SQL Server 2008／2008 R2、3年目のESU終了目前――オンプレミスでのESU購入はコストに見合うものでしたか？：山市良のうぃんどうず日記（231）

Microsoftは2019年7月のSQL Server 2008／2008 R2の延長サポート終了に合わせ、サポート終了後も最大3年間の更新プログラムの提供を受けることができる「拡張セキュリティ更新プログラム（ESU）」を用意しました。SQL Server 2012／2012 R2も間もなく2022年7月に延長サポートが終了します。もし、オンプレミスのSQL ServerのためにESUを検討しているのなら、SQL ServerのESUとWindows ServerのESUの大きな違いについて知っておくべきです。

[山市良，テクニカルライター]

山市良のうぃんどうず日記

2008／2008 R2向けのESU、オンプレミスは有料3年目が終了、Azureは無料でさらに1年

　Microsoftは、2019年に最大ESU（Extended Security Updates）を発表し、2019年7月に延長サポートが終了した「SQL Server 2008／2008 R2」向けに1年目のESUの提供を開始して、2020年1月には「Windows Server 2008／2008 R2」と「Windows 7」向けに1年目のESUの提供を開始しました。

　SQL Server 2008／2008 R2については、3年目のESUが2022年7月に終了します。また、その半年後にはWindows Server 2008／2008 R2とWindows 7の3年目のESUが終了します。これらと入れ替わるように、2022年7月からは「SQL Server 2012」の1年目のESUが、2023年10月からは「Windows Server 2012／2012 R2」における最大3年のESUの1年目が開始します（「Windows 8.1」向けのESUは用意されていません）。

• SQL Server 2012およびWindows Server 2012のサポート終了に応じた新しいオプション（Microsoft Docs）

　ESUは、オンプレミスのインスタンスに対しては1年ごとに購入する必要があります（1年目を購入せずに、2年目だけを購入することはできません）。一方、「Microsoft Azure」上のインスタンス（「Azure Stack」や「Azure Stack HCI」上のインスタンスを含む）については、無料で、追加設定なしでESUが提供されます。さらに、Azure上のSQL Server 2008／2008 R2とWindows Server 2008／2008 R2インスタンスについては、さらに1年間（4年目）のESUが無料提供されることが決まっています（Windows 7向けに4年目は提供されません）。

• SQL Server 2008／2008 R2のサポートが終了、オンプレミス向けESUの提供方法が明らかに（連載：Microsoft Azure最新機能フォローアップ 第85回）
• SQL Server 2008／2008 R2とWindows Server 2008／2008 R2に「4年目」の拡張セキュリティ更新プログラム提供開始（Azureのみ）（連載：Microsoft Azure最新機能フォローアップ 第162回）

レガシー仮想マシンをAzure上にデプロイして、ESUが利用できることを確認してみた

　SQL Server 2008／2008 R2やWindows Server 2008／2008 R2向けESUの提供状況を確認するため、2022年4月にAzure Marketplaceにある「SQL Server 2008 R2 SP2 Standard on Windows Server 2008 R2」イメージからAzure仮想マシンをデプロイしてみました。

　デプロイ直後のSQL Server 2008 R2 SP（Service Pack）3のバージョンは「10.50.6592.0（X64） Nov 27 2019」でした（画面1）。サポート終了の4カ月後のSQL Serverビルド日時になっていますが、これにESUに対応するセキュリティ更新プログラムが含まれているかどうかという情報はありません（おそらく含まれていないでしょう）。インストールに使用されたSQL Serverセットアップのビルドと同じものです（画面2）。

画面1　デプロイ直後のSQL Server 2008 R2のビルド情報

画面2　「プログラムと機能」の一覧。SQL Server 2008 R2の現在のビルド情報は、SQL Serverセットアップと同じもの

　「プログラムと機能」コントロールパネル（appwiz.cpl）や「イベントビューアー」で確認できる最古のイベントから、使用したAzure Marketplaceのイメージは「2020年3月12日」に作成されたものだと分かりました。

