P R O D U C TR E L E A S E

T H R E A T S O P H I S T I C A T I O N

T I M E

CA

PA

BIL

ITY

Protection Gap

攻撃者は製品リリース間の

ギャップを利用する

Windows 10 を継続的に改善して

攻撃者の先回りをする

• Windows 10 の機能拡張を行う更新プログラム

• 年 2 回 (3 月と 9 月を目標) のペースでリリース

• 現行では実質的に OS のインプレース アップグレードに相当し、

OS 全体を対象とした更新

• 月次でリリースされる更新プログラム

• リリース毎に過去の更新プログラムをすべて含む (累積パッチ)

• 以前はサービス更新プログラム (Servicing Updates / SU)

と呼んでいたもの

• Insider Preview を経て正式にリリースされた、一般ユーザー向け/組織内での検証向けリリース

• Windows Update からの提供と併せて、ボリューム ライセンスから ISO 形式のインストール メディアも提供

• 約 4 か月後に CBB に移行する

• FU のリリースから約 4 か月経過後にアナウンスされる、安定化した組織内への展開向けリリース

• リリース済みの更新プログラムが適用されており、Windows Update で公開されているモジュールは、

この時点で 更新適用済みの モジュール に置き換えられ再公開される

• 特定のビルドを機能固定し、機能更新プログラム (FU) を提供しない特定用途向けリリース

• 2-3 年毎にリリースされ、品質更新プログラム (QU) を 10 年間提供

• LTSB リリース後の新しいチップセットへの対応なし（CB/CBB は追随可能）

https://blogs.windows.com/japan/2017/08/04/waas-simplified-and-aligned/

Semi-Annual Channel (Targeted)※初期の約 4 か月

https://docs.microsoft.com/en-us/windows/deployment/update/waas-overview#naming-changes

• Insider Preview を経て正式にリリースされた、一般ユーザー向け/組織内での検証向けリリース

• Windows Update からの提供と併せて、ボリューム ライセンスから ISO 形式のインストール メディアも提供

• 約 4 か月後に Semi-Annual Channel に移行する

• FU のリリースから約 4 か月経過後にアナウンスされる、安定化した組織内への展開向けリリース

• リリース済みの更新プログラムが適用されており、Windows Update で公開されているモジュールは、

この時点で 更新適用済みの モジュール に置き換えられ再公開される

• 特定のビルドを機能固定し、機能更新プログラム (FU) を提供しない特定用途向けリリース

• 2-3 年毎にリリースされ、品質更新プログラム (QU) を 10 年間提供

• LTSC リリース後の新しいチップセットへの対応なし（Semi-Annual Channel は追随可能）

これまでの考え方 今後の方針

Windows 10 のリリース時期は予測できない

“年に 2-3 回リリース” (例外あり)

リリース時期は事前に開示なし

Windows 10 のリリース時期は予測可能

年 2 回、3 月と 9 月を目標にリリース

Windows 10 のサービス提供タイムラインがあいまい

“2 世代の CBB リリースを常にサポートし、さらに 60 日間の

最終移行期間もサポート”

ユーザーはサービス終了日を予測できない

Windows 10 のサービス提供タイムラインが明確

Windows 10 の各機能リリースの提供およびサポート期間

は、18 か月間となる

https://blogs.windows.com/japan/2017/04/21/windows-office-align-feature-release-schedules-benefit-customers/

Windows 10 の更新プログラムが巨大

定期的な FU と月次の QU は、そのサイズのために

展開が困難

Windows 10 の更新プログラムはかなり縮小

今秋リリースの 1709 (Fall Creators Update) で

機能改善が利用できる予定 (これまでの発表の通り)

常時 2 つのバージョンをサポート (各バージョンは最低 18 か月サポート)

1607Anniversary Update

1703Creators Update

次のリリース(日程は仮定)

