Windows Server: Windows Updateの自動更新および再起動を無効化する方法

WindowsUpdateの自動更新の無効化設定

• グループポリシーで以下の設定を行います。
  [コンピューターの構成] - [管理用テンプレート] - [Windowsコンポーネント] - [Windows Update] - [自動更新を構成する]を”無効”に設定します。

  [自動更新を構成する]が”無効”に設定されていることを示すレジストリ値
  キー：HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate\AU
  値：NoAutoUpdate : 1 (Reg_DWORD)

  *上記設定を行っても、以下のような場合は自動再起動されることがあります。

自動更新を構成するの無効化だけでは解消しない場合の対処

• 手動でWindowsUpdateを実行した場合
  "更新プログラムをチェックする"のボタンをクリックしてしまうと、そのままアップデートが始まり再起動されてしまいます。
  グループポリシーでこのボタンを無効化することで回避可能です。

  [コンピューターの構成] - [管理用テンプレート] - [Windows コンポーネント] - [Windows Update] - [Windows Updateのすべての機能へのアクセスを削除する]を”有効”に設定します。

• WindowsUpdate以外の要因がある場合
  Windows Defenderの定義ファイルの更新、ストアアプリの更新、ドライバーの更新等で、再起動される場合があります。
  対策として、それぞれのグループポリシーを設定します。

  • Windows Defenderによる定義ファイルの更新を無効化
    [コンピューターの構成] - [管理用テンプレート] - [Windowsコンポーネント] - [Endpoint Protection] - [Endpoint Protectionを無効にする]を“有効”に設定します。
    または
    [コンピューターの構成] - [管理用テンプレート] - [Windowsコンポーネント] - [Windows Defenderウイルス対策] - [Windows Defenderウイルス対策を無効にする]を"有効"に設定します。
  • ストアアプリの自動更新を無効化
    [コンピューターの構成] - [管理用テンプレート] - [Windows コンポーネント] - [ストア] - [更新プログラムの自動ダウンロードおよび自動インストールをオフにする]を“有効”に設定します。
  • Microsoftコンシューマーエクスペリエンスの無効化
    [コンピューターの構成] - [管理用テンプレート] - [Windowsコンポーネント] - [クラウドコンテンツ] - [Microsoftコンシューマーエクスペリエンスを無効にする]を“有効”に設定します。
  • ドライバーの検索を無効化
    [コンピューターの構成] - [管理用テンプレート] - [システム] - [デバイスのインストール] - [デバイスドライバーを検索する場所の順序を指定する]を“有効”に設定します。
    さらに、オプション[検索順序を選択する]にて、“Windows Updateを検索しない”を指定します。
  ご留意事項
  SQLやOffice関連のアップデートが要因となる場合がありますので、該当する環境の場合は、Microsoft製品窓口へお問い合わせをお願いします。

• WindowsUpdate自動更新の設定が意図せず変更された場合
  グループポリシーの設定反映には、時間がかかることがあります。
  すぐに反映させる場合は、コマンドプロンプトを開き、gpupdate /forceコマンドにて更新を実施してください。
  グループポリシーの設定が反映してもすぐに解除されてしまう場合は、グループポリシーがOUやドメインレベルで設定されていないか、サードパーティ製のアプリケーション等が、勝手に設定を変えていないかをご確認ください。

• WSUSサーバーを利用している環境のにおける注意点
  WSUSサーバーには、自動承認という強制適用の機能が備わっています。
  この機能は、承認の期限を設定しその期限までに適用されない場合に、強制的に適用処理を開始するため、この設定が有効である場合、WindowsUpdateの自動再起動を無効化している場合でも再起動が発生します。

自動再起動関連のカスタマイズ設定

• ユーザーが利用中の自動再起動はしたくない場合の設定
  [コンピューターの構成] -> [管理用テンプレート] -> [Windowsコンポーネント] -> [Windows Update]
  -> [スケジュールされた自動更新のインストール]で、[ログオンしているユーザーがいる場合には自動的に再起動しない]を "有効"にし、
  -> [自動更新を構成する]を”有効”、オプションにて[4 ? 自動ダウンロードしインストール日時を指定]に指定します。

• 業務時間中の自動再起動をしたくない場合の設定
  [コンピューターの構成] -> [管理用テンプレート] -> [Windowsコンポーネント] -> [Windows Update] -> [アクティブ時間内の更新プログラムの自動再起動をオフにします]を"有効"、オプションでアクティブ時間を指定します。
  [コンピューターの構成] -> [管理用テンプレート] -> [Windowsコンポーネント] -> [Windows Update] -> [自動再起動のアクティブ時間範囲を指定する]を"有効"、オプションにて最大範囲を8-18時間の範囲で指定します。

• 更新プログラムをインストールした直後に自動再起動させたい場合の設定
  [コンピューターの構成] -> [管理用テンプレート] -> [Windowsコンポーネント] -> [Windows Update] -> [スケジュールされた時刻に常に自動的に再起動する]を"有効"にし、
  -> [自動更新を構成する]を”有効”、オプションにて[4 ? 自動ダウンロードしインストール日時を指定]に指定します。

• 更新プログラムのインストールと再起動のタイミングを別々にする設定
  [コンピューターの構成] -> [管理用テンプレート] -> [Windowsコンポーネント] -> [Windows Update] -> [自動更新を構成する]を”有効”、オプションにて[3 ? 自動ダウンロードとインストールを通知]に指定します。

参考情報

• Windows 10 / Windows Server 2016 でも Windows Update の自動更新は止められます（Microsoft blog）
  https://jpmem.github.io/blog/wsus/2017-09-08_01/

• Windows 10 / Windows Server 2016 の Windows Update 後の自動再起動の制御方法（Microsoftフォーラム）
  https://social.msdn.microsoft.com/Forums/ja-JP/52afc78a-30c0-4c2d-a9d7-2751f314bd57/windows-10-windows-server-2016-windows-update-?forum=jpsccmwsus