パッチ検出展開スケジュールの作成について (4252954)

この記事ではシステム管理アプライアンス(SMA)のパッチスケジュールの作成について説明します。

SMA上で配布可能に設定したパッチを実際に展開するにはパッチスケジュールを作成・実行する必要があります。

1. パッチの展開が行える条件について

SMAからエージェントデバイスへパッチを配布するには 最初に導入可能なパッチの調査を行い、デバイスのOSに対してインストールが可能かどうかを確認します。これを "検出" タスクと呼びます。

検出タスクは アクションとして[検出と展開] または[検出]または[検出及びステージ]が指定されたパッチスケジュールによって実行されます。
展開タスクは アクションとして[検出と展開] または [展開]が指定されたパッチスケジュールにて実行されます。
アクションが [検出と展開] のパッチスケジュール では 最初に 検出タスクが行われ、その後に展開タスク が実行されます。

検出タスクにより未適用（不在、NOTPATCHED）として認識されたパッチだけが、展開アクションを持つスケジュールによって配布可能となります。

SMAからパッチが配布可能となる条件:
・そのパッチがSMAのKACEパッチカタログにおいてアクティブのステータス（サブスクライブされている かつ 有効）である
・そのパッチが検出タスクにより対象デバイス上でパッチ未適用（NOT PATCHED）と判定された状態である
・そのパッチがパッチスケジュールにおいて展開アクションのパッチラベルに含まれる


各アクションを行うスケジュールは別々に設定することも可能です。
パッチスケジュールの [検出と展開] と [展開] の違いについて (4314965)

また、「検出およびステージ」、「検出、ステージおよびオンデマンド展開」というアクションが追加されています（バージョン11.0以上）。これにより「展開」時の転送量ピークを分散したり展開アクション開始をユーザーの操作にゆだねることができます。 パッチのオンデマンド展開の設定方法（Windowsのみ）

2. パッチスケジュールの作成

2-1.  セキュリティ | パッチ管理｜スケジュール: 見つからないパッチの検出、展開、ロールバック へ移動し、アクションから 新規作成 を選択します。
   メモ: v11.0からウィザード形式で編集できるようになっています。クラシックビューを選択すれば従来通り一つの画面で編集できます。

2-2. パッチスケジュールの詳細設定

一般的な情報 タブ: 

アクション タブ:

※ タスクにラベルを割り当てない状態 にするとサブスクリプションで許可されたすべてのパッチが対象となり、検出および展開で時間がかったり、意図しないパッチの検出・展開が行われる可能性があるためお勧めしません。（ソフトウェアインストーラー有効かつSmartLabelで絞り込みをしない状態で検出・展開が行われる状況）
パッチスケジュールにはかならずパッチを特定するラベルを付与するようにしてください。
SMAのパッチスマートラベル と作成例 (4257254) では検出・展開に有用なパッチラベルのサンプルの作成方法を紹介しています。

[検出およびステージ]アクションでのパッチ転送について
​​​​
[検出およびステージ]アクションは 展開アクション（インストール）を行わず、検出と本体ファイルの転送のみを行う機能ですが、未適用パッチと判定されたパッチファイルのすべてを転送するわけではありません。
そのデバイスを実行対象とする1つ以上のパッチスケジュールにおいて展開アクション(展開/検出と展開/オンデマンド展開) が指定され、展開パッチラベルにそのパッチが含まれている必要があります。そのパッチスケジュールのスケジュールオプションは なし でもパッチ本体ファイルの転送は行われます。

デバイス タブ: 

通知 タブ: 

展開タスク開始時のダイアログの挙動、タイムアウト時のアクション、パッチ適用前（初期メッセージ）、適用中（進行状況メッセージ）、適用後（完了メッセージ）に表示させたいダイアログを制御します。
[検出]アクションのみのスケジュールでは表示されません。

