に Windows XP SP2 にアップデートすることを強くお勧めします。

Windows XP SP2 の配布を管理するための最適な方法として、Systems Management Server (SMS) 2003 や Software Update Services (SUS) など、企業用の更新管理ソリューションを使用することをお勧めします。

次のセクションでは、SUS を使用して Windows XP SP2 を展開する際の考慮事項について詳述します。

SUS を使用して Windows XP SP2 を展開する場合の主な利点

1. 管理者は、Windows XP SP2 (およびその他の更新) の展開を Windows システム全体で制御することができます。

2. 個々のシステムが自動更新 (AU) や Windows Update (WU) に直接アクセスすることを支障なく安全に無効にできる一方で、これらのシステムに必要不可欠なセキュリティの更新や、管理者が認めたその他の更新を配布することができます。

3. SUS により Windows XP SP2 が自動的かつサイレントにインストールされます。一方、Windows XP SP2 を WU や AU によりインストールする場合は、インストール先の個々のシステム上でユーザーや管理者による操作が必要になります。

4. 更新のダウンロード先が組織内の 1 台またはごく少数のサーバーに限定されるため、更新を必要とする各システムに個別にダウンロードする場合に比べ、組織のネットワーク トラフィックが大幅に減少します。

SUS の詳細については、www.microsoft.com/japan/windowsserversystem/sus/default.mspx を参照してください。

状況の概要

Windows XP SP2 は比較的大規模な更新 (約 270 MB) であるため、SUS 管理者は内部ネットワーク トラフィックへの影響、および SUS を実行しているマシンへの影響を考慮する必要があります。

SUS を多く実装している場合、つまり Service Pack の展開を考慮した設計の場合は、サーバーとネットワークの負荷は問題にはならず、SUS 管理者が下に示すような負荷軽減のための処理を行う必要はありません。ただし、更新の最初の承認時には SUS 管理者が SUS サーバーのパフォーマンスと負荷を監視することをお勧めします。

専用の SUS サーバーを使用する理想的な状況下で 100 Mbps のサーバー ネットワーク カードを使用する場合、その能力の 20% がオーバーヘッドとして消費されるとすると、SUS クライアントがサーバーから Windows XP SP2 をダウンロードするには約 30 秒かかります。つまり、2,880 台のクライアントがダウンロードを終えるには 24 時間かかることになります。

これは、一定の時間にサーバーにアクセスできるクライアントは 1 台だけで、あるクライアントから次のクライアントに移る際に時間的なギャップがないと仮定した場合に 24 時間で処理可能なクライアントの論理的な数ですが、現実には 2 つの要素によってこの数は減少します。それは次の要素です。

1. SUS クライアントは、17 ～ 22 時間のランダムな間隔でサーバーにアクセスします。したがって、クライアントの同期は順序よく行われるわけではなく、複数のクライアントが同時にサーバーにアクセスする可能性があります。特に、多数の SUS クライアントがある環境ではこの傾向が顕著です。

2. サーバーにアクセスするようスケジュール設定されている時間に SUS クライアント マシンの電源がオフになっている場合、電源がオンになった約 10 分後に SUS クライアントは SUS サーバーにアクセスしようとします。作業日の始業時またはシフト勤務の作業開始時には、通常は多くのシステムの電源がオンになるため、それ以外の時間帯に比べて極端に多くのクライアントが同時に SUS サーバーにアクセスしようとします。

アクセス数の制限があるために SUS サーバーにアクセスできないクライアントは、約 5 時間後に再度アクセスしようとしますが、この過負荷状態ではサーバーの処理速度が低下し、追加のネットワーク オーバーヘッドが生成されることになります。

次のセクションでは、こうした状況が発生しないようにするためのガイダンスを示します。

SUS を使用して Windows XP SP2 を展開する際に考慮する要素

1. SUS サーバーを使用するように設定されている Windows XP システムの数。

2. SUS サーバー マシンのネットワーク カードまたはネットワーク接続の帯域幅。

3. SUS サーバー マシンで他のサービス (ドメイン コントローラ、ファイルと印刷など) が実行されているかどうか。実行されている場合は、それらのサービスに必要なおおよその帯域幅。

4. Windows XP SP2 の展開に使用できるネットワーク帯域幅 (SUS サーバー マシンの帯域幅より小さい場合)。

以下のガイダンスは、SUS サーバーの最小構成に基づいています。つまり、このサーバーは 512 MB の RAM、100 Mbps のネットワーク カードとネットワーク接続を備えた Intel P700 システムで構成され、ドメイン コントローラなどは実行せずに SUS サーバーのみを実行し、使用可能な帯域幅がサーバーのネットワーク カードの帯域幅より大きいネットワーク上にあります。SUS サーバー マシンで他のサービスが実行されている場合、または使用可能な帯域幅がサーバーのネットワーク カードの帯域幅より小さい場合は、それぞれの状況に合わせてこのガイダンスの内容を調整する必要があります。

