WSUSとIntuneの併用期間、いつまで続ければいいのか?
WSUS→Intune移行を進めているIT担当者が必ず直面するのが、「併用期間はいつまで必要か?」という問題だ。
早く切り替えたいが、トラブルが怖い。かといって、いつまでもWSUSを残すのは運用負荷が高い。
実際、私がサポートした企業では、「早く移行を終わらせたい」という焦りから、テスト期間を1週間で切り上げてしまい、本番環境で更新プログラムが配信されないトラブルが発生した。結局、WSUSに戻して再度スケジュールを組み直す羽目になった。
この記事では、WSUS・Intune併用期間の目安と、併用中のパッチ管理をどう回すかを、実体験を交えて解説する。
※本記事は一般的な情報提供を目的としており、実際の運用は貴社の環境で検証を行い、Microsoft公式ドキュメントを確認の上、自己責任で実施してください。
結論：最低1ヶ月、推奨は2〜3ヶ月
WSUS→Intune移行における併用期間は、最低1ヶ月、推奨は2〜3ヶ月。
ただし、環境規模によって以下のように変動する。
- 50台以下: 1ヶ月
- 100〜300台: 2ヶ月
- 500台以上: 3ヶ月
この期間は「余裕がありすぎる」と感じるかもしれないが、トラブルが発生した場合のロールバック時間を考えると、決して長くはない。
なぜ併用期間が必要なのか
理由1: ロールバックの保険
Intune移行後に重大なトラブルが発生した場合、WSUSに戻せる。
例えば：
- 特定のアプリケーションが更新プログラムと競合して起動しない
- ネットワーク帯域がひっ迫してダウンロードが遅い
- Intuneポリシーの設定ミスで更新が配信されない
こうしたトラブルが発生した場合、すぐにWSUSに戻せる状態を維持しておくことで、リスクを最小化できる。
理由2: 段階的な検証
全端末をいきなり移行するのではなく、グループごとに段階的に移行するため。
例えば：
- 第1フェーズ：テストグループ（10台）
- 第2フェーズ：営業部（100台）
- 第3フェーズ：管理部（50台）
- 第4フェーズ：開発部（30台）
段階的に移行することで、トラブルが発生しても影響範囲を限定できる。
理由3: パッチチューズデー対応の確認
月次のセキュリティ更新（パッチチューズデー）が正常に配信されるか、少なくとも2回は確認したい。
1回目：Intuneで配信できることを確認
2回目：トラブルなく運用できることを確認
2回のパッチチューズデーを経験してから、WSUSを停止するのが安全だ。
【実体験】併用期間を短縮して失敗した事例
ケース1：テスト期間1週間で本番移行→更新プログラムが配信されず
IT機器販売業C社（従業員80名）では、早く移行を終わらせたいという理由で、テスト期間を1週間に設定した。テストグループ10台で問題がなかったため、すぐに全端末をIntune管理に切り替えた。
ところが、本番移行後の最初のパッチチューズデーで、更新プログラムが配信されないことが判明した。原因はグループポリシーの設定が残っていたことだった。
緊急でWSUSに戻し、再度移行スケジュールを組み直した。結局、移行完了まで3ヶ月かかった。
教訓：テスト期間は最低でもパッチチューズデーを1回経験するまで（約1ヶ月）必要。
ケース2：併用期間中にWSUSサーバーを削除→ロールバック不可
製造業D社（従業員250名）では、Intune移行後わずか2週間でWSUSサーバーを削除してしまった。理由は「サーバーのメンテナンスコストを削減したい」だった。
ところが、移行後1ヶ月で業務システムの互換性問題が発覚し、特定の更新プログラムを除外する必要が出てきた。しかしIntuneでは個別除外ができず、WSUSに戻そうとしたが、すでにサーバーが存在しなかった。
結局、新しいWSUSサーバーを構築する羽目になり、余計な時間とコストがかかった。
教訓：WSUSサーバーは併用期間終了後も最低1ヶ月は停止状態で保持すべき。
ケース3：私自身の失敗——併用期間を甘く見て社長に怒られた話
2024年春、私が担当したクライアント（食品卸売業・従業員120名）のIntune移行で、併用期間を1ヶ月に設定した。理由は「他社の事例では1ヶ月で問題ないから」だった。
