サードパーティの更新プログラムを有効にする

Configuration Manager (現在のブランチ) に適用

Configuration Manager コンソール の [サード パーティ製ソフトウェア更新プログラム カタログ ] ノードを使用すると、サード パーティのカタログをサブスクライブし、その更新プログラムをソフトウェアの更新ポイント (SUP) に発行してから、クライアントに展開できます。

前提条件

• サードパーティ製ソフトウェア更新プログラムのソース バイナリ コンテンツを格納するための、最上位のソフトウェア更新ポイントの WSUSContent ディレクトリ上の十分なディスク領域。
  • 必要なストレージの量は、展開用に発行するベンダー、更新プログラムの種類、および特定の更新プログラムによって異なります。
  • 空き領域が増えた別のドライブに WSUSContent ディレクトリを移動する必要がある場合は、「 WSUS ストアがローカルに更新される場所を変更する方法 」ブログ記事を参照してください。
• サード パーティのソフトウェア更新プログラム同期サービスには、インターネット アクセスが必要です。
  • パートナー カタログの一覧には、HTTPS ポート 443 経由の download.microsoft.com が必要です。
  • サード パーティ製カタログへのインターネット アクセスとコンテンツ ファイルの更新。 443 以外の追加ポートが必要になる場合があります。
  • サード パーティの更新プログラムでは、SUP と同じプロキシ設定が使用されます。

SUP が最上位サイト サーバーからリモートである場合の追加要件

1. リモートの場合は、SUP で SSL を有効にする必要があります。 これには、内部証明機関またはパブリック プロバイダーから生成されたサーバー認証証明書が必要です。

   • WSUS で SSL を構成する
     • WSUS で SSL を構成する場合、一部の Web サービスと仮想ディレクトリは常に HTTP であり、HTTPS ではないことに注意してください。
     • Configuration Manager は、ソフトウェア更新プログラム パッケージのサード パーティコンテンツを WSUS コンテンツ ディレクトリから HTTP 経由でダウンロードします。
   • SUP で SSL を構成する

2. サード パーティの更新プログラムの WSUS 署名証明書の構成を Configuration Manager に設定すると、ソフトウェア更新ポイント コンポーネントのプロパティで証明書が管理されます。自己署名 WSUS 署名証明書の作成を許可するには、次の構成が必要です。

   • SUP サーバーでリモート レジストリを有効にする必要があります。
   • WSUS サーバー接続アカウントには、SUP/WSUS サーバーに対するリモート レジストリアクセス許可が必要です。

3. Configuration Manager サイト サーバーに次のレジストリ キーを作成します。

   • HKLM\Software\Microsoft\Update Services\Server\Setupでは、値が 1 の EnableSelfSignedCertificates という名前の新しい DWORD を作成します。

4. 自己署名 WSUS 署名証明書をリモート SUP サーバー上の信頼された発行元と信頼されたルート ストアにインストールできるようにするには、

   • WSUS サーバー接続アカウントには、SUP サーバーに対するリモート管理アクセス許可が必要です。

     この項目が不可能な場合は、ローカル コンピューターの WSUS ストアから信頼された発行元と信頼されたルート ストアに証明書をエクスポートします。

SUP でサード パーティの更新プログラムを有効にする

このオプションを有効にすると、Configuration Manager コンソールでサード パーティの更新プログラム カタログをサブスクライブできます。 その後、これらの更新プログラムを WSUS に発行し、クライアントに展開できます。 次の手順は、階層ごとに 1 回実行して、使用する機能を有効にして設定する必要があります。 最上位レベルの SUP の WSUS サーバーを置き換える場合は、手順を再実行する必要がある場合があります。

1. Configuration Manager コンソールで、[ 管理 ] ワークスペースに移動します。 [ サイトの構成] を展開し、[ サイト ] ノードを選択します。

2. 階層内の最上位サイトを選択します。 リボンで [ サイト コンポーネントの構成] を選択し、[ ソフトウェアの更新ポイント] を選択します。

3. [ サード パーティの更新プログラム ] タブに切り替えます。[ サード パーティ製ソフトウェア更新プログラムを有効にする] オプションを選択します。

   