12 月 4 月 8 月 12 月 4 月 8 月 12 月 4 月 8 月8 月

2016

CB CBB

CB CBB

CB

Insider

Insider

Insider

CBB

CBB

CBB

2018 20192017

約 8 か月 4 か月 60 日間約 12 か月

約 6 か月 4 か月 60 日間約 12 か月

約 6 か月 4 か月 約 12 か月

60 日間約 14 か月

60 日間約 17 か月

1511November Update

その次のリリース(日程は仮定)

CB

年 2 回 (3 月と 9 月 を目標) にリリース、各バージョンは 18 か月間サポート

1607Anniversary Update

1703Creators Update

1709Fall Creators Update

12 月 4 月 8 月 12 月 4 月 8 月 12 月 4 月 8 月8 月

2016

一部展開 全面展開

一部展開 全面展開

一部展開

先行評価

先行評価

先行評価

全面展開

全面展開

全面展開

2018 20192017

10/10 まで

1511November Update

1803(2018 年 3 月リリース目標)

一部展開

18 か月サポート

18 か月サポート

18 か月サポート

Windows 10 の導入/展開

Windows 10 の更新管理

一般的な企業プロセス

• データ・設定のキャプチャー

• （カスタム）OS イメージの

展開

• ドライブの注入

• アプリのインストール

• データ・設定のリストア

Windows に任せる

• データ・設定の保存

• アプリ・ドライバーの保存

• （標準）OS イメージの

インストール

• 全てのリストア

新しいデバイス向けの

新機能

• 企業用デバイスに変身

• 企業アプリの追加

• 企業設定の追加

どのシナリオでも利用可能 既存の Windows 7 / 8 / 8.1

デバイス向けにお勧め

Windows 10

CYOD シナリオ向け

33%

22%

45%

エディションとサービシング モデル

Ent. CBB Ent. LTSB Pro CBB

90%

5%5%

導入方法

ワイプ & ロード インプレース アップグレード プロビジョニング

※ 2015 年、日本マイクロソフト調べ。計 60 社のお客様よりヒアリング調査。

Windows ADK

Microsoft Deployment Toolkit

System Center Configuration Manager

ディスク構成

OSイメージ適用

ホスト名, IP アドレス設定

最新の更新プログラム適用

ドメイン参加

ディスク構成

OSイメージ適用

ホスト名, IP アドレス設定

最新の更新プログラム適用

ディスク暗号化

アプリケーションインストール

自動化が

可能な

作業

手動作業その他残作業

アプリケーションインストール(サイレントインストール対応アプリ)

アプリケーションインストール(サイレントインストール未対応アプリ)

従来型のキッティング SCCM

ドメイン参加

ディスク暗号化などその他残作業

ドライバー適用

http://blogs.technet.com/b/msdeployment/

https://blogs.technet.microsoft.com/msdeployment/2016/11/14/microsoft-deployment-toolkit-8443-now-available/

https://www.microsoft.com/en-us/download/details.aspx?id=54259

https://developer.microsoft.com/en-us/windows/hardware/windows-assessment-deployment-kit

https://aka.ms/deployguide2

OEM / リセラー IT 管理者 ユーザー

Microsoft Insider

Preview BranchBroad Microsoft

internal validation

Engineering

builds先行導入 本格導入

このイラストはコンセプトを表したもので、具体的なリリース情報とは関連ありません。

Time

Broad

Deployment

Ring I

Broad

Deployment

Ring II

Broad

Deployment

Ring III

Broad

Deployment

Ring IV

Pilot Ring

IT Pilot Ring

QA Pilot Ring

Early Adopters

基幹業務

IT部門

サポートヘルプデスク

総務/経理

一般業務

一般業務開発/検証

展開リング サービス ブランチ Current Branch (CB) または Current Branch for Business (CBB) の

リリース後の合計週数

Preview Windows Insider CB より前

リング 1

パイロット ITCB CB + 0 週間

リング 2

パイロット ビジネス ユーザーCB CB + 4 週間

リング 3

一般 ITCB CB + 6 週間

リング 4

一般ビジネス ユーザーCBB CBB + 0 週間

リング 5

一般ビジネス ユーザー #2CBB 容量などの制約による必要性に応じて CBB + 2 週間

Windows Software Update Service(WSUS)