注意：ユーザーがデスクトップログオンしていない場合、この設定にかかわらずパッチ展開が開始されます。

再起動 タブ:

システムの再起動が必要なパッチがインストールされた際にシステムの再起動とユーザーへの表示メッセージを制御します。
[検出]アクションのみのスケジュールでは選択できません。

重要

• パッチ詳細には適用にシステム再起動が必要かどうかを示す属性があります。
• システム再起動を必要とするパッチが展開された場合のアクションを指定します。
• インストール処理の完了後にできる限りユーザー操作あるいはパッチスケジュール経由いずれでもかまいませんのでシステムを再起動をするようにしてください。再起動を行わない場合、パッチの反映がシステムにロードされない可能性があります（パッチ・OS依存）。バージョン11.1以上では再起動を実施していない場合、次回のパッチスケジュールの実行をスキップします。
• SMAパッチスケジュールでは再起動が必要なパッチの展開後の再起動でチェックのための検出（検証）を行うようになっています。
• システムを再起動しないと、インストール実施後のパッチ適用ステータスが反映されない可能性があります。
• 運用上容易に停止できないサーバーOSへのパッチ展開において、KACEによるパッチ配布後の再起動が受け入れられない場合、次回のパッチスケジュール実行前までに手動でのシステム再起動を実施いただくか、KACEでのパッチ展開は行わずに 手動でのパッチ適用と再起動を計画してください。

「ユーザーにプロンプトを表示」かつ「誰もログインしていない場合自動的に再起動 オフ」かつ「タイムアウトアクション：後で再起動」の設定においては、
パッチ展開が開始した後で画面をロックした場合には最初のタイムアウト時間のあと （プロンプト再表示間隔＋タイムアウト時間）×プロンプト数 を経過して再起動になります。
同じ条件でサインアウトした場合、タイムアウト時間は適用されず、（プロンプト再表示間隔）× プロンプト数 のあとで再起動となります。

スケジュール タブ: 

このパッチスケジュールの定期実行スケジュールを設定します。

 
2-3. 保存

保存 ボタンをおすとパッチスケジュールが保存されます。
一旦保存するとスケジュールオプションが なし であっても 今すぐ実行 にて手動で開始することもできます。

3. その他

 - パッチの展開を行う際には事前に1台以上で展開試験することをお勧めします。

 - 検出・展開するパッチの種類はスケジュールに指定するパッチラベルにより決定されます。
スケジュールとラベルの組み合わせにより、「特定の種類のパッチは検出のみ行うものとする」「日中に展開するパッチはシステム再起動を必要としないものだけを対象とする」というようなスケジュールの構成が可能です。

 - 1台のデバイス上で複数のパッチスケジュールが同時刻帯に走らないようにスケジュールを調整してください。

  -【重要】「不足ファイルのみダウンロード」するダウンロードオプション設定時のパッチスケジュールの動作について

1.アクションに[検出と展開]を持つパッチスケジュールタスクが開始されるとデバイスがパッチスケジュールのラベルに基づきパッチの検出を行います。
2.未適用（NOTPATCHED, 不在）のパッチが報告されると そのパッチがSMA上に未ダウンロードの場合、その30分（以内）後に SMAサーバーはパッチファイルのダウンロードを開始します。この間デバイス上のパッチ展開タスクはダウンロードを待ちます。
3.サーバー上にファイルがダウンロードされるとパッチスケジュールのパッチ展開タスクが実際のインストールを始めます。

この30分のタイムラグを減らしたい場合 展開予定時刻（例: 18:00とする）の前の時刻（12:00）に「アクション: 検出」のスケジュールを追加作成しておき、検出およびダウンロードを完了させた状態で、「検出と展開」または「展開（のみ）」のスケジュールを実行する方法が考えられます。

レプリケーション共有を使用している場合にはアプライアンス上でダウンロード済みのパッチ本体ファイルの各共有への複製スケジュールも考慮する必要があります。