最近WindowsUpdateできない問題

なんかあまりにマネジメントとかの話ばかりしてると自分が技術屋だったことを忘れそうなので、たまには技術の話を。

本日は月に1度のWindows Update日で、5つの重要な更新が出た日だったのですが、企業や大学などproxyを利用しているところでは最近混乱が見られます。実はちょっとした問題があって、Windows XPはWindows Updateできないんですね。マイクロソフトの技術情報はこれ:Windows Update version 5 で利用するプロキシについて。

今まで、つまりWindows Update version 4でも、proxy環境下ではWindows Updateの「自動更新」ができないという問題がありました。自動更新を行っているのはサービスなのですが、これのユーザがローカルシステム(SYSTEM)になっているため、SYSTEMアカウントのproxy設定をいじる必要があるのです。ところがSYSTEMでログオンってできないのでこれが一筋縄ではいきません。そこで、裏技で無理やりSYSTEMアカウントのproxyを設定するか、あるいは割り切って全ユーザのproxy設定を同一にするようなポリシを適用してから適当なユーザ権限でログオンしてproxy設定をする必要がありました。まぁこの場合でも、手動でならWindows Updateできたわけですが。

ところが最近Windows XPではWindows Updateがversion 5なんてのに入れ替えられてしまいまして(入れ替えられたかどうかは、Windows Updateを実行したときにInternet ExplorerのURLがhttp;//v5.windowsupdate.microsoft.com...になっているかどうかでわかります)、これが全く違う挙動になってしまいました。要は、proxyの設定がSYSTEMアカウント/ログオン中のアカウントどちらのproxy設定も反映しなくなってしまったのです。ではどうなるかというと、新しいWindows Updateが使っているBITSというコンポーネントがWinHTTPというのを使うのですが、WinHTTPはもともとサーバアプリケーション用のAPIであるせいか、ユーザ個別のInternet Explorerの設定を無視し、マシン固有の独自proxy設定に従うようになっています。これが正しく設定されていないと、自動更新はもちろんのこと、手動更新ですらできません。で、困ったことにこのWinHTTP独自のproxy設定を行うGUIが全く用意されてないのです。

正しく設定するにはproxycfgというコマンドラインプログラムを使います。マイクロソフトの技術情報にあるのは、一度proxycfg -uを実行して、そのときログオンしているユーザのproxy設定を反映させるということになります。ところがこの情報まだ不足がありまして、どうやら当該ユーザがproxy.pacなどの自動構成スクリプトを使用する設定をしていると、適当なproxyサーバを見つけられなくてproxycfg -uがエラー終了するようです(東北大の大場正志先生に言われて気づきました、感謝)。うちでも確かめてみたところ、こんな表示が出ました。

プロキシ設定の書き込み中にエラーが発生しました。 (5) アクセスが拒否されました。
エラーが発生し、移行は失敗しました (5) アクセスが拒否されました。

これを回避するには、組織の事情にあわせてproxycfg -p proxy.somedomain.com:8080などと直接指定することになるのですが、これも各ユーザに確実にして実行してもらうのは大変そうです。全ユーザがActive Directoryにぶら下がっていてログオンスクリプトに手が加えられるようなきれいな環境なら問題ないのですが、残念ながら私の勤務先はそうではありません(^^;

そこでちょっと乱暴ですが、うちではレジストリを直接いじるようにしました。幸いWinHTTPのproxy設定は固定された場所にあることがわかっていますから、

1. 手元のマシンで正しい設定をproxycfgを使って指定
   
2. regeditで[ファイル]-[エクスポート]でHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\をwinhttp-proxy.regなどに書き出し
   
3. winhttp-proxy.regをメモ帳などで編集してWinHttpSettingsを含む行だけを残す
   
4. このregファイルをユーザに配って導入させ(直接配るか、うちではホームページごしに配りました)、再起動させる
   

これでうまくいきました。保証された方法ではないので試される方は自己責任でお願いします・・・

ただ、こんなの本当はやりたくありません。regファイルを導入することにユーザが慣れてしまったら、イタズラや詐欺にひっかかりやすくなりますから。だからユーザにはあくまでもこれが緊急避難であることを伝えなくてはなりません。そもそも、なんでproxy設定がこんなにあちこちあるような設計を平気でやってるんでしょうかねぇ＞マイクロソフト　手間が増えるだけだしやめて欲しいです。

追記：なんかリンクの仕方がやや行儀悪いので、引用させていただいたのをまとめてここで感謝することにしました。

• 小島肇先生
  
• 丸山満彦さん
  
• たかはしもとのぶさん
  
• マイクロソフト技術情報
  

いつもありがとうございます。