しかし、移行開始から3週間後、営業担当の端末で業務システム（勤怠管理）が起動しなくなった。原因は、Intuneで配信した品質更新プログラムと勤怠管理ソフトの相性問題だった。
急いでWSUSに戻そうとしたが、すでに営業部50台をIntune管理にしており、グループポリシーを元に戻す作業に半日かかった。その間、営業担当者は勤怠打刻ができず、社長から「なぜこんなことになったのか」と叱責された。
この失敗から学んだこと：
- 併用期間は余裕を持たせる（最低2ヶ月）
- 業務システムとの互換性テストを必ず実施する
- ロールバック手順を事前に文書化しておく
- 経営層には「最悪のシナリオ」も事前に説明する
それ以降、私は併用期間を必ず2ヶ月以上確保し、ロールバック訓練も実施するようにしている。
併用期間中のパッチ管理の回し方
基本方針
端末ごとにWSUSまたはIntuneのいずれか一方のみ有効にする。
両方が有効だと、更新プログラムの配信が競合する。
グループ分けの例
| グループ | 管理方法 | 備考 |
|---|---|---|
| テストグループ（10台） | Intune | 最初に移行 |
| 営業部（100台） | WSUS | まだ移行していない |
| 管理部（50台） | Intune | 第2フェーズで移行済み |
| 開発部（30台） | WSUS | 最後に移行予定 |
パッチチューズデー当日の運用例
- Intune側（自動）: 延期期間（例: 7日）後に自動配信
- WSUS側（手動）: 管理者が更新プログラムを承認
つまり、併用期間中はWSUS側の運用はこれまで通り継続する。
【実践】併用期間中の移行スケジュール例（3ヶ月プラン）
以下は、従業員200名規模の企業での移行スケジュール例だ。
1ヶ月目：準備とテストグループ移行
| 週 | 作業内容 |
|---|---|
| 第1週 | Intuneポリシー設計、テストグループ選定（10台） |
| 第2週 | テストグループをIntune管理に移行 |
| 第3週 | パッチチューズデー（第2火曜日）で配信テスト |
| 第4週 | トラブル発生時の対処、問題なければ次フェーズ準備 |
2ヶ月目：営業部と管理部を段階的に移行
| 週 | 作業内容 |
|---|---|
| 第1週 | 営業部50台をIntune移行 |
| 第2週 | 営業部残り50台をIntune移行 |
| 第3週 | パッチチューズデーで営業部の動作確認 |
| 第4週 | 管理部50台をIntune移行 |
3ヶ月目：開発部移行とWSUS停止
| 週 | 作業内容 |
|---|---|
| 第1週 | 開発部30台をIntune移行 |
| 第2週 | 全端末のIntune管理状態を確認 |
| 第3週 | パッチチューズデーで全端末の動作確認 |
| 第4週 | 問題なければWSUSサービスを停止（サーバーは保持） |
併用期間中の運用コストを試算してみた
併用期間を2ヶ月から3ヶ月に延ばすと、どのくらいコストが増えるのか。実際に試算してみた。
前提条件
- 従業員200名
- WSUSサーバー（仮想マシン）: 月額5,000円（電気代・ストレージ含む）
- 管理者の作業時間: 週5時間（時給換算3,000円）
併用期間2ヶ月の場合
- WSUSサーバー運用費: 5,000円 × 2ヶ月 = 10,000円
- 管理者作業: 5時間/週 × 8週 × 3,000円 = 120,000円
- 合計: 130,000円
併用期間3ヶ月の場合
- WSUSサーバー運用費: 5,000円 × 3ヶ月 = 15,000円
- 管理者作業: 5時間/週 × 12週 × 3,000円 = 180,000円
- 合計: 195,000円
差額とリスクの比較
併用期間を1ヶ月延ばすと、約65,000円のコスト増になる。
一方、移行失敗によるリスクコストは：
- 業務停止による損失: 1時間あたり50,000円〜（営業担当50名が勤怠打刻できないケース）
- 再構築の人件費: 約200,000円（2日間の緊急対応）
