「WSUSが廃止される」と聞いて、慌てて調べている人は多いと思います。社内のWindows Updateは長年WSUSで配ってきた。無料で、インターネットに出られない端末にも届き、どのグループにいつ当てるかも決められた。それが無くなるなら、何に乗り換えればいいのか。
先に結論を書きます（2026年10月時点）。
- WSUSは、今すぐ使えなくなるわけではありません。 Microsoftが発表したのは「新しい機能をもう開発しない」ことです。Windows Server 2025にもWSUSの役割は入っていて、今のところ削除の予定は無いとされています
- ただし、将来のWindows Serverから消える可能性がある段階に入りました。いつ消えるかは決まっていません
- 移行先として推奨されているのは、クライアントはIntuneとWindows Autopatch、サーバーはAzure Update Managerです。どれもクラウドから管理する仕組みで、WSUSと違って追加のライセンスや費用がかかる場合があります
この記事でいちばん伝えたいのは、「WSUSの代わりはどれか」を1つ選ぼうとすると迷うということです。WSUSは1つの製品で、性質の違う仕事をいくつもまとめて引き受けていました。移行先を選ぶ前に、その仕事を分けて、自分の組織が本当に必要としているのはどれかを確かめます。
「廃止」と発表されたのは何か
発端は、MicrosoftのWindows IT Proブログの記事「Windows Server Update Services (WSUS) deprecation」です（2024年9月25日に、意味をはっきりさせる追記がされています）。日本語では「廃止」と訳されることが多いのですが、英語は deprecation で、書かれている中身は次のとおりです。
- WSUSには新しい機能を作らない。機能の要望も受け付けない
- 今ある機能は維持し、WSUS経由での更新プログラムの公開も続ける。すでに公開されたコンテンツもサポートする
- 非推奨の機能は、正式に削除されるまで動作し、サポートも続く。Windows Server 2025を含む販売中のWindows ServerからWSUSを削除する予定は、今のところ無い
- Configuration Managerの機能やサポートには影響しない
Microsoft Learnの「Windows Server で削除または開発されなくなった機能」でも、WSUSは「開発が中止された機能」の表に入っていて、「アクティブに開発されなくなりました。既存のすべての機能とコンテンツは、引き続きデプロイで使用できます」と書かれています。
こちらの動画の2分26秒あたりから（無料）、このブログ記事を画面に出して1文ずつ読んでいます。「今すぐ使えなくなる話ではない」と「もう未来は変わらない」の両方が、原文のどこに書いてあるかを確かめられます。
同じ「廃止」でも、期日が来たら止まるものとは性質が違います。たとえばExchange OnlineのEWSは、日付を区切って遮断が進んでいます（EWS廃止の記事）。WSUSの発表には、止まる日付がありません。
いつまで使えるのか
決まっているのは「Windows Server 2025にはWSUSが入っている」ことだけです。その次のWindows Serverに入るかどうかは発表されていません。同じ動画の5分36秒あたり（無料）で話しているとおり、次の版で消えるかもしれないし、もっと先かもしれない。一度消えた機能が戻ってくることは、まずありません。
計画を立てるうえでの上限の目安は、WSUSを動かしているOSのサポート期限です。Windows Server 2025のライフサイクルでは、延長サポートの終了は2034年11月です。今すぐ慌てる必要はありませんが、サーバーを次に入れ替えるときにはWSUSが無い前提で考えておく、くらいの距離感が現実的です。
もう1つ、見落とされやすい点があります。WSUSは既定でWindows内部データベース（WID）にデータを置きますが、WIDも同じページで「今後のリリースで Windows から削除される予定」とされています。 WSUSを延命する前提で設計し直すなら、データベースの置き場所も一緒に確かめておいてください。
誤解：WSUSで「当てるパッチを選んでいる」
移行の話に入る前に、よくある誤解を1つ片づけておきます。「うちはWSUSで、必要なパッチだけを選んで当てている。だから問題が起きない」という考え方です。
これは今のWindowsではできません。こちらの動画の16分23秒あたりから（無料）で、図を使って昔と今の違いを説明しています。
