ITチームが利用可能な更新プログラムを繰り返し確認し、どのパッチをインストールするかを判断し、メンテナンス時間帯を調整し、更新に失敗したデバイスをフォローアップしなければならない場合、増え続ける多数のエンドポイントにわたってOSを最新の状態に保つことは難しくなります。
Splashtop AEM（自律型エンドポイント管理）は、Windows および macOS デバイス向けに一元化された OS パッチ管理を提供します。IT チームは Splashtop AEM の Endpoint Policies を使用して、管理対象コンピュータが更新をどのようにスキャンするか、どの更新を承認するか、承認済み更新をいつインストールするか、また必要な再起動をデバイスでどのように処理するかを定義できます。ポリシーが設定された後、管理者は OS Patch ビューを使用してパッチのステータスを監視し、必要に応じて直接対応できます。
このガイドでは、Splashtop AEMを使用してOSパッチの自動適用ワークフローを設定する方法と、ポリシーの適用後に結果を監視する方法を説明します。
OSパッチ適用の自動化前に必要なもの
OS Patchをエンドポイントポリシーで使用するには、チームでSplashtop AEMを有効にする必要があります。
エンドポイントポリシーはプラットフォーム固有のため、Windows と macOS のポリシーはそれぞれ別々に設定されます。その後、ポリシーを個々のコンピュータまたはコンピュータグループに割り当てることができます。
Splashtop AEMでOSパッチ適用を自動化する方法
1. エンドポイントポリシーを作成または選択する
Splashtop Web管理コンソールで、Automation > Endpoint Policiesに移動します。
新しいポリシーを作成することも、既存のポリシーを編集することもできます。ポリシーは有効または無効のいずれかで作成できます。Splashtop AEM はポリシーの継承にも対応しており、親ポリシーで共通設定を確立し、特定のグループまたはコンピュータで異なる設定が必要な場合に子ポリシーを作成できます。
たとえば、ITチームは大半の本番デバイスに対して標準のWindowsエンドポイントポリシーを維持しつつ、異なるパッチ設定が必要なコンピュータには子ポリシーを使用できます。
2. ポリシーで OS Patch を有効にする
ポリシーを開いたら、OS Patch機能を有効にします。
新しいエンドポイントポリシーの機能はデフォルトで無効になっているため、管理者は各ポリシーでどの機能を管理するかを選択します。OS Patchを有効にすると、スキャン、承認、インストールのスケジュール、および再起動の動作を管理するための設定がポリシーに表示されます。
3. オペレーティングシステムが更新をどのように処理するかを選択します
Update Settingsセクションでは、管理対象エンドポイントでの基本的な更新動作を設定します。
Splashtop AEM では現在、3つのオプションを提供しています。
OSが更新を自動的にインストールする
更新プログラムをダウンロードするが、インストールするかどうかは自分で選択する
更新を確認するが、ダウンロードしてインストールするかどうかは選択できるようにする
管理者がインストールを制御したまま更新プログラムをダウンロードする2つ目のオプションが、デフォルトです。
適切な設定は、オペレーティングシステム自体にどの程度の制御を持たせたいかによって異なります。その後、残りのポリシー設定を使用して、Splashtop AEMが更新プログラムをどのようにスキャンし、パッチを承認し、インストールをスケジュールし、再起動を処理するかを定義できます。
4. OS更新のスキャンスケジュールを設定する
次に、管理対象エンドポイントが利用可能なOSアップデートを確認するタイミングを設定します。
スキャンスケジュールは次のように実行できます。
毎日、指定した時刻に
毎週、選択した曜日の指定時刻に
毎月、選択した日付と指定した時刻に
コンピュータが前回の予定されたタスクを実行できなかった場合にスキャンするオプションもあります。新しく作成された、または最近変更されたポリシーでは、そのオプションは次回の予定されたスキャン時間から有効になります。
スキャンスケジュールでは、Splashtop AEM が利用可能なパッチを確認するタイミングを制御します。インストールスケジュールは個別に設定されるため、管理者は更新プログラムを検出するタイミングと、承認済みの更新プログラムが実際にインストールされるタイミングを制御できます。
たとえば、デバイスが新しいパッチを定期的にスキャンするように設定しつつ、インストールは承認済みのメンテナンス時間帯に限定することができます。
5. OSパッチ承認ルールを設定する
承認セクションでは、重要度に基づいて Splashtop AEM がパッチをどのように処理するかを決定します。
該当する各カテゴリには、3つのアクションのいずれかを割り当てることができます。
承認: 更新は承認され、設定された更新スケジュールに従ってインストールされます。
手動: 管理者が対応を決定するまで、更新プログラムは保留のままになります。
無視: 更新プログラムは、利用可能になった際に除外されます。
承認ルールはWindowsとmacOSで利用できますが、使用できるOSパッチコントロールはこの2つのプラットフォームで異なります。Windowsは、承認、コア更新、パッチのオーバーライドに対応しています。
（Windows 承認）
macOSでは更新管理の対応範囲がより限定されており、現在はEndpoint Policies内でCore UpdatesまたはPatch Overridesをサポートしていません。
