Blog -マイクロソフトに一喜一憂する日常-

これまで４回にわたって「WSUS サーバー ⇔ クライアント」の間で発生するトラブルとその対処方法を書いてきました。できる限り分かりやすいように書いてこようと努力したんですが、改めて読み返してみると相当の乱文ですね。。。

というわけで、Part.5 （最終回） として今までの内容を振り返って箇条書きしてみます。

【確認すべき場所】

WSUS 関連固有の問題を調査する場合に確認すべき箇所は３点。

• WSUS 管理コンソール
• クライアントの %Windir%\WindowsUpdate.log
• クライアントの %Windir%\SoftwareDistribution\ReportEvents.log

Windows ジェネラルな問題の場合は、上記３点に出てこない場合もあります。そのため、Event Log も確認しておきましょう。

【よくある解決案】

とりあえず困ったら、ここに書いてる１０か条をひとつずつ試してみると良い結果が生まれるかもしれません。
# 詳細については各回（Part.1, Part.2, Part.3, Part.4）をご参照ください。

1. クライアントの設定（サーバーアドレスやポーリングスケジュールなど）が正しいか確認する。
   グループ ポリシーまたはレジストリで設定している項目です。
   　
2. Automatic Updates (wuauserv) と Background Intelligent Transfer Service (BITS) の２つのサービスが起動できることを確認する。
   通常停止していることはないと思いますが、Windows Management Instrumentation (winmgmt) サービスなどもスキャンプロセスで必要です。
   稀にサービスそのものが corruption を起こしているケースがありますので、Part.3 で紹介したコマンドとかを使ってサービスの解除と再登録をしてあげるのもよいでしょう。
   　
3. 上記サービス へのアクセス権が不適切に設定されていないかを確認する。
   グループポリシーでサービスの起動状態を構成している場合は、意図せず必要な権限を剥奪してしまっていることがあります。（特に多いのが、Automatic Updates サービスへの Authenticated Users - Modify の権限が失われているケース）
   グループ ポリシーでサービスのアクセス権も設定してあげるか、SC sdset コマンド (参照：KB555336) を使って権限を付与してあげてください。
   　
4. 念のため、最新版の Windows Update Agent 2.0 をクライアント側に手作業で導入してみる。
   Web (http://go.microsoft.com/fwlink/?LinkId=43264) から最新版をダウンロードし、 WindowsUpdateAgent20-x86.exe /wuforce とオプションをつけて再インストールします。
   　
5. IIS の anonymous access (virtual Self Update ディレクトリ) が許可されていることを確認する。
   許可されていないと、構成によっては適切にスキャンできなくなります。
   　
6. HTTP (80/tcp) または HTTPS(443/tcp)で通信できていることを確認する。
   通信の方向は、「WSUS クライアント => WSUS サーバー」の一方向でOKです。
   なお、WSUS はユーザーレベルではなくコンピュータレベルでアクセスを試みるため、プロキシ構成は proxycfg を使って設定してあげる必要があります。
   　
7. 0x8024400a のエラーコードが表示される場合は、Hotfix (KB898708)を適用する。
   Hotfix 適用以外の代替策がないわけではありませんが、純粋なIISの仕様ですのでおとなしく適用しましょう。
   　
8. ダウンロードキャッシュを消去して再実行する。
   パッチは、インストール前に %windir%\softwaredistribution にキャッシュとして保存されます。このキャッシュが破損しているとうまく進まなくなってしまうケースがあります。
   　
9. クライアントに導入されているアプリケーションが悪さをしていないか疑う。
   クライアントファイアウォールなどの製品が、更新の実行ファイルである wuauclt.exe や実行モジュール (update.exe) の起動を拒否していないか確認してみましょう。
   　
10. どのような設定変更を行ったときでも、変更の都度 wuauclt /resetauthorization /detectnow と入力して進展を確認する。

---
クライアント／サーバー間に対象を絞った上でいろいろ書きましたが、それでもすべてを書ききれたわけではありません。
ここまで書いておいて何ですが、もっと広く深くトラブル対応したい場合は WSUS Wiki を参照されることをお奨めします。

【WSUS Wiki】
http://www.wsuswiki.com

もし需要がありそうであれば、クライアント／サーバー間以外の部分を焦点としたトラブル対応リストなんかもいずれ書いてみようと思います。