WSUS 署名証明書を構成する

Configuration Manager で自己署名証明書を使用してサード パーティの WSUS 署名証明書を自動的に管理するか、または証明書を手動で構成する必要があるかどうかを判断する必要があります。

WSUS 署名証明書を自動的に管理する

PKI 証明書を使用する必要がない場合は、サード パーティの更新プログラムの署名証明書を自動的に管理することを選択できます。 WSUS 証明書の管理は同期サイクルの一環として実行され、 wsyncmgr.logに記録されます。

1. Configuration Manager コンソールで、[ 管理 ] ワークスペースに移動します。 [ サイトの構成] を展開し、[ サイト ] ノードを選択します。
2. 階層内の最上位サイトを選択します。 リボンで [ サイト コンポーネントの構成] を選択し、[ ソフトウェアの更新ポイント] を選択します。
3. [ サード パーティの更新プログラム ] タブに切り替えます。 Configuration Manager が証明書を管理するオプションを選択します。
4. [管理] ワークスペースの [セキュリティ] の下の [証明書] ノードに、サード パーティ製 WSUS 署名の種類の新しい証明書が作成されます。

WSUS 署名証明書を手動で管理する

PKI 証明書の使用など、証明書を手動で構成する必要がある場合は、 System Center Updates Publisher または別のツールを使用する必要があります。

1. System Center Updates Publisher を使用して署名証明書を構成します。
2. Configuration Manager コンソールで、[ 管理 ] ワークスペースに移動します。 [ サイトの構成] を展開し、[ サイト ] ノードを選択します。
3. 階層内の最上位サイトを選択します。 リボンで [ サイト コンポーネントの構成] を選択し、[ ソフトウェアの更新ポイント] を選択します。
4. [ サード パーティの更新プログラム ] タブに切り替えます。[ 証明書を手動で管理する] オプションを選択します。

クライアントでサード パーティの更新プログラムを有効にする

クライアント設定でクライアントでサード パーティの更新プログラムを有効にします。 この設定では、 イントラネットの Microsoft 更新サービスの場所に対して署名済み更新プログラムを許可するための Windows Update エージェント ポリシーを設定します。 このクライアント設定では、WSUS 署名証明書もクライアントの信頼された発行元ストアにインストールされます。 証明書管理ログは、クライアントの updatesdeployment.log に表示されます。 サード パーティの更新に使用するカスタム クライアント設定ごとに、次の手順を実行します。 詳細については、 クライアント設定についてに関する 記事を参照してください。

1. Configuration Manager コンソールで、[ 管理 ] ワークスペースに移動し 、[クライアント設定] ノードを選択します。
2. 既存のカスタム クライアント設定を選択するか、新しいクライアント設定を作成します。
3. 左側の [ ソフトウェア更新プログラム ] タブを選択します。 このタブがない場合は、[ ソフトウェア更新プログラム] ボックスが有効になっていることを確認します。
4. [サード パーティ製ソフトウェア更新プログラムを有効にする] を [はい] に設定します。

カスタム カタログを追加する

パートナー カタログ は、情報が既に Microsoft に登録されているソフトウェア ベンダー カタログです。 パートナー カタログを使用すると、追加情報を指定しなくてもサブスクライブできます。 追加するカタログは、 カスタム カタログと呼ばれます。 サード パーティの更新ベンダーから Configuration Manager にカスタム カタログを追加できます。 カスタム カタログでは https を使用する必要があり、更新プログラムはデジタル署名されている必要があります。

1. [ソフトウェア更新プログラム ライブラリ] ワークスペースに移動し、[ソフトウェア更新プログラム] を展開し、[サード パーティ製ソフトウェア更新プログラム カタログ] ノードを選択します。

   

2. リボンで [ カスタム カタログの追加] を選択します。

   