- Windows 8.1やWindows Server 2012 R2までは、セキュリティだけを直す小さな更新プログラムが個別に出ていた。当てる・当てないを1つずつ選べたので、組織ごとに「まだら模様のWindows」ができていた
- Windows 10とWindows Server 2016以降、セキュリティ更新は累積的な更新プログラム（ロールアップ）だけで配られる。どの月のものを当てても、それまでの修正が全部入る
つまり、管理者が選べるのは中身ではなく、いつ当てるかだけです（同じ動画の19分57秒あたり）。「WSUSでパッチを選別しているから手放せない」は、今の更新の仕組みでは移行をためらう理由になりません。
更新の種類も確認しておきます。Microsoft Learnの「Windows クライアントのリリース サイクルを更新する」によると、毎月のセキュリティ更新プログラムは毎月第2火曜日（米国太平洋時間の午前10時）、その内容を先に検証するためのオプションのプレビュー更新は毎月第4週に出ます。緊急の修正はこの周期の外で出ることがあります。
WSUSがやっていた仕事を4つに分ける
ここからが本題です。WSUSを使っている組織は、WSUSに次の4つの仕事を任せています。
| 仕事 | WSUSでのやり方 | 移行先で担うもの |
|---|---|---|
| ① いつ、どの端末に当てるか | コンピューターグループごとに承認する | クライアント: Windows Update クライアント ポリシー（Intune・グループ ポリシー）、Windows Autopatch／サーバー: Azure Update Manager |
| ② インターネットに出られない端末へ届ける | 社内のWSUSサーバーだけと通信させる。多段構成も組める | クラウドの移行先には、ここを丸ごと代わるものが無い |
| ③ 回線を詰まらせない | 拠点ごとにWSUSを置く | 配信の最適化（ピアツーピア）、Microsoft Connected Cache |
| ④ 当たったかどうかを一覧で見る | WSUSのレポート | Intune管理センター、Azure Update Managerのレポート |
この表を自分の組織で埋めると、移行の難しさがどこにあるのかが見えます。①③④には、クラウド側に代わりがあります。難しいのは②だけです。
こちらの動画の9分47秒あたりから（メンバー限定）で、WSUSが何をどこまでカバーしていたかを、拠点ごとのWSUSや多段構成の図で整理しています。「改めて見るとWSUSはよくできている」と認めたうえで、なぜそれでも非推奨になったのかを話している回です。図で見たほうが、自分の組織の構成と重ねやすいところです。
① いつ当てるか：更新リングを作る
どの道具を使う場合でも、適用のタイミングは更新リングで考えます。端末をいくつかのグループに分け、新しい更新が出てから当てるまでの遅れを、グループごとにずらす方法です。
- リング0：情報システム部門やパワーユーザーなど少数。公開から2日遅れ
- リング1：もう少し多くの台数。数日遅れ
- リング2：残り全部。30日遅れ
先に当てた少数で問題が見つかれば、残りへの展開を止められます。こちらの動画の25分29秒あたりから（無料）で、3つのリングに何日遅れで当てていくかを図で説明しています。
クライアント：Windows Update クライアント ポリシー
クライアントのリングは、Windows自体が持っている機能で作れます。以前は「Windows Update for Business」と呼ばれていたもので、今は名前がWindows Update クライアント ポリシーに変わりました。名前のせいで別の製品があるように聞こえますが、Windowsの中にある「更新を何日遅らせるか」などの設定のことです。
Microsoft Learnの「Windows Update クライアント ポリシー」によると、使えるのは Pro・Education・Enterprise のエディションで、Homeは対象外です。設定はグループ ポリシーでも、IntuneなどのMDMでも配れます。
つまり、Active Directoryでグループ ポリシーを配っている組織なら、Intuneが無くてもリングは作れます。 端末が直接インターネットのWindows Updateへ取りに行ってよいなら、WSUSを外してこの形にするのが、いちばん追加費用のかからない移行です。
