サポート終了直前だけど、Windows 7の新規インストールと最速更新（2019年9月版）：山市良のうぃんどうず日記（163）

Windows 7の製品サポートが終了する「2020年1月14日」まで残り3カ月。こんな時期ですが、これからWindows 7を新規インストールし、最新状態にまで更新するとしたら、どれくらい時間がかかり、どの更新プログラムが必要となるのか、2019年9月時点で“最速”と考えられる方法で試してみました。今回は省略していますが、Windows Server 2008 R2にも適用できるはずです。

[山市良，テクニカルライター]

山市良のうぃんどうず日記

Windows 7のWindows Updateに最近追加された必須要件

　「Windows 7」の製品サポートが終了する「2020年1月14日」まで残り3カ月。RTM版の発売が2010年10月、Windows 7 Service Pack（SP）1の提供が2011年2月、Windows 7 SP1のメインストリームサポート終了が2015年1月で、その後もセキュリティ修正やバグ修正のために多数の更新プログラムが提供されてきました。

　もし、これからWindows 7を新規インストールしなければならないとしたら、どのような手順で行うのが最も効率的なのか、気になる人はきっといると思います。ちなみに、Windows 7 SP1の推奨設定でWindows Updateを実行した場合、初回に検出された重要な更新プログラムは171個で、初回インストールの完了に5時間以上かかりました（画面1）。

画面1　Windows 7 SP1の推奨設定でWindows Updateを実行した際、初回に検出された重要な更新プログラムは171個。初回のインストールだけで5時間以上かかった

　その後、更新を続けても、後述する「SHA2のみのコード署名」の影響で、最新の更新プログラムのインストールに失敗するかもしれませんし、時間はかかっても問題なく更新できるかもしれません（時間がかかるので実際にどうなるかまでは確認していません）。

　例えば、サポート終了前に業務用のPCが故障してしまい、急いで同じ環境を再構築しなければならないことがあるかもしれません。あるいは、企業向けには最大3年間、品質更新プログラムの提供を受けられる有償の「拡張セキュリティ更新プログラム（Extended Security Updates、ESU）」の利用を計画していて、オンプレミスやMicrosoft Azure上に仮想デスクトップ環境の新規構築を検討しているところもあるでしょう。

　Windows 7のESUは「Windows Virtual Desktop」では無料です。それ以外は、これまでボリュームライセンス経由でのみ購入できましたが、先日、クラウドサービスプロバイダー（CSP）プログラム経由でも購入可能になることが発表され、ボリュームライセンス契約の制限がなくなりました。

• Announcing Paid Windows 7 Extended Security Updates［英語］（Microsoft 365 for Partners）

　Windows 7 SP1以降、Windows 7の品質更新プログラムについては、幾つか変更がありました。大きいものでは、2016年4月までの更新プログラムをまとめた便利なロールアップ更新プログラムの提供（2016年5月、後述）、「マンスリー品質ロールアップ」という、「Windows 10」と同様の累積的な更新プログラムへの移行（2016年10月から）、SHA1／SHA2のデュアル署名からSHA2のみの署名への移行（2019年3月から段階的に行われ、2019年8月に完了）がありました。

　それ以外にも、特定の更新プログラムで手動による対応が必要なときもありました。筆者の個人ブログでは、2018年6月時点で筆者が“最速”と考える新規インストール手順を検証したことがあります。

• 今どきのWindows 7 SP1クリーンインストール（2018年6月版）（筆者の個人ブログ：山市良のえぬなんとかわーるど）

　しかし、それから1年以上経過した現在では状況が変わっているはずです。特に「SHA2のみのコード署名」への移行完了で新たに追加された、2019年8月以降の更新プログラムに関係する前提条件の影響です。ヒントは、以下のサポート情報の中にありました。Windows 7 SP1の場合、「KB4474419」「KB4490628」「KB3133977」の3つの更新プログラムを先にインストールし、再起動しておけば、後は追加の更新プログラムは問題なくインストールできそうです（「よく寄せられる質問　一般情報、計画、問題防止」の「6」の「3」ステップ目を参照）。

• WindowsおよびWSUSの2019 SHA-2コード署名サポートの要件（Windowsのサポート）

　今回は、Windows 7 SP1適用済みのインストールメディア（x64）を使用して、新規インストールを実施しました。RTM版のインストールメディアを使用する場合は、Windows 7 SP1をインストールした後からの手順と考えてください。Windows 7 SP1は、以下のサイトからスタンドアロンインストール用パッケージを入手できます（角かっこ内はファイル名とダウンロードサイズ）。

