SCCM https（SSL）環境でWSUSからのアップデートがクライアントに配信されない

「System Center 2012 R2 Configuration Manager 評価ガイド – ソフトウェア更新プログラム展開編」に掲載されいない部分をピックアップしている。https展開をベースにしていたための設定漏れのようだ。無償で公開されている手順書には感謝すると同時に、掲載されている手順が中途半端で悩まされることも。

やりたいこと

SCCMのWSUSからドメイン上のWindows 8.1クライアント「vWIN81A」に対しWindows Updateを配信する。

症状

vWIN81Aに対しWindows Updateが適用されない。

原因と対応

IISのWSUSサイトでSSL証明書をバインドしていなかったため、クライアントに対しアップデートが適用されなかった。

前提

配布ポイントを作成し展開済
WSUSのサーバ指定はグループポリシーで設定済
W-標準PCというドメイングループを作成し、そのグループにvWIN81Aというクライアントを帰属させる。

ADでグループポリシーを開き、「W-標準PC-WSUS」というグループポリシーオブジェクトを作成し、これにW-標準PCを帰属させる。


グループポリシーオブジェクト「W-標準PC-WSUS」に対しグループポリシーでWSUSのアドレスを指定する


参考にしたところ

クライアント用PCにあてるグループポリシーを作ってみました – おうま
http://pkcblogs.expressweb.jp/?p=320

できた

なお、SCCMによる手動展開です。ユーザが手動で適用するか期日が来ると適用されるようです。

SCCMから配信された更新をソフトウェアセンターで手動適用したところ、適用されました。


この後クライアントを再起動しました。

正常に適用されました。

SCCMからみても適用されたのがわかります。


なお、コントロールパネルのWindows Updateから更新すると失敗する。
会社のWSUS（非SCCM環境）ではコントロールパネルからのアップデートも可能なので、てっきりコントロールパネルからWindows Updateを実行するのかと思ってました。
また「System Center 2012 R2 Configuration Manager 評価ガイド – ソフトウェア更新プログラム展開編」によると、クライアントのグループポリシーを確認するとWSUSの場所が自動設定されているはずだから確認せよとなっていますが、そうはならないようです。WSUSの場所が自動設定されないためにSCCM（WSUS）から展開されているWindows Updateが適用されないのでは？と疑ってしまった。まったく見当違いだったのだが迷走した大きな要因だった。
（手順書）

（クライアントのローカルグループポリシー）

まとめ

• https（SSL）でアップデートを配信する場合は、IISマネージャでWSUSサイトにSSL証明書をバインドする手順が必要となる。
• クライアントのグループポリシーを確認するとWSUSの場所が自動設定されることはない。