全般的な推奨事項

基本的な 3 つのオプションがあります。これらのオプションは、SUS サーバーを使用して更新する Windows XP の数 (SUS サーバーが 1 台または数台の場合)、および SUS 実装のトポロジ (多数の SUS サーバーがある場合) に依存します。

1. 1 台の SUS サーバーを使用して Windows XP SP2 で更新する必要がある Windows XP マシンの数が 2,000 台未満である場合、特別なアクションは必要ありません。

2. 1 台の SUS サーバーを使用して Windows XP SP2 で更新する必要がある Windows XP の数が 2,000 ～ 15,000 台である場合は、後で説明する時間制限による承認テクニックを使用します。

3. SUS を使用して Windows XP SP2 を展開する際に使用する最大帯域幅を制御する必要がある場合は、次の帯域幅調整メカニズムのいずれか一方を実装します。

   • コンカレント接続の最大数および SUS IIS サーバーで使用可能な最大帯域幅を制限する。

   • BITS (Background Intelligent Transfer Service) 2.0 を適宜設定することにより、SUS クライアントが SUS コンテンツをダウンロードするために使用する最大帯域幅を制限する。

最初のオプション (特別なアクションを必要としないオプション) の場合、更新の最初の承認時、および Windows XP SP2 による更新が承認された後の作業日またはシフト勤務の作業開始後 1 時間は SUS 管理者がサーバーの負荷を監視することを推奨します。

時間制限による承認テクニックは、このテクニックの使用中、特定の日に SUS サーバーにアクセスするときに、承認された更新の一覧で Windows XP SP2 による更新を確認する SUS クライアントの数を制限することにより機能します。つまり、サーバーにアクセスできる 1 日あたりのクライアント数を制御し、サーバー負荷およびネットワーク オーバーヘッド (再試行など) を制限します。

3 番目のオプションは、SUS 実装で使用する帯域幅を制限することにより機能します。つまり、サーバーとネットワークの負荷を制御します。

次の表は、さまざまな状況に対するオプションをまとめたものです。

時間制限による承認テクニック

このテクニックは、SUS 管理者が SUS サーバーでの Windows XP SP2 による更新を承認した後に非承認にする処理を、未更新の Windows XP システムの数が 2,000 台未満になるまで毎日続けることを基本としています。

更新が承認されるのは毎日一定の時間のみであるため、特定の日にサーバーにアクセスする一部の SUS クライアントだけが "承認" としてマークされた更新を確認し、更新をダウンロードしようとします。SUS クライアントは、この時間外にサーバーにアクセスしても、SUS サーバー上の承認済み更新の一覧で SP2 による更新は確認できないので、更新をダウンロードしようとすることはありません。またこれにより、翌日の更新の再承認時に新たな 1 セットのクライアントが SP2 をダウンロードしようとする前に、承認ウィンドウの表示中に SUS サーバーにアクセスしたクライアントに対するダウンロード提供を SUS サーバーが終了する時間が決まります。

これは、SUS サーバーの負荷を制御するための手動で簡単に実装できるメカニズムです。追加インフラストラクチャの設定やテストは必要ありません。SUS 管理者は、次の式を使用して、Windows XP SP2 による更新を承認する毎日の時間を計算できます。

TA = 24000 / (NXP – (1000 * NDE))

ここで、

TA = 特定の日に更新を "承認" としてマークしておく必要がある時間 (単位は時間)
NXP = SUS サーバーを介して SP2 をダウンロードする Windows XP システムの数
NDE = SUS サーバー上で SP2 が最初に承認としてマークされた日からの経過日数

たとえば、SUS サーバーを使用して Windows XP SP2 による更新をダウンロードする必要がある Windows XP システムの数が 12,000 台である場合、この式は次のようになります。1 日目は、更新を承認としてマークする必要がある時間は 2 時間です。