• Windows 7およびWindows Server 2008 R2 Service Pack 1（KB976932）［windows6.1-KB976932-X86.exe 537.8MB／windows6.1-KB976932-X64.exe 903.2MB］

　https://www.microsoft.com/ja-JP/download/details.aspx?id=5842

必須要件の3つの更新プログラムを先入れした場合（更新トラブル回避版）

　Windows 7 SP1を新規インストールし、SHA2のみのコード署名への移行により2019年8月の更新プログラムの前提条件に追加された「KB4474419」「KB4490628」「KB3133977」の3つの更新プログラムをインストールした場合、その後のWindows Updateによる更新がどのように進むのか検証してみました。先に言っておきますが、この方法ではなく、次に説明する便利な「ロールアップ更新プログラム」を利用する方法をお勧めします。

●ステップ1

　Windows 7 SP1のインストールメディアでPCを起動し、新規インストールを開始します。「Windowsセットアップ」の最終段階にあるWindows Updateの設定では、「後で確認します」を選択して、自動的に更新が開始されないようにしておきます（画面2）。PCのスペックにもよりますが、新規インストールは30分程度で終わるはずです。

画面2　Windows 7 SP1を新規インストールし、自動更新が始まらないように、Windows Updateの設定で「後で確認します」を選択しておく

●ステップ2

　「Microsoft Updateカタログ」サイトから以下の3つの更新プログラム（角かっこ内は最終更新日とダウンロードサイズ）の「Microsoft Updateスタンドアロンパッケージ（.msu）」をダウンロードします。Windows 7 SP1標準の「Internet Explorer（IE）8」の場合、サポート情報のページは参照できませんが、Microsoft Updateカタログサイトからのダウンロードは可能です（画面3）。別のPCが利用できる場合は、そちらでダウンロードしたものをコピーしても構いません。

• BitLockerはWindows 7またはWindows Server 2008 R2で、svchost.exeプロセスでサービスのクラッシュのためのドライブを暗号化することはできません。［2016/05/03、x86 752KB／x64 1.2MB］

　https://www.catalog.update.microsoft.com/search.aspx?q=kb3133977

• Windows 7 SP1およびWindows Server 2008 R2 SP1用のサービススタック更新プログラム：2019年3月13日［2019/03/11、x86 4.0MB／x64 9.1MB］

　https://www.catalog.update.microsoft.com/search.aspx?q=kb4490628

• Windows Server 2008 R2、Windows 7、Windows Server 2008でSHA-2コード署名をサポートするための更新プログラム：2019年9月11日［2019/09/09、x86 34.3MB／x64 53.3MB］

　https://www.catalog.update.microsoft.com/search.aspx?q=kb4474419

画面3　Microsoft Updateカタログサイトから3つの更新プログラムをダウンロードする（別のPCでダウンロードしたものをコピーしてもOK）

●ステップ3

　ダウンロードした3つの更新プログラムを、最終更新日が古い順番にインストールします。インストールを完了するために再起動を要求するものもありますが、3つ目の更新プログラムのインストール後、1回だけの再起動で問題ありません（画面4）。3つの更新プログラムのインストールと再起動で、20分ほどかかりました。

画面4　ダウンロードした3つの更新プログラムをインストールし、3つ目の更新プログラムのインストール後に再起動する

●ステップ4

　コントロールパネルの「Windows Update」を開き、「自分で設定を選択する」をクリックして、「重要な更新プログラム：更新プログラムを確認しない（推奨されません）」を選択してから、「更新プログラムの確認」をクリックして初回のWindows Updateを実行します。

　なお、Windows Updateの設定は、Windowsを最新状態にした後で、適切なものに再設定することをお勧めします。初回の更新プログラムの確認では、117個の重要な更新プログラム（x64の場合のサイズは1,1292MB）が検出されました（画面5）。

画面5　3つの更新プログラムを先入れした場合にWindows Updateで自動検出された更新プログラムは117個。更新の確認からインストール、再起動に要した時間は5時間

　自動選択された117個の重要な更新プログラムのインストールを開始し、その後、再起動します。初回の更新プログラムの確認に1時間以上、インストールが終了し、再起動（新規インストール後の2回目の再起動）が完了するまでに合計5時間ほどかかりました。

●ステップ5

　初回のWindows Updateの再起動後に、2回目のWindows Updateを実行すると、7個の重要な更新プログラムが検出されました。これらをインストールし、再起動（新規インストール後の3回目の再起動）することで、Windows 7は最新の状態に更新されたことになります（この作業を実施した2019年9月18日の時点で最新）。2回目のWindows Updateは30分ほどで完了しました。

　なお、初回および2回目のWindows Updateの両方で、更新プログラムの1つ「Windows Defender Antivirusのセキュリティインテリジェンス更新プログラム - KB915597」がエラー「8050800C」で失敗しました。

