ソフトウェア展開（デプロイ）ツール：SCCM vs Intune vs GPO vs その他

エンドポイントにソフトウェアやアップデートを配信するためのソフトウェア配布ツールは数多くありますが、選択肢が多いからといって、必ずしも混乱する必要はありません。1つのソフトウェア配布ツールですべてを行うようにすることもできますし、ニーズに応じて複数の自動化されたソフトウェア配布ツールを選ぶこともできます。どのソフトウェア配布ツールも、すべての企業に対して「ワンサイズですべてに対応する」解決策になるわけではありません。そこでこのクイックガイドでは、人気の高いソフトウェア配布ツールをいくつか紹介し、ソフトウェアを配布する際にどの方法を使うべきか、そして 3rd パッチの適用方法について、当社のおすすめをお伝えします。

次に、この論文で表1に示す内容について概説します。

表 1：ソフトウェア配布ツールの比較。

ソフトウェア配布チェックリスト

すでにご自身のソフトウェア配布ツールに満足しているなら、それは素晴らしいことです。しかし、ソフトウェアを配布する手段がない、または納得できていないものがある場合は、このガイドをぜひご覧ください。まずは、すでにお持ちかもしれないオンプレミスおよびクラウドベースのソフトウェア配布ツールを調べるところから始めましょう。

たとえば MEMCM、LANDesk、KACE、SpiceWorks、Chef、BMC などの大規模なオンプレミス管理ソフトウェア配布ツール。

MEMCM、LANDesk、KACE、SpiceWorks、Chef、BMC などは、大規模なネットワークに組み込まれていることがよくあります。一般的に、これらのシステムにはシステム管理だけを行う専任のエンジニアがおり、これらのシステムを使ってすべてのコンピューターにソフトウェアを配布します。

このような組織体制自体は問題ありませんが、MEMCM（または同様のシステム）を運用しているグループは、Windows 10 のセキュリティ、管理、または自動化に携わる人とは異なる場合があります。そのため、PolicyPak Remote Work Delivery Manager を介して一部のソフトウェア インストールを代替的に実行すると、役立つことがあるかもしれません。

また、MEMCM に追加のソフトウェアを導入して、rd パーティ（第三者）の Microsoft 以外の更新をより簡単に管理できるようにすることもよくあります。図 1 では、MEMCM がrd パーティの有料カタログに接続できる箇所が分かります。

図 1：サードパーティの有料カタログを MEMCM に接続する方法。

このようなものをすでに購入して MEMCM に統合済みでない場合は、本書の後半で紹介しているソフトウェア配布の代替案をご確認ください。すでに PolicyPak のお客様であれば、PolicyPak Remote Work Delivery Manager は継続的なソフトウェア インストール要件にちょうど必要なものかもしれません。

Microsoft Intune、VMware Workspace One、Citrix Endpoint Manager のような大規模なクラウド管理システム、またはソフトウェアを展開する MSP 向けの任意のシステム

クラウド生まれのこうした大規模なシステムは、大規模なオンプレミス システムがやり切れないところを引き継ごうとしています。実際、オンプレミスの MEMCM とクラウドの Intune を連携させてソフトウェアを展開できるようになりました。

とはいえ、Intune のようなシステムにもたくさんの制限があります。まず、アプリケーションの .MSI を簡単に展開して、その後自動的に最新状態に保つ手段がありません。その代わり、更新やパッチ適用のたびに次のバージョンを投入する必要があります。

しかし、さらに重要な点として、Intune には、ソフトウェアのインストールを行う .EXE アプリケーション（Win32 アプリケーションとも呼ばれます）を直接展開する方法がありません。その代わり、まず Intune Win32 App Packaging & Prep Tool を使って、Intune が扱える形に包み込む必要があります（ こちら で見つかります）。この手作業の手順により、.EXE は図 2 のように .INTUNEWIN ファイルに包み込まれます。

図 2：Intune Win32 App Packaging ツールを使用して Win32/.EXE アプリを再パッケージ化する。

その後に初めて、ソフトウェアが準備され、Intune で展開（デプロイ）できる状態になります。ソフトウェアをデプロイしたり、既存のソフトウェアにパッチをデプロイしたり（またはバージョン番号を増やしたり）するたびに、次の手順をもう一度実行する必要があります：

• アプリケーションの新しいバージョンをダウンロードする
• アプリケーションを .INTUNEWIN ファイルにパッケージ化する
• パッケージを Intune にアップロードする
• Windows 10 の各マシンにアプリケーションを展開（デプロイ）する