3. [ 全般 ] ページで、次の項目を指定します。

   • ダウンロード URL: カスタム カタログの有効な HTTPS アドレス。
   • 発行元: カタログを発行する組織の名前。
   • 名前: Configuration Manager コンソールに表示するカタログの名前。
   • 説明: カタログの説明。
   • サポート URL (省略可能): カタログに関するヘルプを取得するための Web サイトの有効な HTTPS アドレス。
   • サポート連絡先 (省略可能): カタログに関するヘルプを取得するための連絡先情報。

4. [ 次へ ] を選択してカタログの概要を確認し、 サード パーティ製ソフトウェア更新プログラムのカスタム カタログ ウィザードの完了を続行します。

サード パーティのカタログをサブスクライブし、更新プログラムを同期する

Configuration Manager コンソールでサード パーティのカタログをサブスクライブすると、カタログ内のすべての更新プログラムのメタデータが、SUP の WSUS サーバーに同期されます。 メタデータの同期により、クライアントは更新プログラムのいずれかが適用可能かどうかを判断できます。 サブスクライブするサード パーティ製カタログごとに、次の手順を実行します。

1. Configuration Manager コンソールで、[ ソフトウェア ライブラリ ] ワークスペースに移動します。 [ ソフトウェア更新プログラム] を展開し、[ サード パーティ製ソフトウェア更新プログラム カタログ ] ノードを選択します。
2. サブスクライブするカタログを選択し、リボンの [ カタログのサブスクライブ ] を選択します。
3. ウィザードの [確認と承認] ページで、カタログ証明書を 確認して承認 します。

   注:

   サード パーティ製ソフトウェア更新プログラム カタログをサブスクライブすると、ウィザードで確認して承認した証明書がサイトに追加されます。 この証明書の種類は、 サード パーティ製ソフトウェア更新プログラム カタログです。 管理ワークスペースの [セキュリティ] の下の [証明書] ノードから管理できます。

4. サード パーティのカタログが v3 の場合は、[ カテゴリの選択] ページと [ステージ コンテンツ] ページが表示されます。 これらのオプションの構成の詳細については、「 サード パーティの v3 カタログ オプション 」セクションを参照してください。
5. [ スケジュール ] ページでオプションを選択します。
   • 簡単なスケジュール: 時間、日、または月の間隔を選択します。 既定値は、7 日ごとに同期する単純なスケジュールです。
   • カスタム スケジュール: 複雑なスケジュールを設定します。
6. [ 概要 ] ページで設定を確認し、ウィザードを完了します。
7. カタログをダウンロードした後、製品メタデータを WSUS データベースから Configuration Manager データベースに同期する必要があります。 ソフトウェア更新プログラムの同期を手動で開始 して製品情報を同期します。
8. 製品情報が同期されたら、 目的の製品を Configuration Manager に同期するように SUP を構成します。
9. ソフトウェア更新プログラムの同期を手動で開始 して、新しい製品の更新プログラムを Configuration Manager に同期します。
10. 同期が完了すると、[ すべての更新プログラム ] ノードにサードパーティの更新プログラムが表示されます。 これらの更新プログラムは、公開を選択するまで メタデータのみの 更新プログラムとして発行されます。
    • 青い矢印のアイコンは、メタデータのみのソフトウェア更新プログラムを表します。

サード パーティ製ソフトウェア更新プログラムを発行して展開する

サード パーティの更新プログラムが [すべての更新プログラム ] ノードに表示されたら、展開のために発行する更新プログラムを選択できます。 更新プログラムを発行すると、バイナリ ファイルがベンダーからダウンロードされ、最上位レベルの SUP の WSUSContent ディレクトリに配置されます。

1. Configuration Manager コンソールで、[ ソフトウェア ライブラリ ] ワークスペースに移動します。 [ ソフトウェア更新プログラム] を展開し、[ すべてのソフトウェア更新プログラム ] ノードを選択します。

2. [ 条件の追加] を選択して、更新プログラムの一覧をフィルター処理します。 たとえば、HP のベンダーを追加します。HP からすべての更新プログラムを表示します。

