マイクロソフトは近々セットアップ中にWindowsの品質アップデートを配信する予定

Microsoftは、企業におけるWindows 11デバイスのセットアップ方法を変更します。2025年9月より、対象となる企業および教育機関のお客様は、初回ログイン前のWindows OOBE（Out of Box Experience）中に最新の品質更新プログラムを入手できます。

同社によれば、この措置は最初からセキュリティと安定性を向上させ、導入後に必要なアップデートの回数を減らすことを目的としているという。

仕組み

OOBEの最終ページでは、デバイスはWindows Updateをチェックし、利用可能な品質アップデートをインストールします。つまり、ユーザーが初めてサインインした時点で、システムには最新のバグ修正と改善が既に適用されているはずです。

「組織のセキュリティとコンプライアンスの要件との整合性を確保しながら、プロビジョニング中に品質更新の動作をシームレスに制御できます」と Microsoft は公式発表で述べています。

この新しいデフォルト設定は、管理されていないコンシューマーデバイスには影響しません。Windows 11 バージョン 22H2 以降を実行し、Intune または Autopilot 登録ステータス ページ (ESP) プロファイルを備えたサポート対象のモバイル デバイス管理 (MDM) ソリューションを通じて管理されている、Microsoft Entra 参加またはハイブリッド参加の PC にのみ適用されます。

IT 管理者は、Intune 管理センターから [デバイス] | [登録] | [登録ステータス ページ] に移動し、新しい設定 [Windows 品質更新プログラムをインストールする (デバイスが再起動する場合があります)] を調整することでプロセスを管理できます。

新しい ESP プロファイルでは、オプションはデフォルトでオンになりますが、既存のプロファイルは変更されるまで「いいえ」に設定されたままになります。

トレードオフ: セキュリティ強化のためのセットアップ時間の増加

新しいシステムは管理者の柔軟性を高めますが、条件も伴います。デバイスにESPプロファイルが割り当てられていない場合、アップデートは自動的にインストールされ、無効化することはできません。つまり、Autopilotのデバイス準備ポリシーを利用している組織では、アップデートがデフォルトで適用されている可能性があります。

一時停止と延期のルールも、更新リングで適切に設定され、ESPプロファイルと同じグループに割り当てられている場合に、適用されます。このルールが適切に設定されていない場合、設定が常に一貫して適用されない可能性があるとMicrosoftは警告しています。

この変更により、ITチームにとっては、導入直後のデバイスへのパッチ適用の負担が軽減され、初日からシステムのコンプライアンスとセキュリティが確保されます。ユーザーはセットアップ時間が長くなることに気付くかもしれません。一部の報告によると、OOBEがデスクトップに到達するまでに最大20分かかる可能性があるとのことです。

業界観測筋は、この機能はセキュリティを強化する一方で、企業の管理者の間で長年懸念されてきた、更新プログラムの配信方法に関するマイクロソフトの管理も強化すると指摘している。

Black Hat 2025 で、マイクロソフトは、セキュリティ チームがどのようにリアルタイムで作業してハッカーを出し抜き、攻撃がエスカレートする前に阻止するかを明らかにしました。