この方法では、これらのマシンを最新のアプリケーションパッチで更新し続けるのが、かなり手間のかかる作業になることがあります。たとえば、Firefox の最新バージョンをデプロイしたい場合は、図3に示すように Intune にデプロイするために、上記で述べたすべての手順を実行する必要があります。

図3：再パッケージした .INTUNEWIN アプリのデプロイ（または再デプロイ）。

とはいえ、Intune のような MDM システムは結果に関するレポートがしっかりしています。したがって、重要ではあるが静的なパッケージを配布する場合は、Intune を使う価値があるかもしれません。ただし、PolicyPak Remote Work Delivery Manager 経由で、ソフトウェアのインストールや自動更新の一部を代替的に行う方が有益だと感じることもあるでしょう。

PDQ Deploy（PDQ の仲間より）

PDQ Deploy は、ソフトウェアをデプロイし、インストール結果をレポートできる優れたオンプレミス システムです。PDQ Deploy には Free と Enterprise の 2 つのバージョンがあります。Free ツールは非常に優秀で、多くの場合、MEMCM や LANDesk のような大規模なオンプレミス ツールを置き換えるのに十分です。さらに、無料の Free 版と費用対効果の高い有料の Enterprise 版の両方が用意されているため、価格も大幅に安くなります。

2つのバージョンのさまざまな機能の一覧は こちらです。

オンプレミスの大規模なソフトウェア展開ツールがない場合、PolicyPak では次の主要タスクに PDQ deploy の使用をおすすめします：

• PolicyPak クライアント側拡張の初回インストールと追加アップデート
• Office、Java などの複雑なパッケージ、または「ネストされた（nested）」インストールの展開
• 成功または失敗の確実なレポートが必要なときはいつでも
• 時間指定または予約されたリリースを行いたいときはいつでも

PDQは、マシンがドメインに参加しており、パッケージの置き場所がSMB（標準のWindows共有）にある場合に最も効果的です。代替として、対象マシンのローカルパスワードを把握している場合にもPDQを利用できます。VPN経由でソフトウェア配布を行うことも可能ですが、エンドポイントがSMB経由でソフトウェアをダウンロードするため、結果的にVPNの帯域幅を使用することになります。

PQD Deploy Enterprise のバージョンには、既存のソフトウェアパッケージ向けの事前設定済みのアドバイスが付属しています。これにより、一部のより難しいパッケージでも素早い展開と、容易なメンテナンスが可能になります。ベンダーのインストールパッケージは、期待したとおりに簡単にインストールして展開できない場合もありますが、PDQ Deploy Enterprise のバージョンなら難しいパッケージでも素早く導入できます。図 4 で PDQ Package Library の例を確認できます。

図 4：PDQ Deploy Enterprise のカタログを確認する。

PolicyPakでは、オンプレミスおよびVPN接続されたマシンにソフトウェアを配布するためだけに、MEMCMのような大規模なソフトウェア配布ツールを導入したくない組織に対して、PDQ Deployを日常的におすすめしています。PDQ Deployは非常に軽量で、管理者ごとの料金体系です。そして、何千人もの満足している管理者がこのツールを問題なく使い続けています。

PolicyPak と PDQ は、多くの分野でとても相性よく連携します。「better together」動画をご覧ください こちらです。

PolicyPak によるファイルおよびソフトウェアの配布（スクリプト実行付き）

PolicyPak の“超能力”は、すでにお使いのオンプレミスまたはクラウド環境に新しい機能をもたらします。このセクションでは、PolicyPak がソフトウェア配布のさらなる自動化を実現し、Windows 10 の端末を最新の状態に保つ方法を説明します。これらの PolicyPak 機能は、既にお持ちのものと併用することも、単独で利用することもできます。

PolicyPak リモートワーク配布マネージャー

PolicyPak リモートワーク配布マネージャーの目的は、オンプレミスまたはWeb共有からファイルをコピーし、そのファイルがダウンロードされた後にソフトウェアをインストールすることです。PolicyPak リモートワーク配布マネージャーは、PolicyPak のすべてのエディション（Group Policy Edition、MDM Edition、Cloud Edition）に組み込まれています（図5参照）。ただし、PolicyPak リモートワーク配布マネージャーは、上記で挙げたツールとは異なる方法で動作し、別のワークロードを想定したものです。

図 5：グループ ポリシーと MDM 向けの PolicyPak リモートワーク デリバリ マネージャー。

図 6 のとおり、PolicyPak Remote Work Delivery Manager は、SMB（標準の Windows 共有）または Web ベースの共有（Amazon S3、Dropbox、Azure Blob Storage など）から、.MSI、.EXE などあらゆるファイルをコピーできます。

