このガイドの内容
RMMZit は無料のオープンソース（AGPLv3）のリモート監視・管理（RMM）ツールです。エージェントが各コンピューターで不足している Windows 更新を報告し、コンソールがそれをインストールします。1 台または多数のデバイスに手動で、あるいはポリシーのスケジュールに従って自動で行えます。同じコンソールで、インストール済みのプログラムを winget（必要なら Chocolatey も）で更新します。デバイスごとの料金もベンダーのクラウドもありません。サーバーは自社ネットワーク内で動きます。
必要なもの
- コンピューターにエージェントが入った、稼働中の RMMZit サーバー。まだない場合は、先にセルフホスト RMM の導入と最初のコンピューターの登録に従ってください。
- Windows コンピューター：Windows 10 / 11 または Windows Server 2016 以降、64 ビット。サードパーティ製プログラムには winget（App Installer）が必要で、現在の Windows 10 と 11 に含まれています。
- Linux コンピューター（任意）：apt を使う Debian と Ubuntu、または dnf を使う RHEL 系。
- コンソールの技術者または管理者のアカウント。アラートとレポートをメールで受け取るには、設定 → 監視とアラートでメール サーバーを設定します。
エージェントが不足している更新を見つける仕組み
エージェントは、起動の数分後と、その後 1 日 2 回、コンピューター上の Windows Update にどの更新が不足しているかを問い合わせます。結果はサーバーに送られ、コンソールは最後の検索時刻と一緒に表示します。
更新が予期しないタイミングで入らないように、エージェントはポリシーで Windows Update の自動インストールをオフにします。以後、更新は RMMZit から（手動またはスケジュールで）のみインストールされます。エージェントを削除すると、以前の Windows Update の設定に戻ります。
Linux では、エージェントは apt（セキュリティ更新は -security のソースから）または dnf（セキュリティ更新は更新情報から）で利用可能なパッケージ更新を読み取り、選んだパッケージをインストールします。以下で説明する自動インストールは Linux デバイスにも適用されます。
更新の概要
更新ページには、更新が不足しているデバイス（セキュリティ更新は別に集計）、再起動待ちのデバイス、各デバイスの最後のインストールと最後の検索が表示されます。たとえばフィルターで不足しているセキュリティ更新だけを表示できます。今すぐ検索は、次の定期検索を待たずにすぐ検索を開始します。
更新を手動でインストールする
- デバイスを開き、その更新タブを開きます。不足している更新がカテゴリと重要度付きで、最近インストールされた更新とともに表示されます。セキュリティ更新は最初から選択されており、機能更新プログラムが選択されることはありません。
- 更新を選んで選択した更新をインストールをクリックします。必要に応じて自動で再起動（5 分後、通知あり）にチェックを入れると、更新が再起動を必要とする場合、インストール後にコンピューターが再起動します。
- インストールはアクティビティのタスクとして実行され、完了すると結果が表示されます。まだ再起動が必要な場合はデバイスにそう表示され、デバイスのページから再起動できます。
多数のコンピューターに一度に行うには、デバイスを開いて一覧を絞り込み、先頭のチェックボックスでデバイスを選び、選択したデバイスでから更新を検索またはセキュリティ更新プログラムをインストールを選びます。オフラインのデバイスは接続したときに操作を受け取ります。
Defender の定義（Security Intelligence Update）は 1 日に何度も公開され、そのたびに新しい更新 ID が付きます。1 つをインストールすると、エージェントはまず検索をやり直し、その時点で Windows Update が提供している定義のバージョンをインストールします。
ポリシーによる自動インストール
自動インストールはポリシーの一部です。各顧客には独自の Default ポリシーがあります。ポリシーでそれを変更するか別のポリシーを作成し、割り当て先で顧客、拠点、または 1 台のデバイスに割り当てます。各パートについて、最も具体的な割り当てが優先されます。デバイスのポリシー、次に拠点、次に顧客の順です。
ポリシーの Windows Update パートで、サーバーが自動でインストールするものを選びます：
- オフ: 更新はコンソールからのみインストールされます：組み込みの既定値です。
- セキュリティ更新と重要な更新、Defender の定義。
- 機能更新プログラムを除くすべての更新：新しい Windows バージョンが自動でインストールされることはありません。
次にタイミングを選びます：この曜日のこの時刻に（サーバー時刻）またはメンテナンス時間帯に。その時オンラインのデバイスはその日に 1 回インストールし、オフラインのデバイスは次の予定日を待ちます。デバイスのポリシータブには、どのポリシーが Windows Update パートを設定しているかと、適用されている設定が表示されます。
更新リング：まずテスト用デバイスから
更新リング: 更新の公開後に待つ日数の欄で、自動インストールを遅らせます（0～60 日）。7 日にすると、デバイスはサーバーが更新を初めて確認してから 7 日後にインストールします。数台のテスト用コンピューターに 0 日のポリシーを、残りに 7 日のポリシーを割り当てれば、問題はまずテスト用コンピューターで見つかります。Defender の定義は待ちません。
