Active Directoryをクラウドスタイルで提供

2018年2月21日

 Windows 10 が発売されてから約2年半が経過しました。

Windows 7 は、2020年1月14日に延長サポートを終了します。
この Windows 7 のサポート切れを間近に控え、クライアントPCの移行に苦慮されている担当者の方も多いのではないでしょうか？

企業のユーザがクライアントPCに求める機能は、Windows 7 でほぼ満たされており、機能面だけなら、Windows 7 で十分という意見をよく耳にします。
しかし、世界に広がるインターネットの深淵に潜む、技術力の高い悪意のある攻撃者は、ユーザが使うクライアントPCを常に狙っています。現代のクライアントPCに求められるのは、まさに、そうした悪意のある攻撃をはねのける"防御力"です。

悪意のある攻撃者は、クライアントPCの OS やアプリケーションに潜む脆弱性を狙って攻撃します。
以前は、ユーザがメールや Web へのアクセスに注意することが、攻撃を防ぐ方法として推奨されていました。
しかし、巧妙な攻撃は、ユーザの認識をはるかに超えており、もはやユーザの注意力だけではこうした攻撃を防ぐことが難しくなりました。

「アリの一穴」という言葉があります。
攻撃側は、すべてを切り崩す必要はなく、弱い部分の穴が一つあれば十分なのです。

その穴をふさぐための手段は、通常一般のユーザには、修正プログラムの適用以外に方法はありません。
マイクロソフトによるサポートが終了すると修正プログラムは、提供されなくなります。
修正プログラムが提供されなくなった OS を利用するのは、ネットワークから隔絶された特定目的の限定PC以外は、非常に危険性が高いと言えるでしょう。Windows 10 への切り替えは、必然になってきています。

Windows 10 とは

さて、話を Windows 10 に戻しましょう。

マイクロソフトは、ブランドとしての Windows クライアントは、Windows 10 が最後になるとアナウンスしています。

これは、加速するシステム技術の進化に、数年に1回のバージョンアップでは追従できないという認識の元に、年に2回という高頻度のバージョンアップを行うために考えられた施策です。

高頻度のバージョンアップが無償でユーザに届けられるため、ユーザにとって非常に好ましい施策のように思えます。
しかし、残念ながら良いことばかりではありません。主に下記のような問題があると考えています。

[バージョンアップ時に起こりえる問題]
1．ネットワーク経由のバージョンアップは LAN に大きな負荷をかける。
2．バージョンアップ中は PC が使えない。
　（パッチ適用より使用できない時間が長い）
3．OS 仕様変更により、動かなくなったり動作が変わるアプリケーションがある。
　（アンチウィルスやハードディスク暗号化など OS に深く入り込んだアプリケーションへの影響が大きい）
4．OS のモジュールがバージョンアップする際に、設定情報がリセットされることがある。
などです。

Windows 10 のバージョンアップコントロール

Windows 10 のバージョンアップコントロールの鍵は、バージョンアップのタイミングです。
新しいバージョンアップが提供されるからといって、すぐにアップデートした場合、既存アプリケーションに影響があるかもしれません。また、一斉にアップグレードを実施すると、ネットワークへの負荷が懸念されます。

そこで、「バージョンアップ展開を遅らせる」、「遅らせる幅をクライアントごとにずらす」ことが有効です。

そのための手法として、クライアント側の制御には、「Windows Update for Business」という機能があります。
これは、クライアントPC の設定もしくはグループポリシーにより、更新プログラムの適用タイミングを調整する機能です。

ただし、こちらの機能は、新規でリリースされたバージョンの展開を一定期間遅らせるだけで、個別にバージョンのコントロールや展開期間の特定、現状把握などの細かい管理はできません。

もし、細かい管理を実施したい場合には、WSUS（Windows Server Update Services)もしくは SCCM（Microsoft System Center Configuration Manager）による管理をお勧めします。（SCCM の場合は、サーバ以外にライセンス費用が必要です）
WSUS は、Microsoft の Windows Update サイトにある更新プログラムを社内にダウンロードして、クライアントPC はその WSUS サーバ上の更新プログラムを利用するようにしたものです。

管理者は、WSUS サーバ上の設定で、展開する更新プログラムを個別に許可（承認）したり、クライアントに適用された更新プログラムの状況を把握したり、適用対象のクライアントPC をグループ化し、グループごとに展開タイミングを調整するといったことが可能になります。
今後、Windows 10 を導入・運用するのであれば、何らかのバージョンアップ手段の検討が必要でしょう。

Windows 10 の初期展開

話しは前後しますが、Windows 10 の初期展開についても、以前の Windows にはない下記のような検討項目があります。

[検討項目]
1．Edge や Cortana、ユニバーサルアプリなど新機能をそのまま導入して良いか？
2．OS の初期展開方法の検討
3．初期設定の展開方法
などです。

それでは、検討項目をひとつひとつ見ていきましょう。

1．Edge やユニバーサルアプリなど新機能をそのまま導入して良いか？
Edge は、IE（Internet Explorer）とは異なる最新の Web ブラウザです。IE に最適化したサイトを Edge で参照すると、サイトの機能が正常に動作しないことがあります。
最近の社内システムは多くが Web システムで作られているため、Edge でも動作ができるかどうかは、重要な確認ポイントになります。
ユニバーサルアプリは、タブレットやスマートフォンでも動作可能なマルチデバイスのアプリケーションです。
ゲームや買い物サイトなど、ビジネスに向かないアプリケーションも多数あり、そのまま導入して良いかは組織のポリシーに照らして検討すべきでしょう。

2．OS の初期展開方法の検討
Windows 10 は、Windows 7 や Windows 8.1 から、直接 OS モジュールをインストールすることでアップグレードが可能です。
この方法ではデスクトップのデータ等がそのまま引き継がれるため、バージョンアップを検討されているユーザには、非常に魅力的な方法です。
しかし、「ハードウェアが Windows 10 に対応しているか」、「既存のアプリケーションが Windows 10 に対応しているか」や「ハードディスクの残り容量が十分か」など、確認項目が多くあり、必ずしも確実な方法ではありません。
また、Windows 10 を導入して初期設定を行った PC(マスターPC)のイメージを取り出して、他の PC にコピーするイメージ展開の手法も可能です。
ただし、手間がかかることと、Windows 10 のバージョンアップによって、イメージの作り直しが必要になるなど、管理工数の増加は覚悟する必要があるでしょう。
Windows 10 からは、これにプロビジョニングという展開手法が加わりました。
これは要するに OS の設定をまとめた設定ファイルを作成し、それを適用するイメージと考えるとわかりやすいと思います。
基本的には OS の設定レベルの話なので、サードパーティアプリの初期展開や細かな設定までは難しいですが、初期設定を簡易的に行う一つの方法として検討してみても良いかと思います。

3．初期設定の展開方法
新しいクライアント PC を展開する際、会社のポリシーに従って必要なアプリケーションをインストールしたり、メニューやデスクトップに独自の設定を行ってから配布することがよくあります。
Windows 10 でも同じように初期設定を行ってから展開することは可能ですが、問題もあります。
半年に1度のバージョンアップの際に、一部の設定が消えたり変更されてしまう可能性があるという問題です。どの設定が変更されるかはわかりません。メニューが変更されたり、レジストリが変更されるといったことが起こる可能性があります。
そのため、最初の配布時の設定だけで、状態を維持することが難しい可能性があります。そこで、設定等については可能であれば、グループポリシーによる設定や、ログオンスクリプト等による設定を検討する必要があります。