図 6：ファイルのインストール元として SMB または Web ベースの共有を使用してください。

PolicyPak Remote Work Delivery Manager の主なユースケースの 1 つは、インターネット経由でドメインに参加していないマシンに新しいソフトウェアを展開することです。これは在宅勤務やリモートワーク チームのニーズに対応するためであり、図 7 に示すように PolicyPak のお客様が PolicyPak Cloud と組み合わせて使用する場合に最適です。

図 7：PolicyPak Cloud と併用して使用される PolicyPak リモートワーク デリバリ マネージャー。

ユーザーがリモートで、PolicyPak Cloud Edition または PolicyPak MDM Edition を使用している場合（または PolicyPak Group Policy Edition でオンプレミス、あるいは VPN 経由で利用している場合でも）、ソフトウェアやその他のファイルは Windows 10 の（ほとんど魔法のような）Background Intelligent Transfer Service (BITS) プロトコルを使ってダウンロードされます。次の内容は BITS のドキュメント こちら。

Background Intelligent Transfer Service (BITS) は、プログラマーやシステム管理者が HTTP Web サーバーおよび SMB ファイル共有からファイルをダウンロードしたり、ファイルをアップロードしたりするために使用します。BITS は、転送にかかるコストとネットワーク使用量を考慮し、ユーザーのフォアグラウンド作業への影響をできるだけ小さくします。BITS はネットワークの中断にも対応し、いったん転送を一時停止して自動的に再開します。再起動後でも同様です。

PolicyPak が BITS を活用しているため、大きなダウンロードが途中で中断されても（デスクトップをシャットダウンする、ノートPCのふたを閉じる、オンプレミスから自宅のネットワークに切り替える等）、BITS は中断したところから引き継いで再開します。つまり、非常に大きいファイルを安心してダウンロードし、そのダウンロードが完全に完了してターゲットのマシンに反映された後に、そのファイルを使って作業を行えます。

PolicyPak Remote Work Delivery Manager は、オンプレミスの SMB 共有（イーサネット、Wi‑Fi、または VPN 経由）または Web 共有（Amazon S3、Dropbox、または Azure Blob storage）から、これらのファイルをダウンロードできます。PolicyPak Remote Work Delivery Manager はそのソース地点からダウンロードを開始し、通常は VPN 帯域幅の使用を回避します。したがって、VPN 接続を保証できない在宅勤務やその他のリモートワークのシナリオ、ならびにソフトウェアをダウンロードするために VPN 帯域幅を使いたくない場合に最適です。

PolicyPak Remote Work Delivery Manager は、あらゆる状況で MEMCM、Intune、または PDQ deploy のようなソフトウェアを必ず置き換えることを目的としているわけではありません。 ただし、ソフトウェアを配布して自動的に最新の状態を維持したい、という要件が控えめであれば、PolicyPak Remote Work Delivery Manager は SMB または Web ベースの共有を使うことで、多くの状況に対応できます。

たとえば、7Zip を初回にデプロイするには、開始に使用したいバージョンにソースを向けます。このケースでは、図 8 に示すように、7Zip バージョン 16 のインストーラーを 7z.msi にリネームしました。

図 8：PolicyPak Remote Work Delivery Manager ポリシーを使用して、7Zip の初回リリースをデプロイします。

その後、図 9 に示すとおり 7Zip 16 が想定どおりエンドポイントにインストールされます。

図 9：7Zip は PolicyPak Remote Work Delivery Manager ポリシーからインストールされます。SMB または Web ベースの共有からソフトウェアをダウンロードします。

次に、基盤となる共有で 7Zip 16 を 19 に更新してパッチを適用するには、基盤の 7z.msi を最新バージョン（17、18、19 など）に置き換えます。PolicyPak は自動的にソースへアクセスし、新しいバージョンがあることを確認して、更新されたパッチを取り込み、自動的に更新します。追加の時間は不要で、どのコンソールにも再デプロイする必要はありません。PolicyPak Remote Work Delivery Manager で実行した手順により、アップデートは今や不思議なほど自動で行われます。7z.msi のバージョン 16 を 19 に交換した後の最終結果は図 10 に示します。

