IT管理者がDeep Freezeを評価する際に最もよく受ける質問です。そして、正直なところ、それは当然の質問です。
「Deep Freezeは再起動時にすべての変更を消去するのに、Windowsのアップデートはどうやって行うのですか？新しいソフトウェアのインストールは？セキュリティパッチの適用は？」
もっともな懸念です。もしDeep Freezeが本当にすべての変更を永久に消去するなら、それはセキュリティ上の悪夢でしょう。なぜなら、あなたは時代遅れで脆弱なシステムを永遠に使い続けることになるからです。もちろん、実際はそうではありません。
簡単な答えはこうです：Deep Freezeには、システムを一時的に解凍し、アップデートを適用し、自動的に再凍結する組み込みのメンテナンスウィンドウがあります。スケジュール設定や自動化が可能で、ほとんど気にする必要はありません。
しかし、簡単な答えだけでは全体像はわかりません。ここでは、これがどのように機能するのか、どのような選択肢があるのか、そして長年にわたって管理者が犯してきた間違いについて詳しく見ていきましょう。
デフォルトでアップデートが保持されない理由（そしてそれがポイントである理由）
まず、実際に何が起こっているのかを理解しましょう。
Deep Freezeがアクティブな状態、つまり「凍結」状態では、実際のハードドライブではなく、一時的な割り当てテーブルにすべての書き込み操作がリダイレクトされます。元のシステムデータはそのまま残ります。再起動すると、Deep Freezeはその割り当てテーブルを破棄し、元のベースラインが再表示されます。
これが、Deep Freezeが非常に効果的である理由です。マルウェアは永続化できません。ユーザーのミスは消去されます。設定のずれは不可能です。すべての再起動で、既知の良好な状態に戻ります。
しかし、それは、凍結中にWindowsアップデートをインストールしても、それらのアップデートは一時的な割り当てテーブルにしか存在しないことも意味します。再起動すると、それらは消え、システムは以前の（パッチが適用されていない）状態に戻ります。
これはバグではありません。これがコア機能です。問題は、他のすべてから保護しながら、特定の変更（アップデートなど）を選択的に永続化させるにはどうすればよいか、ということです。
そこでメンテナンスモードが登場します。
メンテナンスモードの仕組み：解凍、アップデート、再凍結
基本的な概念は単純です。凍結されたシステムに永続的な変更を加えるには、一時的に「解凍」します。解凍中は、システムは通常のWindowsマシンと同様に動作します。変更はドライブに直接書き込まれ、再起動後も保持されます。完了したら、再度凍結すると、その新しい状態がベースラインになります。
これは手動で行うことができます。ログインして管理者パスワードを入力し、マシンを解凍してアップデートを実行し、再度凍結します。緊急時には皆やったことがあるでしょう。しかし、手動での解凍は規模に対応できません。50台、200台、または2,000台のマシンを管理している場合、自動化が必要です。
Deep Freezeは、これを自動化するためのいくつかの方法を提供します：
スケジュールされた解凍期間。ウィンドウを定義します。例えば、毎週水曜日の午前2時にマシンが自動的に解凍状態で再起動するようにします。このウィンドウ中にアップデートを実行します。ウィンドウが閉じると、マシンは再起動して新しいベースラインで再凍結されます。
Windows Updateタスク。Deep Freeze CloudおよびEnterpriseには、専用のWindows Updateタスクタイプがあります。これは単純な解凍ウィンドウよりも賢いです。凍結中でもアップデートをダウンロードできます（ローカルにキャッシュします）。その後、インストールに必要な時間だけ解凍します。インストールが完了すると、自動的に再凍結されます。固定の終了時間は必要ありません。
バッチファイルタスク。サードパーティ製ソフトウェアのアップデートやカスタムスクリプトの場合、解凍期間中に実行されるバッチファイルをスケジュールできます。Deep Freezeはマシンを解凍し、スクリプトを実行し、完了したら再凍結します。
オンデマンド解凍。コンソールまたはモバイルアプリから、特定のマシンまたはグループに対して手動で解凍をトリガーできます。緊急パッチや一度限りのソフトウェアインストールに便利です。
重要なのは、Deep Freezeはアップデートと競合するのではなく、いつ、どのように実行されるかを正確に制御できるということです。
Deep FreezeでのWindows Updateのベストプラクティス
Deep Freezeを大規模に運用する組織を長年サポートしてきた経験から、何がうまくいき、何が問題を引き起こすかを学びました。以下に推奨アプローチを示します：