再起動
更新で必要なときの再起動には 3 つの選択肢があります：
- 自動では再起動しない：コンピューターはご自身で再起動します。
- インストールの 5 分後に自動的に再起動し、サインイン中のユーザーに通知。
- ユーザーに確認し、期限後に自動的に再起動：時計の横の RMMZit アイコンがサインイン中のユーザーに再起動を求め、4 時間ごとに繰り返します。期限 (ユーザーが延期できる日数)でその期間（0～30 日）を決めます。期限後は、サーバーが 10 分前に通知してコンピューターを再起動します。デバイスにメンテナンス時間帯があればその時間帯に行います。
デバイスのポリシータブに、保留中の再起動とその期限が表示されます。再起動の確認は、ユーザーの Windows の表示言語で表示されます。
メンテナンス時間帯
ポリシーのメンテナンス時間帯パートで、デバイスが作業してよい時間を決めます。たとえば土曜日 22:00 から 4 時間（サーバー時刻）といった毎週の時間枠で、時間帯を追加でさらに追加できます。メンテナンス時間帯にに設定した Windows 更新とプログラムの更新はこの時間に実行され、期限を過ぎた再起動は次の時間帯を待ちます。メンテナンス時間帯には新しいアラートを出さないを有効にすると、時間帯の間はデバイスが新しいアラートを出しません。すでに出ているアラートはそのまま残ります。
winget によるサードパーティ製ソフトウェア
Windows 更新はブラウザー、PDF リーダー、圧縮ソフトを対象にしていません。これらは Windows デバイスのプログラムタブで扱います。利用可能な更新には winget が更新できるプログラムが表示され、すべて更新で更新するか、個別に更新します。プログラムをインストールは winget のコミュニティ リポジトリを検索し（たとえば 7-Zip や Chrome）、すべてのユーザー向けにサイレントでインストールします。デバイス一覧では、プログラムを更新 (winget)で多数のデバイスに同じことを行えます。
プログラムを自動で最新に保つには、ポリシーのプログラムの更新パートを有効にします。新しいバージョンがあるインストール済みプログラムを、選んだ各曜日の選んだ時刻、またはメンテナンス時間帯に 1 回更新します。更新しないリストのプログラム（パッケージ ID または名前の一部、1 行に 1 つ）は変更されません。更新リングもここで使えます：更新リング: 新しいバージョンの公開後に待つ日数。各実行はデバイスのアクティビティに表示されます。
Chocolatey はソフトウェア → 公開ソースで 2 つ目の公開ソースとして追加でき、追加するとプログラムの更新パートで Chocolatey 経由でインストールしたプログラムも更新できます。ポリシーの必須ソフトウェアを使うと、サーバーはそのポリシーのすべての Windows デバイスに必要なプログラムをインストールします。
アラート、レポート、脆弱性
- 保留中の再起動：ポリシーのアラートルール再起動待ちで稼働が次より長い（日）は、再起動を長く待ちすぎているコンピューターについてアラートを出します。アラートはメール、Slack や Microsoft Teams、または Webhook に送られます。
- レポート：レポートで顧客と期間を選び、レポートを表示をクリックします。更新の部分には、デバイスごとの不足している更新と不足しているセキュリティ更新、再起動待ちのデバイス、期間中の更新のインストールが表示されます。設定 → レポートで、毎週または毎月顧客に送信できます。
- 脆弱性：管理者が脆弱性でスキャンを有効にすると、サーバーは 6 時間ごとにインストール済みプログラムを公開の脆弱性データベースと照合します。送信されるのはプログラム名とバージョンだけです。ポリシーのアラートルールで、緊急の脆弱性（CVSS 9 以上）についてアラートを出せます。プログラムを更新すれば解消されます。
制限事項
- 機能更新プログラム（新しい Windows バージョン）は自動でインストールされません。
- スケジュールはサーバー時刻を使います。デバイスは予定の時刻にオンラインである必要があり、そうでなければ次の予定日を待ちます。
- プログラムの更新の対象は winget が認識するプログラム（追加した場合は Chocolatey も）です。winget が更新できないプログラムはスキップされ、その旨が報告されます。
- 脆弱性スキャンの対象はインストール済みプログラムです。Windows 自体は Windows 更新で対応します。
- 実行中のインストールを停止するとエージェントのタスクは終了しますが、Windows はその時点でインストール中の更新を完了させることがあります。
- 対応 OS は Windows と Linux です。macOS 用エージェントはまだありません。
次のステップ
まず顧客の Default ポリシーから始めましょう。セキュリティ更新と重要な更新、Defender の定義、メンテナンス時間帯、再起動の期限を選び、数台のテスト用コンピューターには更新リングの短い専用ポリシーを割り当てます。まだサーバーがない場合、セルフホスト RMM の導入と最初のコンピューターの登録は約 30 分で終わります。各インストール方法はダウンロード ページで説明しています。
RMMZit のすべての機能は機能ページに、完全なリファレンスはドキュメントにあります。ご質問は GitHub Discussions へどうぞ。企業向けには MaxZit が有償サポートを提供しています（英語のみ）。