System Center Configuration Manager(SCCM)

Windows Update for Business

Windows Software Update Service(WSUS)

System Center Configuration Manager(SCCM)

オンプレミス環境

Windows Update for Business

Windows 10を最新の状態に保つためのコストと労力を削減するための重要なツール

準備ができているデバイスを特定してアップグレードを計画

残りのアプリケーション/ドライバー互換のブロッカーを確認

組織のデバイスのためのタイムリーなレポート

更新プログラムの適用状況が把握できる

Windows Analytics NEW

無償利用可能

Windows Analytics

Upgrade ReadinessNEW

① Windows Analytics サービス に登録しテナントを入

手。「Upgrade Readiness」を追加(無料プランあり。1 日 500MB、データの7日間保持 )

② Deployment Script をダウンロードし、テナント ID

などを編集

③ 上記スクリプトを各クライアントで実行

アップグレード計画のサポート各クライアントのアップグレード状況やアプリ/ドライバーの互換性をチェック

利用手順 (詳細 : Get started with Upgrade Readiness)

コンピューターのアップグレード台数

アプリケーションの互換性情報

ドライバーの互換性情報

Office のアドイン

Web サイトのドキュメント モード

無償利用可能

※ LTSB は Not Supported

Windows Analytics

Update Compliance(Preview)

NEW

更新プログラムの適用状況の把握Windows 10 クライアントの機能/品質更新プログラムの適用ステータスのチェック

① Windows Analytics サービス に登録しテナントを入手。

「Update Compliance」を追加(無料プランあり。1 日 500MB、データの7日間保持 )

② 対象のグループ ポリシー を編集

③ 各クライアントでポリシーのアップデート

利用手順 (詳細 : Get started with Update Compliance)

各クライアント OS のバージョン情報

品質更新プログラムの適用状況

最新のセキュリティ更新の状態

機能更新プログラムの適用状態

Windows Defender の状態

無償利用可能

ユーザーが更新プログラムを

選択して適用することが可能更新プログラムは累積の形で提供

KB 毎の適用は未対応

Y

YY

従来のWindows OS Windows 10

0

200

400

600

800

1000

1200

2015-11 2015-12 2016-01 2016-02 2016-03 2016-04 2016-05 2016-06 2016-07 2016-08 2016-09 2016-10

Full Update Size (MB)

0

200

400

600

800

1000

1200

2015-11 2015-12 2016-01 2016-02 2016-03 2016-04 2016-05 2016-06 2016-07 2016-08 2016-09 2016-10

Full Update Size (MB) Express Download Size (MB)

2710

3630

1971

2540

0

1000

2000

3000

4000

x86 x64

Feature Update Size (MB)

Media Size (MB)

ESD Download Size

(MB)

2710

3630

1971

2540

0

1000

2000

3000

4000

x86 x64

Feature Update Size (MB)

Media Size (MB)

ESD Download Size

(MB)

ESD Diff Download Size

(est.)

https://blogs.windows.com/windowsexperience/2017/03/02/an-update-on-our-unified-update-platform-uup/

