概要
Microsoft の拡張セキュリティ Updates (ESU) プログラムは、2025 年 10 月 14 日のサポート終了 (EOS) 後に、対象となる Windows 10 Enterprise および Education デバイスの重要かつ重要なセキュリティ更新プログラムを提供します。 このドキュメントでは、Windows 365を使用したデプロイの ESU エンタイトルメント、アクティブ化、管理のしくみについて説明します。サポートされているモデル、エンタイトルメント チェック、ポリシー、およびWindows 10 ライフサイクル管理を計画している IT 管理者と顧客に関連する技術的な実装手順に焦点を当てます。
参照：
Windows の拡張セキュリティ Updatesを有効にする
Windows 365の ESU をWindows 10する
1. ESU エンタイトルメント モデル
ESU は、デプロイ シナリオに基づいて異なる方法で動作します。
Azure Virtual Desktop (AVD): Azure Virtual Desktop のマルチセッション仮想マシンとシングルセッション仮想マシンWindows 10 (商用、政府機関、教育機関のテナント全体) は、ESU の対象となります。 ライセンスの追加購入やライセンス認証は必要ありません。
Windows 365クラウド PC: Windows 10を実行している既存のクラウド PC の場合、Azureのバージョン 22H2 では、ESU は追加料金なしで使用できます。
物理/その他のエンドポイント:ライセンスWindows 365使用する ESU カバレッジは、ライセンスが付与されたクラウド PC への接続に使用される基になるデバイスに対して可能です。
2. ESU エンタイトルメントとアクティブ化ロジック
2.1 Windows 365 クラウド PC デバイス。
2025 年 10 月 14 日より、Windows 10 ギャラリー イメージは削除され、新しいプロビジョニング ポリシーを作成できなくなります。 引き続きWindows 10ベースのプロビジョニング ポリシーを作成する必要がある場合は、2026 年 4 月 14 日まで利用可能な Azure Marketplace VM イメージに基づいてカスタム イメージを作成するプロセスに従ってください。
2.2 Windows 365接続されたローカル エンドポイント
2.2.1 Windows 365 Enterprise デバイスに接続されているローカル エンドポイント
適格性チェック:ユーザー のサインイン時に、適格なWindows 10バージョン 22H2 エンドポイントは、ユーザーが直接ライセンスの割り当てまたはグループ ベースのライセンスを使用して、Windows 365 Enterpriseクラウド PC に割り当てられているかどうかを確認します。
エンタイトルメント ロジック:アクティブなWindows 365 Enterprise ライセンスとクラウド PC の割り当てが存在する場合、ESU エンタイトルメントは、ユーザー セッションのそのログイン上の物理デバイスに付与されます。
2.2.2 Windows 365 Flex 専用デバイスに接続されたローカル エンドポイント
Windows 365 Flex ライセンスの性質: Windows 365 Flex ライセンスはテナント全体であり、ユーザーに個別に割り当てることはできません。
資格：少なくとも 1 つのWindows 365 Flex Dedicated Cloud PC がプロビジョニングされているユーザーは、ESU の対象となります。 継続的な使用は必要ありません。適格性は、プロビジョニングされているクラウド PC に基づいています。
資格期間:ユーザーは、少なくとも 22 日に 1 回、Windows 365クラウド PC に使用するのと同じMicrosoft Entra ID アカウントを使用してローカル Windows 10 デバイスにサインインし、そのデバイスで ESU 更新プログラムの資格を維持する必要があります。
サポートされている共有物理デバイス:Windows Enterprise E3 または Microsoft 365 E3/E5 では、ユーザーには、物理または仮想の 1 ユーザーあたり最大 10 個の Windows Enterprise インスタンスを実行するライセンスが付与されます。 ESU は、ライセンスが付与された各インスタンスに適用されます。
再検証:期限切れ前の適格性チェックが発生する可能性があり (通常は有効期限の 7 日前まで)、ユーザーはサインインする必要があります。
2.2.3 デバイス & ユーザーの関連付け
デバイスごと、セッションごと: ESU エンタイトルメントは譲渡できません。 ユーザー セッション中に 1 つのデバイスに対して ESU を承認しても、同じユーザーがアクセスした場合でも、他のデバイスには伝達されません。
2025 年 10 月以降の制限事項:2025 年 10 月 15 日以降、Windows 365を通じて ESU エンタイトルメントを要求したエンドポイントを特定するための管理者またはエンド ユーザー ツールはありません。
3. 管理、ポリシー & Opt-In 制御
明示的なポリシーの有効化:デバイスでは、ESU 更新プログラムの受信を開始する前に、明示的な ESU ポリシーの有効化 (Microsoft Intune ポリシーまたはレジストリ構成を使用) が必要です。 ポリシーの詳細については、「クラウドおよび仮想マシンWindows 10アクセスしているクライアントの拡張セキュリティ Updates (ESU) を有効にする 」 を参照してください。 |Microsoft Learn
割り当て & 適用: IT 管理者は、ESU ポリシーが構成され、対象となるデバイスに正しくスコープ設定されていることを確認する責任があります。不適切な構成を行うと、デバイスに適格な ESU が見つからない可能性があります。
ユーザー/デバイスの制限: ESU エンタイトルメントはユーザーごとに計算され、現在のポリシーに従って、ユーザーごとに最大 10 台の対象デバイスが許可されます。
レポート： 2025 年 10 月 15 日以降、ユーザーからデバイスへの ESU マッピングとレポートは、Microsoft 管理ツールを使用して使用できなくなります。
4. 技術的な実装手順
Windows 365経由のローカル Windows 10 エンドポイントの場合
ライセンスを確認する:ユーザーに Windows 365 Enterprise または Windows 365 Flex ライセンスと割り当てられたクラウド PC があることを確認します。
ログインによってトリガーされるチェック:クラウド PC へのアクセスに使用したのと同じMicrosoft Entra ID アカウントを使用してローカル デバイスにサインインすると、Microsoft クラウド ハンドシェイクを介してデバイスの適格性検証がトリガーされます。
ポリシーの有効化:IT 管理者は、これらのデバイスのポリシーまたはレジストリ設定Microsoft Intune使用して ESU 有効化を構成する必要があります。
接続要件: デバイスは、継続的な ESU 資格を維持するために、Microsoft サービス (少なくとも 22 日ごと、またはセッションごとに 1 回) に定期的に接続する必要があります。
5. ベスト プラクティス
Windows 11移行の優先順位付け: ハードウェアの制限またはワークロードの依存関係によってWindows 11へのアップグレードが妨げる場合にのみ、ESU をWindows 10に使用します。
厳密なデバイス追跡: ESU 対象エンドポイントの独自のレコードを保持します。2025 年 10 月以降、中央管理者列挙は使用できません。
可能な限り自動化する: 特に動的または共有デバイス環境では、可能な限り ESU 適格性チェック、ポリシーの割り当て、パッチのデプロイを自動化します。
- ポリシー スコープを定期的に確認する:ESU が適格なエンドポイントにのみ適用されていることを確認するために、グループ ポリシーと MDM のスコープを定期的に確認します。 廃止されたデバイス、再利用されたデバイス、または使用停止されたデバイスは明示的に除外する必要があります。