- 合計: 250,000円〜
つまり、併用期間を延ばすコストよりも、失敗リスクのコストの方が約4倍高い。
焦って移行を急ぐよりも、確実に検証する方が費用対効果が高いことがわかる。
併用期間中の注意点
注意点1: グループポリシーとIntuneポリシーの競合
Active DirectoryのグループポリシーでWindows Update設定をしている場合、Intuneポリシーと競合する可能性がある。
対策：
- Intune移行済みの端末は、グループポリシーの「Windows Update」設定を無効化する
- OUを分けて、Intune管理端末には別のGPOを適用する
- グループポリシーの結果セット（RSoP）で設定を確認する
注意点2: ネットワーク帯域の確認
WSUSは社内サーバーから配信するため、インターネット帯域を消費しない。
一方、Intuneはインターネット経由でダウンロードするため、帯域が不足すると遅延が発生する。
対策：
- 配信の最適化（Delivery Optimization）を有効にして、社内ピアツーピアでキャッシュ共有
- 段階的に移行し、一度に大量の端末がダウンロードしないようにする
- 帯域使用率をモニタリングし、上限を設定する
注意点3: リモートワーク端末の扱い
リモートワーク端末は、WSUSサーバーにアクセスできないため、Intuneへの移行を優先する。
優先順位：
- リモートワーク端末（VPN接続なし）
- 営業など外出が多い端末
- 社内固定端末
注意点4: ユーザーへの事前通知を怠らない
Intune移行後、更新プログラムの配信タイミングが変わる場合がある。ユーザーに事前通知しないと、「急に再起動された」とクレームが来る。
通知例：
- 「◯月◯日から、Windows Updateの配信方法が変わります」
- 「業務終了後に再起動が必要な場合があります」
- 「アクティブ時間（8:00〜18:00）は再起動されません」
社内掲示板やメールで、最低1週間前に通知する。
併用終了の判断基準（チェックリスト）
以下の条件をすべて満たしたら、WSUSを停止してよい。
- ✅ 全端末がIntuneに登録されている（Intune管理センターで確認）
- ✅ パッチチューズデーを2回以上経験し、トラブルがない
- ✅ 更新プログラムが正常に配信されている（レポートで確認）
- ✅ ユーザーからの問い合わせが月5件以下に減った
- ✅ グループポリシーとIntuneポリシーの競合がない（RSoPで確認）
- ✅ ネットワーク帯域が許容範囲内（モニタリングツールで確認）
- ✅ ロールバック手順が文書化されている
併用終了後のWSUSサーバーの扱い
すぐに削除せず、以下のステップで段階的に廃止する。
ステップ1: 停止（1ヶ月保持）
サービスを停止するが、データは残す。
万が一トラブルが発生した場合、すぐに再起動できる。
停止手順：
- 「サービス」でWSUSサービスを停止
- 「スタートアップの種類」を「無効」に変更
- サーバーは電源ONのまま保持
ステップ2: バックアップ取得
念のため設定をエクスポート。
- WSUS管理コンソールの設定
- 承認済み更新プログラムのリスト
- コンピューターグループの構成
- グループポリシーのバックアップ
ステップ3: 完全削除
問題なければサーバーを削除。
WSUSサーバーのストレージを開放できる。
削除手順：
- バックアップがあることを確認
- 「役割と機能の削除」でWSUSを削除
- サーバーを廃止（仮想マシンの場合は削除）
併用期間を短縮するコツ
コツ1: テストグループを早めに移行
最初のテストグループは、移行計画策定と同時に移行する。
早めに移行することで、トラブルの早期発見につながる。
コツ2: パッチチューズデー前に移行完了
パッチチューズデー前に移行を完了させることで、次のパッチチューズデーで検証できる。
例えば、3月のパッチチューズデー（第2火曜日）前に移行すれば、3月中に検証できる。
コツ3: Microsoftのサポートを活用
150ライセンス以上の場合、FastTrackという無料サポートプログラムを活用できる。
