Windows 10 ver 1803 の WUfB ポリシーの動きが怪しい件（→たぶん ver 1703 からの仕様）

本日（米国時間 5/23 付け）で Windows 10 April 2018 Update（バージョン 1803）向けに 2 回目の累積更新プログラム May 23, 2018－KB4100403 (OS Build 17134.81) が公開されました。今回の更新に Intel & Toshiba SSD 問題の修正が含まれているそうです。9:23 10:06 時点で Microsoft Update Catalog にはアップされていませんが、Windows Update では配布されています。

（追記：↓不思議ないことと書きましたが、バージョン 1703 からの仕様/方針変更に、バージョン 1709 から厳密に従っている結果のようです。）

今回の累積更新で不思議なことを体験したので再現してお伝えします。不思議なこととは、Windows 10 Pro 以上の Windows Update for Business（WUfB）ポリシーで”機能更新”の延期設定（半期チャネルと対象指定の延期ではなく、日数による1日以上の延期設定）していると、今回の"品質更新"の累積更新を検出しないような気がするんです。


注意：以下に再現しますが、Windows 10 バージョン 1703 からの方針が変わっていなければ、これが仕様どおりの動きって気もします（この方針のこと忘れてました）。
→ New update options for Windows 10, version 1703　

”For those using Windows Update for Business, these new “Updates” and “Critical Updates” will not be installed on any devices that have been configured with Windows Update for Business policies.”）。

再現）とある Windows 10 バージョン 1803 の「設定」アプリでの WUfB の延期設定。"品質更新"を 3 日延期。

再現）今日の"品質更新" KB4100403 はこない。これは正しい（と思う）。（あとで追記してますが、延期日数の3日後に KB4100403 が検出されるということではありません。延期されるのはセキュリティ更新を含む第二火のやつ）

再現）"機能更新"を 3 日延期、"品質更新"を 0 日延期にしてみる。

再現）あれれ、小五郎のおじちゃん。今日の"品質更新" KB4100403 がこないんだけど。これって期待通りの動作じゃないような気がしますよね。（あとで追記してますが、実はこれも仕様に従った正しい動き（だと思う））

再現）既定の設定の状態、つまり、"機能更新" と "品質更新" の両方を 0 日延期にしてみる（半期チャネル/半期チャネル（対象指定）はどちらでも関係なし）。

再現）あのね、らん姉ちゃん。今日の"品質更新" KB4100403 が来てるよ！

以上、再現でした。

こちら側（バージョン 1803）の問題なのか、あちら側（Microsoft Update サービス）の問題なのか、仕様なのかよくわからない。グループ ポリシー設定で同じようなおかしな動きをするかどうかは未確認。なお、WSUS 環境には関係のない話です（WSUS クライアントでは WUfB ポリシーは評価されないので）。

ちなみに、KB4100403 の検出後に（ダウンロード中に）、WUfB の"機能更新"の延期設定を 1 日以上にすると、検出した品質更新のインストールは取り下げられました（タイミングにもよると思いますが）。

"品質更新" を1 日延期設定した PC を残して、明日以降に KB4100403 が検出されるか試してみようかな。

ただ、昨年 11 月には、Current Branch for Business（現在の半期チャネル）設定の Windows 10 バージョン 1703 に、期日前にバージョン 1709 の機能更新が配布されてしまうという事件がありましたし、WUfB の延期設定ってイマイチ信用ならん。

定期: Patch Tuesday－11/15 の Windows & Office & Container Update （＋CBB 謀反事件）(2017/11/15)

重要な追記）以下は、バージョン 1703 以降でいくつかのパターンを試してみた結果です。

バージョン 1703 以降、WUfB ポリシーの延期設定（チャネルの選択ではなく、日数による更新プログラムの延期）がされている場合、第二火曜日（日本では翌水曜日）と次の第二火曜日の間にリリースされる、セキュリティ更新を含まない累積更新は自動検出されない仕様になりました（→ New update options for Windows 10, version 1703　）。バージョン 1703 では「更新プログラムのチェック」を手動で開始した場合は間の累積更新も検出されるのですが、バージョン 1709 以降は手動で開始した場合も検出されない挙動になったようです。

たぶん、Windows 10 バージョン 1703/1709/1803 の WUfB ポリシーで、”機能更新”または/および"品質更新"の日数による延期設定をした場合（チャネル無関係）、次のような挙動になると思います（2018年4月～5月の例）。

Windows 10 バージョン 1703
●（第二火）April 10, 2018－KB4093107 (OS Build 15063.1029)→品質更新の延期日数に従って検出（0日ならその日）
〇April 17, 2018－KB4093117 (OS Build 15063.1058)→自動検出されない、手動チェックなら検出される
●（第二火）May 8, 2018－KB4103731 (OS Build 15063.1088)→品質更新の延期日数に従って検出（0日ならその日）
〇May 17, 2018－KB4103722 (OS Build 15063.1112)→自動検出されない、手動チェックなら検出される

Windows 10 バージョン 1709
●（第二火）April 10, 2018－KB4093112 (OS Build 16299.371)→品質更新の延期日数に従って検出（0日ならその日）
〇April 23, 2018－KB4093105 (OS Build 16299.402)→自動/手動で検出されない
●（第二火）May 8, 2018－KB4103727 (OS Build 16299.431)→品質更新の延期日数に従って検出（0日ならその日）
〇May 21, 2018－KB4103714 (OS Build 16299.461)→自動/手動で検出されない

Windows 10 バージョン 1803
●（第二火）May 8, 2018－KB4103721 (OS Build 17134.48)→品質更新の延期日数に従って検出（0日ならその日）
〇May 23, 2018－KB4100403 (OS Build 17134.81)→自動/手動で検出されない

※気が付いたこと
その1）Microsoft Update Catalog で第二火の累積更新（●）は差分パッケージ（windows10.0-kb???????-x86/x64_delta.msu）とフルパッケージ（windows10.0-kb???????-x86/x64.msu）の両方提供、第二火と次の第二火間の累積更新（〇）はフルパッケージ（windows10.0-kb???????-x86/x64.msu）のみの提供になってるみたいですね。Windows Update だとどちらも Express パッケージ（windows10.0-kb???????-x86/x64-EXPRESS.cab）で配布されます。
その2）Windows Server Semi-Annual Channel である Windows Server, version 1709 および version 1803 には、第二火と次の第二火間の累積更新（〇）は Windows Update（sconfig の 6) 更新プログラムのダウンロードとインストール）では検出されない。Microsoft Update Catalog からダウンロードしてインストールすることは可能。「Windows Server 2016（1709）の累積更新プログラム」「Windows Server 2016 (1803) の累積更新プログラム」という名前になっているので注意。

注：あくまでも バージョン 1703 のときの公式ブログでの説明と、バージョン 1703/1709/1803 の 2018 年 4 月と 5 月の更新で実際に確認した動きから想像したものです。Deploy updates using Windows Update for Business（https://docs.microsoft.com/en-us/windows/deployment/update/waas-manage-updates-wufb）のドキュメントからは読み取れない。バージョン 1703 のときの公式ブログでの説明は、昨年 5 月の時点で認識していたんですが、バージョン 1703 だと手動チェックでインストールされるので、すっかり忘れてました（→ Windows 10 1703 向けの KB4020102 について）。バージョン 1709 から手動チェックで検出されなくなったことは、今日まで気が付かなかった。

結論、今月は Windows Update ばっかりだ。