3. 組織で必要な更新プログラムを選択します。 [ サード パーティ製ソフトウェア更新プログラム コンテンツの発行] を選択します。

   • この操作により、ベンダーから更新バイナリがダウンロードされ、最上位のソフトウェア更新ポイントの WSUSContent ディレクトリに格納されます。

4. ソフトウェア更新プログラムの同期を手動で開始 して、公開された更新プログラムの状態をメタデータのみの更新から、コンテンツを含む展開可能な更新プログラムに変更します。

   注:

   サード パーティ製のソフトウェア更新プログラム コンテンツを発行すると、コンテンツの署名に使用されるすべての証明書がサイトに追加されます。 これらの証明書の種類は、 サード パーティ製ソフトウェア更新プログラム コンテンツです。 管理ワークスペースの [セキュリティ] の [証明書] ノードから管理できます。

5. SMS_ISVUPDATES_SYNCAGENT.logの進行状況を確認します。 ログは、サイト システムの [ログ] フォルダーの最上位のソフトウェア更新ポイントにあります。

6. [ソフトウェア更新プログラムの 展開] プロセスを使用して更新プログラムを展開します。

7. ソフトウェア更新プログラムの展開ウィザードの [ダウンロード場所] ページで、[インターネットからソフトウェア更新プログラムをダウンロードする] の既定のオプションを選択します。 このシナリオでは、コンテンツは既にソフトウェアの更新ポイントに発行されています。これは、展開パッケージのコンテンツをダウンロードするために使用されます。

8. クライアントは、コンプライアンスの結果を確認する前に、スキャンを実行して更新プログラムを評価する必要があります。 [ ソフトウェア更新プログラムのスキャン サイクル] アクションを実行することで、クライアントの Configuration Manager コントロール パネルからこのサイクルを手動でトリガーできます。

サード パーティの v3 カタログ オプション

V3 カタログでは、分類された更新プログラムを使用できます。 分類された更新プログラムを含むカタログを使用する場合、カタログ全体の同期を回避するために、特定のカテゴリの更新のみを含むように同期を構成できます。 分類されたカタログを使用すると、カテゴリを展開できると確信できる場合は、WSUS に自動的にダウンロードして発行するように構成できます。

1. Configuration Manager コンソールで、[ ソフトウェア ライブラリ ] ワークスペースに移動します。 [ ソフトウェア更新プログラム] を展開し、[ サード パーティ製ソフトウェア更新プログラム カタログ ] ノードを選択します。

2. サブスクライブするカタログを選択し、リボンの [ カタログのサブスクライブ ] を選択します。

3. [ カテゴリの選択 ] ページでオプションを選択します。

   • すべての更新カテゴリを同期 する (既定値)

     • サード パーティの更新プログラム カタログ内のすべての更新プログラムを Configuration Manager に同期します。

   • 同期のカテゴリを選択する

     • Configuration Manager に同期するカテゴリと子カテゴリを選択します。

     

4. カタログの 更新コンテンツをステージング するかどうかを選択します。 コンテンツをステージングすると、選択したカテゴリのすべての更新プログラムが最上位のソフトウェアの更新ポイントに自動的にダウンロードされます。つまり、展開する前に既にダウンロードされていることを確認する必要はありません。 過剰な帯域幅とストレージの要件を回避するために、展開する可能性が高い更新プログラムのコンテンツのみを自動的にステージングする必要があります。

   • コンテンツをステージングしない、スキャン専用に同期する (推奨)
     • サード パーティ カタログの更新プログラムのコンテンツをダウンロードしない
   • 選択したカテゴリのコンテンツを自動的にステージングする
     • コンテンツを自動的にダウンロードする更新カテゴリを選択します。
     • 選択したカテゴリの更新プログラムのコンテンツは、最上位のソフトウェア更新ポイントの WSUS コンテンツ ディレクトリにダウンロードされます。