こちらの動画の4分3秒あたりから（メンバー限定）で、この機能が「管理ツール」ではなくWindowsに備わった機能だという点と、グループ ポリシーで配る構成・Intuneから配る構成の違いを図で比べています。6分48秒あたりからは、どちらが推奨構成なのか、サーバーはIntuneで管理できないという注意まで続きます。自分の組織がどちらの図に近いかを確かめてから進むと、選択を誤りません。
PCがIntuneの管理下に入る経路そのものが分からない場合は、「職場または学校用に設定」の記事に、初期設定の段階で何が決まるのかをまとめています。
クライアント：Windows Autopatch
Intuneを使っているなら、リングの運用そのものを任せる選択肢があります。Windows Autopatchです。どの端末をどのリングに入れるか、展開が失敗したら止めるか、といった判断をサービス側が引き受けます。Windowsの更新だけでなく、Microsoft 365アプリ、Edge、Teamsの更新も対象になります。
ライセンスは、Microsoft Learnの「前提条件」によると、Microsoft 365 Business Premium、Windows Education A3／A5、Windows Enterprise E3／E5（Microsoft 365 F3・E3・E5に含まれるものを含む）で使えます。これらを持っている組織は、追加で買わなくても使える権利がすでにあります。概要はMicrosoft Learnの「Windows Autopatch とは?」にあります。
こちらの動画の15分29秒あたりから（メンバー限定）で、「Windows Updateはもともと自動なのに、何が自動なのか」という疑問から入り、管理者がIntuneでやっていたリングの運用のどこをMicrosoftに任せることになるのかを図で説明しています。対象になるライセンスが広がったことと、Intune管理センターでグループごとの展開状況が見えるダッシュボードは、別の回の1分43秒あたりから（メンバー限定）と4分38秒あたりの画面で見られます。「うちはEducationだから」「Business Premiumだから」対象外だと思って調べるのをやめた人は、ここを確かめてください。
サーバー：Azure Update Manager
Intuneはサーバーを管理できません。サーバーの推奨先はAzure Update Managerです。WindowsだけでなくLinuxの更新も同じ画面で管理できます（Microsoft Learnの「Azure Update Manager の概要」）。
ここで費用の話が出てきます。Azure Update Manager FAQによると、Azure上のVMには料金がかからず、Azureの外にあるサーバーをAzure Arcでつないで管理する場合は、1台ごとに月額（日割り）で課金されます。 ただし、Arc経由の拡張セキュリティ更新プログラム（ESU）を有効にしているマシンや、Microsoft Defender for Servers プラン2を有効にしたサブスクリプションのマシンは課金されません。金額は為替で変わるので、料金ページで確かめてください。
社内に置いたサーバーを何十台、何百台と抱えている組織では、無料だったWSUSが毎月の費用に変わることになります。こちらの動画の18分57秒あたりから（メンバー限定）で、Azure上とAzure外の違い、プロキシ越しの構成がまだ扱いにくい点、仕組みの上ではWSUSとの併用もできる点までを話しています。費用を上に説明するときの材料になる部分です。
② インターネットに出られない端末：ここだけは代わりが無い
①③④にはクラウド側の答えがあります。②はありません。
Windows Update クライアント ポリシーもAutopatchもAzure Update Managerも、端末やサーバーがインターネットのWindows Update、またはクラウドの管理サービスに届くことを前提にしています。WSUSのように「社内のサーバーとだけ話せば更新が終わる」構成は、クラウドの移行先では組めません。
選択肢は次の3つです。
- ネットワークの設計を変えて、クラウドに届くようにする。 Microsoftが求めているのはこの方向です
- Configuration Managerを使う。 社内で配布ポイントを持てるので、インターネットに直接出ない構成を作れます。Microsoftは、WSUSの非推奨がConfiguration Managerには影響しないとしています（こちらの動画の7分50秒あたり・無料）。ただし有償で、裏側ではWSUSの仕組みを使っています
- 当面はWSUSを使い続け、OSの入れ替え時期までに1か2へ移る計画を立てる