オフアワーにメンテナンスをスケジュールする。これは明白に思えますが、言う価値はあります。ユーザーがマシンを使用していない時間にアップデートウィンドウを実行してください。学校なら、夜間や週末です。図書館なら、深夜です。24時間365日稼働する環境では、利用が最も少ない時間帯を見つけてください。セッションの途中でマシンが再起動するのは避けたいことです。
固定終了時間ではなく、「Windows Updateが完了したとき」を使用する。Deep Freezeの初期バージョンでは、固定のメンテナンスウィンドウ（例：午前2時から午前4時）を設定する必要がありました。問題は？アップデートが20分で完了することもあれば、3時間かかることもあります。ウィンドウがアップデート完了前に閉じると、ブートループや不完全なインストールのリスクがあります。最新バージョンでは、「Windows Updateが完了したとき」を選択できます。マシンはすべてが正しくインストールされるまで解凍されたままになり、その後自動的に再凍結されます。このオプションを使用してください。
Deep Freezeが凍結中にアップデートをダウンロードできるようにする。Deep Freezeは、システムが凍結されていてもWindows Updateをキャッシュできます。実際のインストールには解凍が必要ですが、ダウンロードは必要ありません。これは、解凍ウィンドウが、数ギガバイトのダウンロードを待つのではなく、インストールに費やされることを意味します。大幅に高速化されます。
電源オフのマシンにはWake-on-LANを使用する。Deep Freezeの電源管理機能は、電源がオフになっていても、スケジュールされたメンテナンスのためにマシンを起動できます。これにより、誰かがPCの電源を切ったために失敗するのではなく、深夜のアップデートが実際に実行されるようになります。
より詳細な制御のためにWSUSの使用を検討する。WSUSサーバーを実行している場合、Deep Freezeはそれと統合されます。利点は？どのアップデートがプッシュされるかを正確に制御できます。Deep FreezeのネイティブWindows Updateタスクはデフォルトでクリティカルおよびセキュリティアップデートを適用しますが、WSUSを使用すると、特定のパッチを承認したり、機能アップデートを延期したり、広範囲に展開する前にテストしたりできます。
メンテナンスウィンドウをずらす。すべての200台のマシンを正確に午前2時にアップデートするようにスケジュールしないでください。ずらしてください：グループAは午前2時、グループBは午前2時30分などです。これにより、ネットワークとアップデートサーバーの負荷が軽減され、何か問題が発生した場合、エステート全体に影響が出る前に検出できます。
アップデートがない場合でも再起動をスケジュールする。保留中のアップデートがない場合でも、定期的な再起動は凍結されたベースラインを復元し、蓄積されたセッションデータをクリアします。多くの組織では、標準的なプラクティスとして毎日または毎週の再起動をスケジュールしています。
破損させずにサードパーティ製ソフトウェアをアップデートする
Windows UpdateはOSを処理します。しかし、Chrome、Firefox、Adobe Reader、Java、Zoom、そしてあなたのマシン上の数十もの他のアプリケーションはどうでしょうか？
同じ原則が適用されます。アップデートは解凍中に実行される必要があります。しかし、Deep Freezeはサードパーティ製アップデートを直接管理しないため、少し注意が必要です。
オプション1:既存の展開ツールを使用する。すでにSCCM、Intune、PDQ Deployなどを使用している場合は、それらを使い続けてください。Deep Freezeの解凍期間に合わせて展開をスケジュールしてください。解凍中にソフトウェアを展開し、その後Deep Freezeが新しいアプリケーションをベースラインに含めて再凍結するようにします。
オプション2:Deep Freezeのバッチファイルタスクを使用する。解凍期間中に実行されるバッチファイルまたはPowerShellスクリプトをスケジュールできます。主要なアプリケーションをサイレントにアップデートするスクリプトを作成し、バッチファイルタスクとしてスケジュールすると、Deep Freezeが解凍-実行-再凍結サイクルを自動的に処理します。
オプション3:Deep Freeze Cloudのソフトウェアアップデーターを使用する。特定のDeep Freeze Cloudバンドルを使用している場合、ソフトウェアアップデーター機能は一般的なサードパーティ製アプリケーションを自動的に処理できます。アップデートをチェックし、メンテナンスウィンドウ中に適用します。