5. カタログ同期の スケジュール を設定し、ウィザードを完了します。

既存のサブスクリプションを編集する

既存のサブスクリプションを編集するには、リボンまたは右クリック メニューから [プロパティ ] を選択します。

1. [ サード パーティ製ソフトウェア更新プログラム カタログ ] ノードで、カタログを右クリックし、[ プロパティ ] を選択するか、リボンから [プロパティ ] を選択します。

2. [ 全般] タブから次の情報を表示できますが、情報を編集することはできません。

   注:

   ここでいずれかの情報を変更する必要がある場合は、新しいカスタム カタログを追加する必要があります。
   ダウンロード URL が変更されない場合は、同じダウンロード URL を持つカタログを追加する前に、既存のカタログを削除する必要があります。

   • ダウンロード URL: カスタム カタログの HTTPS アドレス。
   • 発行元: カタログを発行する組織の名前。
   • 名前: Configuration Manager コンソールに表示するカタログの名前。
   • 説明: カタログの説明。
   • サポート URL: カタログに関するヘルプを取得するための Web サイトの有効な HTTPS アドレス。
   • サポート連絡先: カタログに関するヘルプを表示するための連絡先情報。

3. [ カテゴリの選択 ] タブでオプションを選択します。

   • すべての更新カテゴリを同期 する (既定値)
     • サード パーティの更新プログラム カタログ内のすべての更新プログラムを Configuration Manager に同期します。
   • 同期のカテゴリを選択する
     • Configuration Manager に同期するカテゴリと子カテゴリを選択します。

4. [ ステージの更新コンテンツ ] タブのオプションを選択します。

   • コンテンツをステージングしない、スキャン専用に同期する (推奨)
     • サード パーティ カタログの更新プログラムのコンテンツをダウンロードしない
   • 選択したカテゴリのコンテンツを自動的にステージングする
     • コンテンツを自動的にダウンロードする更新カテゴリを選択します。
     • 選択したカテゴリの更新プログラムのコンテンツは、最上位のソフトウェア更新ポイントの WSUS コンテンツ ディレクトリにダウンロードされます。

5. [ スケジュール ] タブでカタログを同期する頻度を選択します。

   • 簡単なスケジュール: 時間、日、または月の間隔を選択します。
   • カスタム スケジュール: 複雑なスケジュールを設定します。

カタログの登録を解除し、カスタム カタログを削除する

[ サード パーティ製ソフトウェア更新プログラム カタログ ] ノードで、カタログを右クリックし、[ サブスクライブ解除 ] を選択してカタログの同期を停止します。
リボンから [登録解除 ] オプションを使用することもできます。 カタログの登録を解除すると、カタログ署名および更新コンテンツ証明書の承認が削除されます。 既存の更新プログラムは削除されませんが、展開できない場合があります。 カスタム カタログでは、登録解除後に削除することもできます。 リボンまたはカタログの右クリック メニューから [ カスタム カタログの削除 ] を選択します。 カスタム カタログを削除すると、[ サード パーティ製ソフトウェア更新プログラム カタログ ] ノードのビューから削除されます。

サード パーティ製ソフトウェア更新プログラムの進行状況の監視

サード パーティ製ソフトウェア更新プログラムの同期は、最上位の既定のソフトウェア更新ポイントのSMS_ISVUPDATES_SYNCAGENT コンポーネントによって処理されます。 このコンポーネントのステータス メッセージを表示したり、 SMS_ISVUPDATES_SYNCAGENT.logでより詳細な状態を表示したりできます。 このログは、サイト システムの [ログ] フォルダーの最上位のソフトウェア更新ポイントにあります。 既定では、このパスは C:\Program Files\Microsoft Configuration Manager\Logs です。 一般的なソフトウェア更新プログラム管理プロセスの監視の詳細については、「 ソフトウェア更新プログラムの監視」を参照してください。