Data Center Server

RouterSwitches

Wireless Access Point

Data Center Server

RouterSwitches

Wireless Access Point

Without peer-to-peer With peer-to-peer

小システム32GB Disk

（Creators Update ではポリシーで変更可）

Windows Update

Content Servers

A

B

C

D

1

3

2 5

5

5

4

① 必要な更新プログラムの確認

② 更新情報の返却

③ 更新プログラムのダウンロード元を問い合わせ

④ コンテンツの保管場所を返答（B,C,D）

⑤ データの取得を各端末に依頼

⑥ データ取得後、ハッシュ値の確認を実施してインストール

https://technet.microsoft.com/ja-jp/windows/mt634410.aspx

Windows 10 Enterprise with SA Windows 10 Enterprise E3

Windows 10 Enterprise E5

2016 年 8 月 1 日以前 2016 年 8 月 1 日以降

Windows 10 Enterprise E5

Windows 10 Enterprise E3+

Windows Defender Advanced Threat Protection

=

Windows 10 Pro Upgrade

Windows 10

Enterprise LTSB 2016

Upgrade

Windows 10

Enterprise E3

Windows 10

Enterprise E5

Pro の機能

Windows Hello ● ● ● ●

Microsoft Passport ● ● ● ●

ドメイン参加・Azure AD 参加 ● ● ● ●

MDM 管理 ● ● ● ●

Windows Information Protection ● ● ● ●

Enterprise の機能

ロックダウン機能 ● ● ●

Credential Guard ● ● ●

GP/MDM によるテレメトリ制御 ● ● ●

Device Guard ● ● ●

AppLocker ● ● ●

Microsoft Application Virtualization (App-V) ● ● ●

Microsoft User Environment Virtualization (UE-V) ● ● ●

Windows ストアの制御 ● ●

Software Assurance 特典

将来と過去の LTSBs バージョン利用 ● ●

サービシングモデルの混在（CB / CBB/ LTSB） ● ●

MBAM, AGPM, DART ● ●

Windows To Go Rights ● ●

仮想化の権利 ● ●

24x7 延長ホットフィックスサポート ● ●

トレーニングバウチャーとe-learning ● ●

Enterprise E5 の機能 Windows Defender Advanced Threat Protection ●

Windows 10 の機能とライセンス

Active Directory

Windows Updateアップデート

• System CenterConfiguration Manager

• WSUS

アクティベーション

• KMS

• MAK

Mobile Device

Management

(MDM)

グループポリシー

ドメイン参加 PC

非ドメイン参加デバイス

更新プログラムのダウンロード

MDM を利用した管理

• PC / モバイルデバイスの間で一貫した管理

• 3rd パーティー製のソリューション

モバイル デバイス管理

既存の AD 環境で管理

• グループポリシー / WMI を利用した PC の管理

従来型の管理

利用可能な選択肢 従来型の管理 モバイル デバイス管理

ID 管理 ▪ Active Directory ▪ Azure Active Directory

デバイス管理 ▪ グループポリシー

▪ System Center Configuration Manager

▪ 3rd パーティー製管理ソリューション

▪ Microsoft Intune

▪ 3rd パーティー製 MDM ソリューション

アップデート ▪ Windows Update

▪ Windows Update for Business

▪ Windows Server Update Services (WSUS)

▪ System Center Configuration Manager

▪ Windows Update

▪ Windows Update for Business

インフラ全般 ▪ オンプレミス ▪ クラウド

• Windows 10 の管理テンプレートをインポート• Windows 8.1 のセキュリティベースラインをベースに、

Windows 10 で追加されたグループポリシーを確認

• Windows 10 用 Remote Server Administration Tool を利用したリモートサーバー管理

• KMS サーバーへのパッチ適用（KMS 認証の場合）

• 更新プログラムの配布の検討• サービシングモデルの検討

• SCCM 2007: パッチ適用によりWindows 10 の管理は可能• SCCM 2012 / R2: フルコントロールのためにはパッチ適用が必要

https://www.microsoft.com/ja-JP/download/details.aspx?id=48257https://www.microsoft.com/ja-JP/download/details.aspx?id=53430

• スタート画面とスタートメニューの管理• Microsoft Edge の設定• 新しい資格情報 (Windows Hello, Windows Hello for Business) の対応• Universal Application の管理

Windows 10 のセキュリティベースラインを提供中https://technet.microsoft.com/en-us/itpro/windows/keep-secure/windows-security-baselines