（Mac の承認）
これにより、承認設定は自動化ワークフローの重要な要素になります。自動設定で信頼できる条件を満たす更新は自動的に先へ進められ、確認が必要なパッチは保留のままにできます。
6. 必要に応じてWindowsのコアアップデートとパッチ例外を設定する
Windowsポリシーには、より具体的な対応が必要な状況向けに、追加の2つの制御機能があります。
コアアップデート
Splashtop AEM では、Windows のメジャーアップグレードに対するコアアップデートを管理できます。これには、Windows 10 から Windows 11 へのアップグレードや、Windows の主要な機能バージョン変更などが含まれます。
これらの更新プログラムは、通常のパッチよりも大幅なOSの変更や長いインストール時間を伴う可能性があるため、管理者は標準の更新承認とは分けて管理できます。
パッチの上書き
Patch Overrides を使用すると、管理者は特定の Windows 更新に対して例外を作成できます。
オーバーライドを作成するには:
KB番号で更新を追加します。
説明を入力してください。
そのKBに対して承認ステータスを個別に割り当てます。
その後、このオーバーライドにより、その更新プログラムをより広範な承認ルールとは異なる方法で扱うことができます。
たとえば、承認ポリシーで通常は特定カテゴリの更新を自動的にインストールする設定になっている場合でも、特定の KB は手動レビュー用に保留したり、無視したりできます。
7. 更新プログラムのインストールスケジュールを設定する
どの更新プログラムを承認するかを定義した後、それらの更新プログラムをいつインストールするかを設定します。
更新スケジュールには、3つの方法があります。
特定の曜日と時間にインストールをスケジュールします。
指定した期間、アップデートを延期します。
承認後すぐにアップデートをインストールします。
スケジュール設定では、パッチの承認とパッチのインストールを分けて管理します。更新プログラムは検出されるとすぐに承認できますが、インストールについては、設定したメンテナンス時間帯まで待機させることができます。
これにより、ITチームは各設定を個別に開始しなくても、更新を継続的に進められる再現可能な方法を確立できます。
8. 再起動の動作を設定する
一部のOSパッチでは、インストールを完全に完了する前に再起動が必要です。Splashtop AEMでは、管理者がポリシーの一部として、それらの必要な再起動をどのように処理するかを定義できます。
利用可能なオプションには、必要に応じてエンドポイントを自動的に再起動する、または更新完了直後に再起動することが含まれます。
自動再起動オプションを使用する場合、再起動は次の時間だけ遅らせることができます。
15分
30分
45分
60分
ユーザーがログインしている場合、管理者はユーザーへの通知方法を設定したり、その条件下で再起動をどのように処理するかを決定したりすることもできます。
再起動設定は、ポリシーの対象となるエンドポイントに合わせて設定する必要があります。業務時間中ずっと使用されるワークステーションでは、メンテナンス後すぐに再起動できるエンドポイントとは異なる再起動動作が必要になる場合があります。
9. ポリシーをコンピュータまたはグループに割り当てる
OSパッチ設定を構成したら、その設定に従うべきエンドポイントにポリシーを割り当てます。
Automation > Endpoint Policiesで、ポリシーを選択し、Assign Group and Computerを選択します。適切なグループを選択し、ポリシーを割り当てます。
ポリシーは他の方法でも割り当てることができます。
個別のコンピュータについては、そのコンピュータのPropertiesを開き、ポリシーを選択します。
コンピュータグループの場合は、Management > Groupingに移動し、グループを作成または編集して、適切なポリシーを選択します。
デフォルトでは、個々のコンピュータは所属グループのポリシーに従います。エンドポイントで例外対応が必要な場合は、コンピューターレベルのポリシーを使用できます。
これにより、ITチームはグループ全体で共通のパッチ設定を使用しながら、必要に応じて異なるポリシーを適用することができます。
ポリシーの設定後にOSパッチのステータスを監視する方法
自動化によって、ポリシーの実行後に何が起きたかを管理者が引き続き把握できるようにする必要があります。日常的なガバナンスでは、ITチームはエンドポイントとWindows更新のステータスを大まかに把握するために、Splashtop Dashboardから始めることができます。より詳しい確認が必要な場合、管理者は関連するOS Patchビューを詳しく見て、特定の更新プログラム、影響を受けるコンピュータ、利用可能なアクションを確認できます。
OS Patch（Patch View）でパッチを確認する
より詳細なパッチ情報が必要な場合は、次へ移動します:
ソフトウェア > OS パッチ（パッチビュー）
関連する更新を表示するには、Windows または macOS を選択します。
パッチは5つのステータスタブに整理されています。
保留中: 対応待ちの利用可能な更新プログラム
承認済み: 予定された時間にインストールが承認された更新
失敗: インストールに失敗し、再試行できる更新プログラム
インストール済み: 正常にインストールされた更新プログラム
無視: インストール対象から除外された更新