重要なヒント:アプリケーション内の自動アップデートを無効にする。多くのアプリケーションは自動的にアップデートしようとします。凍結されたマシンでは、これらのアップデートはダウンロードされ、部分的にインストールされ、再起動時に消え、帯域幅を無駄にし、潜在的に奇妙な動作を引き起こします。アプリケーション自体の自動アップデート機能を無効にし、代わりに解凍期間中に中央でアップデートを管理してください。
アンチウイルス定義は特別なケースです。あなたのAVソフトウェアは、おそらく1日に複数回定義をアップデートしています。一部のAV製品は、システム全体を解凍することなくアップデートを永続化できるように、解凍されたパーティション（後述）に定義を保存できます。または、解凍期間中に定義アップデートをスケジュールしてください。最良の結果を得るために、AVベンダーのドキュメントと連携してください。
頭痛の種となる一般的な間違い
私たちは約30年間Deep Freezeの展開をサポートしてきました。これらは、アップデート関連で最もよく見られる間違いです：
凍結中にアップデートを実行し、機能しなかった理由を不思議に思う。これは、特に新しい管理者によく起こります。アップデートをインストールし、再起動すると、アップデートが消えています。再度インストールし、再度再起動しても、結果は同じです。アップデートを実行する前に、凍結状態を確認してください。システムトレイのホッキョクグマのアイコンが示しています：アニメーションは凍結、静止は解凍です。
手動解凍後に再凍結を忘れる。何かをインストールするためにマシンを解凍し、気を取られて、数日間解凍されたままにしてしまいます。そのマシンは保護されておらず、変更が蓄積され、潜在的にマルウェアに感染し、ベースラインからずれていきます。完了したらすぐに再凍結してください。忘れる傾向がある場合は、手動解凍の代わりに、自動再凍結を備えたスケジュールされた解凍期間を使用してください。
短すぎる固定メンテナンスウィンドウを設定する。2時間のウィンドウは、毎月のパッチチューズデーには十分かもしれません。しかし、マシンが数週間オフになっていて、保留中のアップデートが多数ある場合、2時間では足りません。この問題を完全に回避するために、「Windows Updateが完了したとき」オプションを使用してください。
大量展開前にアップデートをテストしない。これはDeep Freeze固有ではありませんが、ここでも重要です。まずパイロットグループでアップデートをテストしてください。何か問題が発生した場合、エステート全体に影響が出る前に知りたいはずです。
Windows機能アップデートを無視する。Windows 10以降、Microsoftは年に1〜2回メジャーな機能アップデートをリリースします。これらは大きく、時間がかかり、時には物事を大幅に変更します。Deep Freezeはこれらを処理しますが、より長いメンテナンスウィンドウを計画し、十分にテストするまで延期することを検討する必要があります。
調整なしにサードパーティ製アップデートツールを使用する。Deep Freezeは、競合を防ぐために凍結中はWindows Updateサービスを抑制します。Windows Updateに依存するサードパーティ製パッチツールを使用している場合、解凍期間中に実行されないと正しく機能しない可能性があります。Deep Freezeのメンテナンススケジュールとツールを調整してください。
解凍スペースと解凍パーティションに関する注意
疑問に思っているかもしれません：システム全体を解凍せずに、特定のデータを永続化する方法はありますか？
はい。Deep Freezeは、まさにこの目的のためにThawSpacesとThawed partitionsを提供します。
ThawSpacesは、システムが凍結されていても書き込み可能な仮想パーティションです。ThawSpaceに保存されたデータは再起動後も保持されます。ユーザー文書、AV定義、または再起動後も保持する必要があるアプリケーションデータなどに便利です。
Thawed Partitionsは、Deep Freezeが無視するドライブ全体です。マシンにThawedとして設定されたD:ドライブがある場合、そこに保存されたものは凍結状態に関係なく永続化されます。
ただし、これは重要ですが、Windowsアップデートを永続化するためにThawSpacesまたはThawed partitionsを使用することはできません。Windowsシステムファイルは凍結されたシステムパーティションにあります。アップデートはそれらのファイルを変更する必要があり、システムパーティション自体の解凍が必要です。
ThawSpacesはユーザーデータおよび特定のアプリケーションデータ用です。システムアップデートには適切な解凍期間が必要です。
よくある質問
Windowsアップデートは完全に自動的にインストールできますか？