Windows 8.1 から追加• グループポリシーのキャッシュ• プリンターの IPv6 サポート、VPN の設定

Windows 8 からの追加• DirectAccessクライアントのサインイン設定• グループポリシーのパフォーマンス改善 (registry.pol)• グループポリシーのリモート更新 (GPUpdate)• バックグラウンド実行

http://www.microsoft.com/en-us/download/details.aspx?id=45520&WT.mc_id=rss_alldownloads_all

https://support.microsoft.com/en-us/kb/3058168

https://support.microsoft.com/en-us/kb/3079821

マイクロソフト

ライセンス認証

サービス

KMS ホスト

KMS

ホストキー

MAK

MAK

KMS

クライアントキー

KMS

クライアントキー

Active Directory

KMS

ホストキー

KMS

クライアントキー

KMS

クライアントキー

社内ネットワーク

KMS クライアント

Windows 7

Windows Server 2008

R2

Windows 8

Windows Server 2012

Windows 8.1

Windows Server 2012 R2Windows 10

KM

Sホスト

Windows Server 2008○ / 2008R2

(KB968912)

○ / 2012

(KB2757817)

○ / 2012 R2

(KB2885698)×

Windows Server 2008 R2 ◎ / 2008R2○ / 2012

(KB2757817)

○ / 2012 R2

(KB2885698)

○ /2012R2 for W10

(KB3079821)

Windows Server 2012

(KMS)◎ / 2012 ◎ / 2012

○ / 2012 R2

(KB2885698)

○ /2012R2 for W10

(KB3058168)

Windows Server 2012

(AD)×

◎ /2012(AD 参加のクライアントのみ)

○ / 2012 R2

(KB2885698)(AD 参加のクライアントのみ)

○ /2012R2 for W10

(KB3058168)(AD 参加のクライアントのみ)

Windows Server 2012 R2

(KMS)◎ / 2012 R2 ◎ /2012 R2 ◎ /2012 R2

○ /2012R2 for W10

(KB3058168)

Windows Server 2012 R2

(AD)×

◎ / 2012 R2(AD 参加のクライアントのみ)

◎ /2012 R2(AD 参加のクライアントのみ)

○ /2012R2 for W10

(KB3058168)(AD 参加のクライアントのみ)

◎ 標準対応

○ KMS ホスト側に追加モジュール導入が必要

× 非対応

http://blogs.technet.com/b/askcorejp/archive/2015/12/21/windows-10-1511-sysprep.aspx

https://blogs.technet.microsoft.com/askcorejp/2016/01/24/windows-8-windows-8-1-low-mandatory-level-1/

ATTRIB -H "C:¥Users¥Default"

ATTRIB -H "C:¥Users¥Default¥AppData"

rd /Q /S "C:¥Users¥Default¥AppData¥LocalLow"

ATTRIB +H "C:¥Users¥Default¥AppData"

ATTRIB +H "C:¥Users¥Default"

クリーンアップスクリプト

https://support.microsoft.com/ja-jp/kb/2769827

サードパーティ暗号化製品を利用している場合は？

アーキテクチャ変更(x86 から x64)

BIOS から UEFI への変更

Windows To Go やVHD からブートしている

システム

デュアルブート又はマルチブート端末

SCCM

MDT 2013

ダウンレベル

Win7, 8 or 8.1 を実行

システムチェック

アプリのインベントリ

ドライバーのインベントリ

互換性チェック

WinRE の準備

WinRE にブート

旧＆新OS はオフライン状態

旧OS のバックアップ

新OS のインストール

新OS の準備

ドライバーの注入

他の移行処理

WinRE

Binding the new yoke （元の環境を新しいOSにバインドする）

端末の Specialize フェーズ

ドライバーのインストール

アプリの移行

他の移行処理

新OSの 1st ブート

アップグレードのファイナライズ

ようこそスクリーン

OOBE

新OSの 2nd ブート1 2 3 4

Ready Set Go Windows 10 へようこそ

ロールバック可能 ロールバック可能 ロールバック可能ロールバック可能

インプレースアップグレードは安全で、ロールバックも可能

ワイプ & ロードが必須

ワイプ & ロードが必須

サードパーティ製品ベンダーに解決策を確認

製品ベンダー インプレース アップグレード手順 URL

McAfee• https://kc.mcafee.com/corporate/index?page=content&id=KB84962&actp=null&viewlocal

e=en_US&showDraft=false&platinum_status=false&locale=en_US

Symantec• https://support.symantec.com/en_US/article.HOWTO119349.html• https://support.symantec.com/en_US/article.HOWTO119348.html