管理者は、グループ、選択状態、リリースからの日数、更新カテゴリでも更新を絞り込めます。WindowsパッチはKB番号または更新タイトルで検索でき、macOSアップデートはパッチ名で検索できます。
どのコンピュータがアップデートの影響を受けるかを確認する
Patch View では、管理者が個別の更新プログラムを詳しく確認することもできます。
更新プログラムを選択すると、そのパッチが利用可能なコンピュータを確認できます。これにより、フリート全体のパッチ状況の可視化から、その更新プログラムの影響を受ける特定のデバイスへ直接移動できます。
たとえば、新しくリリースされた更新プログラムを調査している管理者は、コンピュータを1台ずつ確認しなくても、どの管理対象エンドポイントでその更新がまだ必要かを確認できます。
保留中または失敗した更新プログラムに対してアクションを実行する
Endpoint Policies は定期的な自動化を提供しますが、特定のパッチに対応が必要な場合は、管理者が引き続き介入できます。
Patch Viewで利用できるアクションは、パッチのステータスによって異なります。
保留中 から、アップデートを承認、無視、またはすぐに適用できます。
承認済みから、更新プログラムを無視するか、すぐに適用できます。
失敗から、更新プログラムを再度承認するか、再度適用できます。
Ignored から、更新プログラムを承認または適用できます。
Installed から実行できる追加アクションはありません。
これは、管理者が通常のスケジュール外で対応する必要がある場合、失敗したインストールを再試行する場合、または特定の更新の処理方法を変更する場合に便利です。
この柔軟性が役立つ例の1つが、Patch Tuesday のリリースです。通常の更新は引き続き通常のポリシースケジュールで進める一方、優先度が高い、または現在悪用されているCVEに関連するパッチは、必要に応じてより早く確認して適用できます。
macOSでのOSパッチ適用は何が異なりますか？
全体的なワークフローは似ていますが、macOSのパッチ適用には、管理者が考慮すべきいくつかの要件と制限があります。
Endpoint Policies内のOS Patchについて:
macOSのパッチを実行する前に、ローカル管理者の資格情報を設定しておく必要があります。
macOSのメジャーアップグレードでは、設定された管理者アカウントでSecure Tokenが有効になっている必要があります。
通常、macOSのマイナーアップデートではSecure Tokenは必要ありません。
Endpoint Policies 内では、Core Updates と Patch Overrides は現在 macOS では利用できません。
資格情報は Management > Credential Management から設定します。その後、利用可能な Credential Management 設定を通じて、資格情報を OS パッチアクションに関連付けることができます。Credential Management を使用できるのは、チームオーナーとスーパー管理者のみです。
macOSのメジャーアップグレードでは、アップグレードワークフローを利用する前に、設定されたアカウントでSecure Tokenが有効になっていることをITチームが確認する必要があります。
代わりにOS Patch（Computer View）を使用するタイミング
Endpoint Policiesは、管理対象コンピュータ全体でOSパッチの自動化を繰り返し実行できるように設計されています。また、管理者が特定のエンドポイントに対して直ちに対応する必要がある場面もあります。
このような場合には、Splashtop AEMのSoftware > OS Patch (Computer View)を利用できます。
コンピュータビューでは、デバイス単位のパッチ管理に重点を置いています。管理者はコンピュータを選択し、利用可能な更新プログラムを確認し、更新プログラムを選んで、直接適用できます。
これにより、通常の自動スケジュール外で特定のエンドポイントまたはエンドポイントのグループに対応する必要がある場合に、Computer View が役立ちます。
たとえば、緊急のパッチを少数のコンピュータにすぐ適用する必要がある場合、管理者は通常のポリシースケジュールを待たずに、Policy ViewではなくComputer Viewを使用できます。
この2つのワークフローは、それぞれ異なる目的に対応します。
エンドポイントポリシー: 繰り返し実行可能なスキャン、承認、インストール、再起動の動作を確立します。
Patch View: 複数のデバイスにまたがるパッチを監視および管理します。
Computer View: 特定のコンピュータに対して対象を絞ったアクションを実行します。
これらのビューを組み合わせることで、ITチームは日常的なOSパッチ適用を自動化しつつ、例外対応が必要な場合には直接制御を維持できます。
Splashtop AEMでOSパッチ適用を自動化
Splashtop AEMは、承認、インストールスケジュール、再起動、例外の管理を維持しながら、WindowsおよびmacOSデバイス全体のOSパッチ管理を自動化するための実用的な方法をITチームに提供します。
エンドポイントを1台ずつ手動で確認してパッチを適用する代わりに、Endpoint Policies を使って繰り返し使えるパッチ適用ワークフローを作成し、その後、集中管理されたOSパッチビューから結果を監視し、必要に応じて対応できます。
Splashtop AEMの無料トライアルを開始して、自動化されたOSパッチ適用がエンドポイント管理ワークフローにどのように組み込めるかをご確認ください。