はい。Faronics Cloud Deep FreezeでWindows Updateタスクを設定し、オフアワーに実行するように設定し、「Windows Updateが完了したとき」を選択してください。Deep Freezeは凍結中にアップデートをダウンロードし、スケジュールされた時間に自動的に解凍し、アップデートをインストールし、必要な再起動を処理し、完了したら再凍結します。手動介入は不要です。
メンテナンスウィンドウはどのくらいの頻度でスケジュールすべきですか？
環境によります。ほとんどの組織では、Windows Updateタスクを毎週スケジュールしており、パッチチューズデー（毎月第2火曜日）に合わせて、複数回の再起動が必要なものをキャッチするために追加で1〜2回実行します。使用頻度が高い、またはセキュリティが重要な環境では、週に2回メンテナンスを実行することを検討してください。リスクの低い環境では、2週間に1回で十分かもしれません。
ユーザーは自分でソフトウェアをアップデートできますか？
デフォルトではいいえ、そしてそれは意図的です。凍結中にユーザーがインストールしたソフトウェアは、再起動時に消えます。ユーザーが永続的なソフトウェアをインストールできるようにしたい場合は、解凍アクセスを与える必要がありますが、これは保護の目的を損ないます。より良いプラクティス：ユーザーに通常のITチャネルを通じてソフトウェアをリクエストさせ、メンテナンスウィンドウ中に中央で展開してください。
マシンがメンテナンスウィンドウを逃した場合どうなりますか？
スケジュールされたメンテナンス中にマシンが電源オフになっている場合、アップデートは実行されません。オプション：Wake-on-LANを有効にして、Deep Freezeがマシンを起動できるようにするか、フォールバックとして日中の「キャッチアップ」ウィンドウをスケジュールします。Faronics Cloud Deep Freezeはコンソールでメンテナンスタスクのステータスを表示するため、ウィンドウを逃したマシンを特定できます。
異なるアップデートスケジュールが必要なマシンをどう処理しますか？
複数のポリシーを作成します。Deep Freezeでは、異なるマシングループに対して異なる構成を定義できます。コンピュータラボは水曜日に毎週アップデートするかもしれませんが、図書館のパブリックPCは毎晩アップデートします。コンソールでグループを設定し、それぞれに適切なポリシーを割り当ててください。
WSUSについてはどうですか？Deep Freezeはそれと連携しますか？
はい。Deep Freezeを、Microsoftから直接ではなく、WSUSサーバーからアップデートを取得するように構成できます。利点は制御です。WSUSを使用すると、特定のアップデートを承認したり、展開前にテストしたり、どのアップデートがどのマシンに到達するかを管理したりできます。Deep Freezeはメンテナンスウィンドウ中にWSUSで承認されたすべてのアップデートをインストールします。
システムが凍結されている間にDeep Freeze自体をアップデートできますか？
いいえ。Deep Freezeのアップデートには、システムが解凍されている必要があります。コンソールからメンテナンスウィンドウ中にDeep Freezeアップデートをプッシュしたり、通常のメンテナンスサイクルの一部としてスケジュールしたりできます。
結論：アップデートとDeep Freezeは連携する
Deep Freezeがアップデートを妨げるという懸念は、私たちが耳にする最も一般的な反論の1つであり、最も簡単に解決できるものです。
はい、Deep Freezeはデフォルトで変更を消去します。それがすべてです。しかし、必要なときに永続的な変更を加えるための制御されたウィンドウも提供します。アップデートは凍結中にダウンロードされます。マシンはスケジュールされた時間に自動的に解凍されます。アップデートがインストールされます。マシンはアップデートされたベースラインで再凍結されます。
結果は？再起動で復元するというセキュリティと一貫性のメリットを得ながら、完全にパッチが適用され、最新の状態に保たれたシステムを維持できます。選択する必要はありません。
メンテナンスウィンドウを適切に設定し、組み込みの自動化機能を使用すれば、アップデートは問題なくなります。私たちは、数千台の凍結されたマシンで完全に自動化されたパッチ適用を実行している組織を持っています。うまくいきます。
それでも、これがあなたの環境でどのように機能するか確信が持てない場合は、トライアルを入手してテストしてください。メンテナンスウィンドウを設定し、いくつかのアップデートを実行し、プロセスが実際にどのように機能するかを確認してください。それはどんなドキュメントよりも価値があります。
実際に見てみませんか？
Faronics Cloud Deep Freezeを30日間無料でお試しください。メンテナンスウィンドウを設定し、いくつかのアップデートを実行して、そのシームレスさを体験してください。