CheckPoint• https://supportcenter.checkpoint.com/supportcenter/portal?eventSubmit_doGoviewsoluti

ondetails=&solutionid=sk106433&partition=General&product=FDE

http://download.microsoft.com/download/6/0/9/609EE8E6-DD32-4137-840B-EB3852976D51/Win10_InplaceUpgradeGuide.pdf

OEM の Windows 10

PC を購入

プロビジョニング

パッケージ (PPKG) を適用

デバイスの準備が完了

業務で利用可能に

Windows Software Update Service(WSUS)

System Center Configuration Manager(SCCM)

Windows Update for Businessクラウド環境

Windows Software Update Service(WSUS)

System Center Configuration Manager(SCCM)

Windows Update for Businessクラウド環境

https://technet.microsoft.com/ja-jp/library/mt627931.aspx#BKMK_ServicingDashboard

データセンター

拠点A

プライマリサイトサーバー

拠点 B 拠点 C

オフライン

転送も可能

配布サーバーへの転送制御

(転送率、スケジュールなど)配布ポイント

配布ポイント 配布ポイント

拠点 D

配布ポイント

BranchCache

機能による配信

クライアント OS を

配布ポイントとして

利用可能

BITS 配信

拠点 E

クラウドの

配布ポイント

Azure 上の

配布ポイント

からの配信

Microsoft

Update

更新プログラムをイン

ターネット

から取得

https://technet.microsoft.com/ja-jp/windows/release-info http://windows.microsoft.com/ja-jp/windows-10/update-history-windows-10

日本語サイトがオープン

http://www.readyforwindows.com

https://aka.ms/win10_app_wp

http://download.microsoft.com/download/6/0/9/609EE8E6-DD32-4137-840B-EB3852976D51/Win10_WaaSGuide.pdf

http://download.microsoft.com/download/F/0/D/F0D20D4C-B594-4341-924C-55DFF50FED88/SCCM_Architect_EvalGuide_jp.docx

http://download.microsoft.com/download/F/0/D/F0D20D4C-B594-4341-924C-55DFF50FED88/SCCM_CB_EvalGuide_jp.docx

http://download.microsoft.com/download/F/0/D/F0D20D4C-B594-4341-924C-55DFF50FED88/SCCM_EvalGuide_Intune_Integration_Deployment_jp.docx

http://download.microsoft.com/download/F/0/D/F0D20D4C-B594-4341-924C-55DFF50FED88/SCCM_EvalGuide_Intune_Integration_Management_jp.docx

http://download.microsoft.com/download/F/0/D/F0D20D4C-B594-4341-924C-55DFF50FED88/SCCM_EvalGuide_O365ProPlus_jp.docx

http://download.microsoft.com/download/F/0/D/F0D20D4C-B594-4341-924C-55DFF50FED88/SCCM_EvalGuide_Win10_Management_jp.docx

https://aka.ms/w10virtuallabs

Deploy and manage Windows as a service

Simplify Windows 10 deployment by using provisioning packages

Upgrade in place to Windows 10 by using MDT and Configuration Manager

Customize the Windows 10 Start menu and taskbar during deployment

Set up Windows Store for Business to deploy apps in your enterprise

Use Internet Explorer Enterprise Mode to fix compatibility issues

Deploy Credential Guard

Deploy Device Guard

Deploy Windows Information Protection

Enable and secure a remote workforce by joining Windows 10 to Azure Active Directory

https://aka.ms/deployguide2

https://technet.microsoft.com/itpro/windows/deploy/windows-10-poc

https://technet.microsoft.com/itpro/windows/deploy/windows-10-poc-mdt

https://technet.microsoft.com/itpro/windows/deploy/windows-10-poc-sc-config-mgr

https://technet.microsoft.com/ja-jp/mt604890