24000 / (12000 – (1000 * 0) = 2

2 日目は、更新を承認としてマークする必要がある時間は 2.2 時間です。

24000 / (12000 – (1000 * 1) = 2.2、以下同様

スケジュール全体は次のようになります。

また、Windows XP SP2 の展開を計画する場合は、マイクロソフトが毎月提供するセキュリティ アップデート (毎月第 2 火曜日にリリース) の展開と重ならないようにすることをお勧めします。それは、セキュリティ アップデートの展開がサーバー負荷に与える影響、つまり Windows XP SP2 展開の承認ウィンドウの表示時間に及ぼす影響を考慮しなくても済むようにするためです。

このテクニックを使用する場合の長所と短所は次のとおりです。

長所 :

1. 簡単に実装できます。SP2 による更新が承認された後、計算された時間の経過後は非承認になり、翌日以降も、未更新のマシンの数が 2,000 台未満になるまで同じ処理が繰り返されます。

2. サーバーサイド メカニズムにより、SUS クライアント マシン側では設定を変更する必要がありません。

3. Active Directory ベースのグループ ポリシーまたはその他の拡張性の高い管理メカニズム (スクリプトなど) を使用しないで Windows XP マシンのレジストリ設定を制御する環境でも機能します。

4. テストは必要ありません。

短所 :

1. 未更新の Windows XP システムの数が 2,000 台未満になるまで、SUS 管理者が毎日調整する必要があります。

IIS を使用した帯域幅使用の調整

このオプションでは、コンカレント接続の最大数および IIS サーバーが SUS の要求に対応するために割り当てる最大帯域幅に適切な値を設定することにより、SUS で使用可能な最大帯域幅を制限することができます。これらの設定オプションは IIS 5 でも IIS 6 でも使用できます。

IIS サーバーは、指定されたコンカレント接続全体に均等に指定された最大帯域幅使用を割り当てます。

標準の SUS マシン (P700、512 MB RAM、100 Mbps ネットワーク カード) の場合は、コンカレント接続の最大数を 100 に、SUS Web サイトの最大帯域幅を 80 Mbps に設定します。この例で、コンカレント接続の最大数 100 という値は、データ転送の負荷が大きい状態においてサーバー マシンが所定の CPU やメモリ容量で対処できると想定される数です。

長所 :

1. 簡単に実装できます。IIS サーバー上で設定を指定します。詳細は下記「リソース」 をご参照ください。

2. "時間制限による承認" テクニックの場合のような管理者による調整作業は必要ありません。

3. SUS クライアントの要求に対応するための最大帯域幅を選択的に制御できます。IIS サーバー上に他の Web サイトがある場合でも、そのサイトの帯域幅を制限する必要はありません。

4. サーバーサイド メカニズムにより、SUS クライアント マシン側では設定を変更する必要がありません。

5. Active Directory ベースのグループ ポリシーまたはその他の拡張性の高い管理メカニズム (スクリプトなど) を使用しないで Windows XP マシンのレジストリ設定を制御する環境でも機能します。

6. 簡単にテストできます。

短所 :

1. IIS 上の SUS サイトのコンカレント接続と最大帯域幅を制限すると、Windows XP マシンである SUS クライアントだけでなく、すべての SUS クライアントに影響が及びます。その結果、Windows XP SP2 を展開するときに同時に他の更新を展開する必要がある場合に問題が発生します。

2. 未更新の Windows XP マシンの数が 2,000 台以下になると、管理者は IIS の設定を標準設定にリセットする必要があります。

3. コンカレント接続の最大数がすべての IIS サーバー接続に対して設定され、その対象が SUS サーバーの Web サイトに限定されていない場合、IIS サーバー上の他の Web サイトにも設定が影響します。

リソース :

• IIS 6

  • IIS 6 でのコンカレント接続の制限については、http://technet2.microsoft.com/WindowsServer/ja/library/7e60185a-65eb-460c-b762-18ec8775cf171041.mspx を参照してください。

  • IIS 6 での帯域幅の調整については、http://technet2.microsoft.com/WindowsServer/ja/library/3e061ca5-cdce-4e1e-8e04-3a01f63147fd1041.mspx を参照してください。

  • IIS 6 でのパフォーマンス チューニングについては、http://www.microsoft.com/resources/documentation/iis/6/all/proddocs/en-us/perf_tune.mspx を参照してください。