図 10：PolicyPak Remote Work Delivery Manager は、再デプロイやユーザー操作なしでソフトウェアを自動的に更新します。

ファイルをコピーしてインストールのためのプロセスを実行することに加えて、PolicyPak Remote Work Delivery Manager は、本書内の他のソフトウェアが取り組もうとしていないいくつかの課題も解決します。たとえば、PolicyPak Remote Work Delivery Manager には、人気の Windows 10 ツールである Robocopy にとてもよく似た特別な機能があります。つまり、次のことを指定できるということです。コピー元とコピーするファイル、ディレクトリの深さ（再帰的なディレクトリを含む）、そして無数のフィルター（サイズ、日付、最終更新日時など）。先ほど挙げた他のツールは、これらに対応しようとしていません。

PolicyPak Remote Work Delivery Manager は、管理者がアーカイブファイル（.ZIP ファイル）を指定できるようにもしています。この .ZIP ファイルは、エンドユーザー向けに自動的にダウンロードされ、展開されます。ソースの .ZIP ファイルの内容が更新された場合、PolicyPak Remote Work Delivery Manager が宛先のファイルを自動的に最新の状態に保つため、追加のポリシーや操作は不要です。

PolicyPak Remote Work Delivery Manager は、PolicyPak のお客様がファイルやソフトウェアを一度だけ展開し、企業ネットワーク内外の Windows 10 マシンで常に最新の状態に保つための最も効果的な方法です。

PolicyPak Scripts Manager

PolicyPak Scripts Manager は、PolicyPak を使ってソフトウェアを配布する別の方法です。PolicyPak Scripts Manager は、選択したスクリプトを実行します。そのスクリプトは、ファイルをコピーするものや、任意のソースから何かをダウンロードするものでも構いません。ファイルをコピーした後、インストール処理またはスクリプトを実行できます。これは、ダウンロード ジョブが完了した後に PolicyPak Remote Work Delivery Manager がインストール処理またはスクリプトを実行できるのと同様です。

この方法の概要は、図 11 に簡潔に示しています。

図 11：ベンダーのダウンロード ソースから Evergreen のスクリプトによるインストールを実行する。

とはいえ、PolicyPak Scripts Manager には PolicyPak Remote Work Delivery Manager の内蔵機能はありません。PolicyPak Scripts Manager は、大きなファイルをインテリジェントに転送するための BITS を使用せず、複雑なフィルターや、複雑で再帰的かつフィルターされた「Robocopy-like（Robocopy に似た）」操作を実行する機能も備えていません。

ただし、インターネット上にすでにある配布元からソフトウェアをインストールするスクリプトを実行したい場合は、PolicyPak Scripts Manager がまさに適任かもしれません。PolicyPak Scripts Manager を使う私たちのお気に入りの方法の1つは、Chocolaty.org で用意された事前作成済みパッケージのインストールをスクリプト化することです。ソフトウェアの配布に PolicyPak Scripts Manager を使う別の方法は、Evergreen スクリプトを通じて行うことです。Evergreen スクリプトはソフトウェア ベンダーのソースを直接指し、インストールも直接実行します。これは短いダウンロードには適していますが、インストーラーが大きい場合や、コンピューター側で転送が停止して再開されるリスクがある場合には理想的ではないかもしれません。（その場合は、BITS プロトコルを使用する PolicyPak Remote Work Delivery Manager が役立ちます。）

ソフトウェア配信に関するレポート

PolicyPak Remote Work Delivery Manager と PolicyPak Scripts Manager は、設定が実現されたかどうかを判断するために、すでに利用しているレポート エンジンと連携します。

• PolicyPak Group Policy Edition では、Group Policy Management コンソールのグループ ポリシー結果レポート、または PolicyPak の（無料）PolicyPak Group Policy Compliance Reporter のどちらも利用できます。
• PolicyPak MDM Edition では、MDM のレポートを活用できます。
• PolicyPak Cloud Edition では、PolicyPak Cloud のレポート システムを活用できます。

とはいえ、これらのレポートはいずれも、ソフトウェアを配布（または最新の状態に維持）するためのポリシーが処理されたかどうかを示すだけです。レポーティングシステムでは、特定のソフトウェアの実際のインストール状況（成功または失敗）を知ることはできません。返された結果コードを含む詳細なレポートが必要であれば、このリストにある他のツール（例: PDQ Deploy）が必要になる可能性があります。

次のステップ

すべての企業のあらゆるソフトウェア配布ニーズを、1つのツールだけでまかなえるわけではありません。この概要では、各ツールがどこで活用できるのかを共有し、配布されないソフトウェアが残らず、すべてのニーズを満たせるようにしたいと考えました。PolicyPak Scripts Manager と PolicyPak Remote Work Delivery Manager は、PolicyPak のすべてのエディションに付属しています。これらを、ソフトウェア配布ニーズの大部分に活用できる、または既にお持ちの内容を補強する形で使えるはずだと思います。