Microsoftの専門家が移行計画をレビューしてくれるため、スムーズに移行できる。
併用期間中のよくあるトラブルと対処法
トラブル1: 更新プログラムが配信されない
原因：グループポリシーとIntuneポリシーの競合
対処法：
- グループポリシーの「Windows Update」設定を無効化する
- 「rsop.msc」で現在の設定を確認
- Intune管理センターでポリシーの割り当て状態を確認
トラブル2: ダウンロードが遅い
原因：ネットワーク帯域不足
対処法：
- 配信の最適化（Delivery Optimization）を有効にする
- ダウンロード帯域の上限を設定（例: 50%まで）
- 段階的に移行し、一度に多数の端末を移行しない
トラブル3: Intune管理センターに端末が表示されない
原因：Azure AD参加（Entra ID参加）が未完了
対処法：
- 端末をAzure ADに参加させる（ハイブリッドAzure AD参加でも可）
- 「dsregcmd /status」でAzure AD参加状態を確認
- Intune登録が完了しているか「設定」→「アカウント」→「職場または学校にアクセスする」で確認
よくある質問（FAQ）
Q1: 併用期間中、WSUSとIntune両方から更新プログラムが配信されることはあるか？
A1: 端末ごとにどちらか一方のみを有効にすれば、競合しない。ただし、グループポリシーとIntuneポリシーが両方有効だと、Intuneが優先される（CSPポリシーが優先）。
Q2: 併用期間中に新しい端末を導入する場合、どちらで管理すべきか？
A2: 新規端末は最初からIntuneで管理する。WSUSは既存端末のみを管理し、新規端末はIntune管理に統一することで、移行後の管理がスムーズになる。
Q3: WSUSとIntuneの併用期間中、ライセンスコストは増えるか？
A3: Intuneは Microsoft 365 E3/E5またはIntune単体ライセンスが必要だが、WSUSは無料。併用期間中も追加ライセンスは不要（すでにIntuneライセンスを購入済みの前提）。
Q4: 併用期間を1ヶ月にしても大丈夫なケースはあるか？
A4: 以下のような環境なら1ヶ月でもOK。
- 端末数が50台以下
- 業務システムが標準的（Microsoft 365のみ等）
- リモートワーク端末が多く、すでにクラウド管理に慣れている
- IT担当者がIntuneの経験がある
Q5: 併用期間中、WSUSとIntuneで配信する更新プログラムの内容を変えてもよいか？
A5: 可能だが、混乱を避けるために同じポリシーを適用することを推奨。例えば、WSUS側で「品質更新7日延期」「機能更新365日延期」、Intune側も同じ設定にする。
Q6: 併用期間が終わったら、WSUSサーバーはすぐに削除してよいか？
A6: すぐに削除せず、最低1ヶ月は停止状態で保持すること。万が一Intuneでトラブルが発生した場合、WSUSに戻せる状態を維持しておく。
まとめ：併用期間は「保険」と考える
WSUSとIntuneの併用期間は、最低1ヶ月、推奨は2〜3ヶ月。
併用期間は「保険」と考え、以下のポイントを押さえる。
- 段階的に移行：グループごとに移行し、トラブルを限定
- パッチチューズデー2回経験：運用が安定したことを確認
- ロールバック可能な状態を維持：WSUSサーバーはすぐに削除しない
- チェックリストで判断：併用終了の判断基準を明確にする
- 費用対効果を考える：移行失敗のリスクコストは併用期間延長コストの4倍
併用期間中のパッチ管理は、WSUS側はこれまで通り、Intune側は自動配信で運用する。
焦らず、確実に移行を進めよう。移行作業が一段落したら、IT管理者としてのキャリアアップも視野に入れたい。クラウド管理の実績は転職市場で高く評価される。レバテックキャリアでは、Intune・Azure経験者向けの求人が年収600万円〜800万円で多数掲載されている。
※免責事項: 本記事の内容は一般的な情報であり、実際の運用は自己責任で実施してください。