　その後リリースされたESUのセキュリティ更新プログラムを含む更新プログラムをインストールするため、Windows Updateを実行しました。すると、初回のWindows UpdateでWindows Server 2008 R2の2020年4月の累積更新プログラム（セキュリティ月例品質ロールアップ）が検出、インストールされ（画面3）、次のWindows Updateでサービススタックの更新プログラムが、その次のWindows UpdateでWindows Server 2008 R2の「2022年4月の累積更新プログラム」（ESUのセキュリティ更新プログラムを含む）が検出、インストールされました。しかし、SQL Server 2008 R2のセキュリティ更新プログラムは一切検出されませんでした。

画面3　デプロイ後の初回Windows Update。Windows Server向けのESUである累積更新プログラムは検出されているが、SQL Server向けのセキュリティ更新プログラムは検出されなかった

　以下のドキュメントで説明されている、修正プログラムの自動適用（「SQL仮想マシン」ブレードで構成可能、既定で有効）でも、「SQL Serverレジストリ」に登録しての手動での操作でも、利用可能なセキュリティ更新プログラムが検出されることはありませんでした（画面4）。

• SQL Server 用の延長セキュリティ更新プログラムとは（Microsoft Docs）

画面4　「SQL Serverレジストリ」に登録しても、利用可能なセキュリティ更新プログラムは確認できない

SQL ServerとWindows ServerのESUの違いは、対象となるセキュリティ問題の評価レベル

　Windows Server向けのESUのセキュリティ更新プログラムは、毎月の累積更新プログラムという形で提供され続けています。一方、SQL Server向けのESUはこの3年間、更新プログラムが提供されたという“事実”を確認することはできませんでした。

　この違いは、ESUが対象としているセキュリティ問題の評価レベルにあります。Windows ServerとWindows 7のESUは、「Microsoft Security Response Center（MSR）」の最大深刻度が「Important（重要）」と評価されるものが対象となるのに対し（実際にはWindowsというよりも、.NET Frameworkや「Internet Explorer」の脆弱《ぜいじゃく》性がほとんど）、SQL ServerのESUは「Critical（重大）」と評価されるものだけが対象となります。

　SQL Serverを対象とした「Critical（重大）」のセキュリティ問題を2019年7月以降で検索してみると、「SQL Server 2019」やAzureのサービスを対象とした1つ（CVE-2021-44228）しか存在しません（画面5）。これは、SQL Server 2008／2008 R2向けのESUでセキュリティ更新プログラムが提供されていないことを裏付けています。

画面5　全てのSQL Serverバージョン向けの「Critical（重大）」な脆弱性はこの3年間で「CVE-2021-44228」だけ

　SQL Server 2012向けのESUを“オンプレミス”向けに購入することを検討している場合は、SQL Server 2008／2008 R2のこの3年間を参考にしてください。オンプレミス向けのESUは、多大なコストがかかります。SQL Server向けのESUは2コアパック単位で購入でき、その価格は1年目は通常の製品コアライセンスの75％、2年目は100％、3年目は125％になります。つまり、3年分のESUを全て購入する場合、SQL Serverインスタンスを実行するサーバのコア数に応じて、SQL Serverのコアライセンスをさらに2回購入するのと同じことになります。

　しかし、ESUを購入したとしても、ESUのセキュリティ更新プログラムがまったく提供されることなく、その3年が終了する可能性もあります（SQL Server 2008／2008 R2がそうなりそうなように）。

　コストが見合わないと思っても、万が一のために外せないという場合は、無料でESUを利用できるAzureにリフト＆シフト（システムに大きな変更を加えることなく、クラウド上に持っていくこと）することを考えた方がよいでしょう。もちろん、ESUは無料ですが、Azure仮想マシンの利用料金（現在のコアライセンスを利用して割引価格で利用できる場合があります）と、そして重要なのがP2V（物理から仮想）やV2V（仮想から仮想）でクラウドに持っていく作業コストが発生します。

筆者紹介

山市 良（やまいち りょう）

岩手県花巻市在住。Microsoft MVP 2009 to 2022（Cloud and Datacenter Management）。SIer、IT出版社、中堅企業のシステム管理者を経て、フリーのテクニカルライターに。Microsoft製品、テクノロジーを中心に、IT雑誌、Webサイトへの記事の寄稿、ドキュメント作成、事例取材などを手掛ける。個人ブログは『山市良のえぬなんとかわーるど』。近著は『Windows版Docker＆Windowsコンテナーテクノロジ入門』（日経BP社）、『ITプロフェッショナル向けWindowsトラブル解決 コマンド＆テクニック集』（日経BP社）。