• IIS 5

  • IIS 5 でのコンカレント接続の制限については、http://windows.microsoft.com/windows2000/ja/server/iis/default.asp?url=/windows2000/ja/server/iis/htm/core/iilimcn.htm?id=128 を参照してください。

  • IIS 5 での帯域幅の調整については、http://windows.microsoft.com/windows2000/ja/server/iis/default.asp?url=/windows2000/ja/server/iis/htm/core/iithrot.htm を参照してください。

  • IIS 5 でのパフォーマンス チューニングについては、http://windows.microsoft.com/windows2000/ja/server/iis/default.asp?url=/windows2000/ja/server/iis/htm/core/iiabtpm.htm を参照してください。

BITS 2.0 を使用した帯域幅使用の調整

このオプションでは、BITS 2.0 の最大帯域幅使用パラメータを使用して、SUS クライアントが SUS サーバーとのやり取りに使用する帯域幅を制御します。たとえば、SUS サーバー (またはネットワーク全体) で SUS を使用して Windows XP SP2 を展開するために使用する必要がある帯域幅が 100 Mbps であり、ネットワーク上には 5,000 台の Windows XP システムがある場合、各クライアントのシステム上で最大帯域幅使用の設定を 20 Kbps に設定すると、ネットワーク全体の帯域幅は 100 Mbps に制限されます。

長所 :

1. SUS を使用して Windows XP SP2 を展開するためにネットワーク上で使用できる最大帯域幅を細かく制御できます。

2. グループ ポリシーを使用して一元的に設定できます。詳細は下記「リソース」 をご参照ください。

3. Windows XP マシンである SUS クライアントのみが使用する最大帯域幅を制御できます。

4. "時間制限による承認" テクニックの場合のような管理者による調整作業は必要ありません。

短所 :

1. BITS 2.0 が実装されている環境でのみ機能します。BITS 2.0 が実装されていない場合、管理者はすべてのクライアント システムに対して BITS 2.0 をインストールする必要があります。

2. "管理された" Windows XP システムでのみ機能します。つまり、SUS 管理者がシステム全体を把握し、BITS 2.0 の設定を制御できる必要があります。

3. BITS の最大帯域幅制限は、BITS を使用するクライアント マシン上で実行されるすべてのサービス (SMS など) に適用されます。その結果、これらのサービスのパフォーマンスが低下したり、正常に機能しなくなる可能性があります。

リソース :

• グループ ポリシーを使用してクライアント マシンで BITS を設定する方法については、http://msdn2.microsoft.com/en-us/library/Aa362844.aspx (英語) を参照してください。

• BITS の詳細については、http://msdn2.microsoft.com/en-us/library/Aa362827.aspx を参照してください。

• BITS 2.0 の展開については、http://support.microsoft.com/default.aspx?kbid=842773&sd=tech を参照してください。

まとめ

Windows XP Service Pack 2 (SP2) では、ハッカー、ウィルス、およびワームから保護するために、セキュリティ機能が大幅に強化されています。お使いの Windows XP マシンをできるだけ早く SP2 で更新されることを強くお勧めします。

お使いのマシンへの展開について Windows XP SP2 がテストおよび認証されると、マシンに更新を展開するための簡単なメカニズムが SUS によって提供されます。Windows XP SP2 による更新はサイズが大きいため、SUS 管理者は、この更新の展開が SUS サーバーとネットワークの負荷に与える影響を考慮する必要があります。SUS の実装の大部分では、サーバーとネットワークの負荷は問題にはならず、SUS 管理者が負荷軽減のための処理を行う必要はありません。ただし、更新の最初の承認時には SUS 管理者が SUS サーバーのパフォーマンスと負荷を監視することをお勧めします。

単一の SUS サーバーを使用して 2,000 台を超える Windows XP マシンを更新する環境では、前に説明した負荷軽減オプションのいずれかを使用します。これらの負荷軽減オプションは、未更新の Windows XP マシンが 2,000 台未満になるまでの一時的なステップです。

詳細情報

http://www.microsoft.com/technet/prodtechnol/winxppro/deploy/xpsusfaq.mspx (英語) で FAQ を参照してください。

ダウンロード

Software Update Services を使用した Windows XP Service Pack 2 の展開
136 KB
Microsoft Word ファイル