その他のサード パーティの更新プログラム カタログを一覧表示する

サード パーティ製のソフトウェア更新プログラム用にインポートできるカスタム カタログを見つけやすいように、カタログ プロバイダーへのリンクが記載されたドキュメント ページがあります。 Configuration Manager 2107 以降では、[サード パーティ製ソフトウェア更新プログラム カタログ] ノードのリボンから [その他のカタログ] を選択することもできます。 [ サード パーティ製ソフトウェア更新プログラム カタログ ] ノードを右クリックすると、[ その他のカタログ ] メニュー項目が表示されます。 [ その他のカタログ ] を選択すると、 追加のサード パーティ製ソフトウェア更新プログラム カタログ プロバイダーの一覧を含むドキュメント ページへのリンクが開きます。

既知の問題

• コンソールが実行されているコンピューターを使用して、WSUS から更新プログラムをダウンロードし、更新プログラム パッケージに追加します。 WSUS 署名証明書は、コンソール コンピューターで信頼されている必要があります。 そうでない場合は、サードパーティの更新プログラムのダウンロード中に署名チェックに問題が発生する可能性があります。
• サード パーティ製ソフトウェア更新プログラム同期サービスは、SCUP などの別のアプリケーション、ツール、スクリプトによって WSUS に追加されたメタデータのみの更新プログラムにコンテンツを発行できません。 これらの更新プログラムでは、サード パーティ製ソフトウェア更新プログラムのコンテンツの発行アクションが失敗します。 この機能がまだサポートしていないサード パーティの更新プログラムを展開する必要がある場合は、既存のプロセス全体を使用してそれらの更新プログラムを展開します。
• Configuration Manager には、カタログ cab ファイル形式の新しいバージョンがあります。 新しいバージョンには、ベンダーのバイナリ ファイルの証明書が含まれています。 これらの証明書は、カタログを承認して信頼すると、[管理] ワークスペースの [セキュリティ] の下の [証明書] ノードに追加されます。
  • ダウンロード URL が https で、更新プログラムが署名されている限り、古いカタログ cab ファイル バージョンを引き続き使用できます。 バイナリの証明書が cab ファイルに存在せず、既に承認されているため、コンテンツの発行に失敗します。 この問題を回避するには、[ 証明書 ] ノードで証明書を見つけてブロックを解除してから、更新プログラムを再度発行します。 異なる証明書で署名された複数の更新プログラムを発行する場合は、使用される各証明書のブロックを解除する必要があります。
  • 詳細については、次のステータス メッセージ テーブルのステータス メッセージ 11523 と 11524 を参照してください。
• 最上位レベルのソフトウェア更新ポイントのサード パーティ製ソフトウェア更新プログラム同期サービスでインターネット アクセス用のプロキシ サーバーが必要な場合、デジタル署名のチェックが失敗する可能性があります。 この問題を軽減するには、サイト システムで WinHTTP プロキシ設定を構成します。 詳細については、「 WinHTTP の Netsh コマンド」を参照してください。
• コンテンツ ストレージに CMG を使用する場合、[利用可能なクライアントの場合に差分コンテンツをダウンロードする] 設定が有効になっている場合、サード パーティの更新プログラムのコンテンツはクライアントにダウンロードされません。
• カタログ プロバイダーがカタログの署名証明書を最後に承認またはサブスクライブしてから変更した場合、 証明書ノードで 認定が承認されるまでカタログ同期は失敗します。 詳細については、ステータス メッセージ テーブルの MessageID 11508 に 関 するページを参照してください。

ステータス メッセージ

サード パーティの更新プログラムの操作に関するビデオ

PowerShell

次の PowerShell コマンドレットを使用して、Configuration Manager でのサード パーティの更新プログラムの管理を自動化できます。

• Get-CMThirdPartyUpdateCatalog
• New-CMThirdPartyUpdateCatalog
• Remove-CMThirdPartyUpdateCatalog
• Set-CMThirdPartyUpdateCatalog
• Publish-CMThirdPartySoftwareUpdateContent
• Get-CMThirdPartyUpdateCategory
• Set-CMThirdPartyUpdateCategory

次の手順