こちらの動画の21分52秒あたりから（メンバー限定）で、「無料で、追加ライセンスが要らず、インターネットに出ない端末も管理できる。素直な代わりが無い」と正直に認めたうえで、今後どう構えるかの見立てを話しています。28分10秒あたりからは、ライセンス費用をかけたくない組織向けに、PowerShellのモジュールやAnsibleでWindows Updateを一斉に実行させるという別の道にも触れています。どれが正解かを言い切れない話なので、記事では選択肢を並べるにとどめ、判断の材料は動画に置いています。
③ 回線を詰まらせない：配信の最適化とConnected Cache
WSUSを外すと、全端末がそれぞれインターネットへ更新を取りに行くのではないか、という心配があります。ここはWindowsの標準機能で、ある程度カバーされています。
Microsoft Learnの「配信の最適化とは」によると、Windowsクライアント（Enterprise・Pro・Education）では、同じネットワーク（NAT）の中の端末どうしで更新を分け合うピアツーピア共有が既定で有効です。隣のPCがすでに取ってきた更新を、インターネットに出ずに受け取れます。
ただし、Windows Serverでは既定の動作が違います。 同じページによると、配信の最適化を使えるのはWindows Server 2019以降で、既定ではピアツーピアを使わない設定（DownloadMode 0）です。サーバーも隣から分け合ってくれるとは考えないでください。仕組みの説明はこちらの動画の27分31秒あたりから（無料）にあります。
拠点の回線がそれでも足りないなら、Microsoft Connected Cacheを置く手があります。社内のWindowsやLinuxのマシンに入れるキャッシュで、配信の最適化と組み合わせて、一度取ってきた更新やIntuneのアプリを社内から配ります。Microsoft Learnの「エンタープライズおよび教育機関向け Microsoft 接続キャッシュの概要」と「よく寄せられる質問」によると、Windows E3・E5・F3とEducation A3・A5で使え、Azureのリソースを作るのに従量課金のサブスクリプションは要るものの、料金はかかりません。
こちらの動画の0分41秒あたりから（メンバー限定）で、Configuration Managerの配布ポイントを置かずにIntune中心へ移ると全端末が直接取りに行って回線が苦しくなる、という問題と、Connected Cacheがその穴をどう埋めるのかを構成図で説明しています。3分26秒あたりでは、HTTPSのコンテンツまでキャッシュさせるには証明書の配置が要る、という構築時の注意にも触れています。
ただし、Connected Cacheは②の代わりにはなりません。 キャッシュ自身はインターネットとAzureにつながる必要があり、端末側もクラウドの配信の最適化サービスに届く必要があります。回線を節約する道具であって、閉じたネットワークの中で更新を完結させる道具ではありません。
移行先を決める順番
最後に、判断の順番をまとめます。
- WSUSで何を管理しているかを数える。 クライアントとサーバーに分け、台数を出す
- インターネットに出られない端末がどれだけあるかを確かめる。 ここが移行の難しさのほぼすべて
- クライアントは、出られる端末から移す。 グループ ポリシーかIntuneでWindows Update クライアント ポリシーのリングを作る。対象のライセンスがあり、Intuneを使っているならAutopatchも検討する
- サーバーは、Azure上かAzureの外かで費用が変わる。 Azureの外のサーバーは、Arc経由の課金と、ESUやDefender for Servers プラン2による免除の条件を確かめる
- 出られない端末は、ネットワークを変えるか、Configuration Managerか、WSUSを使える期間で計画するかを決める
- WSUSを延命するなら、WIDも削除予定であることを忘れない
- WSUSの「廃止」は開発の終了で、Windows Server 2025では使える。削除の時期は決まっていない
- 今のWindowsではパッチの中身は選べない。 管理者が決めるのはタイミングだけ
- WSUSの仕事は①タイミング、②閉じたネットワークへの配信、③回線の節約、④レポートの4つ。移行先は仕事ごとに違う
- クラウドの移行先で代わりが無いのは②だけ。ここを先に洗い出す
- サーバーはAzureの外にあると課金される。クライアントは持っているライセンスでAutopatchやConnected Cacheが使えることが多い