　この問題は、コマンドプロンプトを管理者として開いて、次のコマンドラインを実行することで解消できました（最後のコマンドラインは実行せずに、Windows Updateで更新することも可能）。

cd "C:\Program Files\Windows Defender"
MpCmdRun -RemoveDefinitions -All
MpCmdRun -SignatureUpdate -MMPC

　なお、Windows 7の「Windows Defender」はスパイウェア対策機能のみの簡易的なものなので、別途マルウェア対策製品／ツール（Microsoft Security Essentialsなど）を導入する予定がある場合は無視してよいでしょう。他のマルウェア対策製品／ツールを導入すると、Windows Defenderはオフになるからです。

　必須要件の3つの更新プログラムを先入れしたことで、その後のWindows Updateはトラブルなく進みましたが、最新状態にするまでにかかる時間（6時間以上）を考えるととても効率的とはいえません。

便利なロールアップ更新プログラムを利用した場合（最速版？）

　次は、より効率的に更新するために、2016年5月に提供された便利なロールアップ更新プログラム「KB3125574」を利用してみます。以下の2つの更新プログラムをダウンロードし、Windows 7 SP1のインストール直後の環境に「KB3020369」「KB3125574」の順番でインストールします（画面6）。「KB3020369」は、「KB3125574」の前提の更新プログラムです。

• Windows 7およびWindows Server 2008 R2のサービススタック更新プログラム（2015年4月）［2015/05/11・15、x86 4.0MB／x64 9.1MB］

　https://www.catalog.update.microsoft.com/search.aspx?q=kb3020369

• Windows 7 SP1およびWindows Server 2008 R2 SP1の便利なロールアップ更新プログラム［2016/05/16、x86 316.0MB／x64 476.9MB］

　https://www.catalog.update.microsoft.com/search.aspx?q=kb3125574

画面6　便利なロールアップ更新プログラム（KB3020369とKB3125574）をインストールしてから、SHA2コード署名移行後の必須要件うち2つの更新プログラムをインストールする（KB3133977は不要）。その後、最初の再起動を行う

　その後、SHA2コード署名移行後の必須要件となる3つの更新プログラムをインストールします。ただし、「KB3133977」は便利なロールアップ更新プログラムに含まれるため、インストールは不要です。インストールを試みても、「この更新プログラムはお使いのコンピューターには適用できません」と表示されます。また、再起動は、全ての更新プログラムをインストールしてからの1回だけで問題ありません。

　つまり、次の4つの更新プログラムを順番に手動でインストールし、再起動しました。この時点までで、便利なロールアップ更新プログラムのインストールのために追加で30分ほど時間がかかりました（画面6）。

• KB3020369
• KB3125574
• KB4490628
• KB4474419

　再起動後は先ほどの検証と同じように、Windows Updateで「更新プログラムの確認」をクリックし、初回のWindows Updateを実行します。今度は、初回の確認で52個の重要な更新プログラム（x64の場合のサイズは944.5MB）が自動選択されました（検出された重要な更新プログラムは54個）。初回の更新プログラムの確認は15分程度で終わり、インストールが終了して、再起動（新規インストール後の2回目の再起動）が完了するまで合計2時間ほどでした（画面7）。便利なロールアップ更新プログラムを利用しない場合よりも3時間も短縮することができました。その後は、先ほどの検証の場合と同じ流れです（KB915597がエラーで失敗するのも同じ）。

画面7　便利なロールアップ更新プログラムを利用した場合の、初回のWindows Updateで検出された重要な更新プログラムは54個。更新の確認からインストール、再起動に要した時間は2時間

　2回目のWindows Updateでは9個の重要な更新プログラム（x64の場合のサイズは413.6MB）が自動選択され、インストールして再起動すると、重要な更新プログラム（2019-09サービススタック更新プログラムKB4516655）が1つ検出され、それをインストール（再起動は不要）した後は何も検出されなくなりました。結果として、新規インストールから最新状態にするまで、全体で4時間以内に終了しました。

ディスク使用量と更新プログラム数の比較

　便利なロールアップ更新プログラムを利用した後者の方法は、他にももっと早く終わる方法があるかもしれませんが、筆者が考えるWindows 7 SP1を最新状態にする最速の方法です。

　Windows 7 SP1を新規インストールし、最新の状態に更新するまでに必要だった再起動はどちらの場合も3回でした。手動（Microsoft Updateカタログ）および自動（Windows Update）でインストールされた重要な更新プログラムの数は、便利な更新プログラムを利用しない場合で113個、利用した場合で60個でした。

　また、C:ドライブのディスク使用量はWindows 7 SP1インストール直後で9.59GBですが、便利なロールアップ更新プログラムを利用しない場合の使用量は19.1GB、便利なロールアップ更新プログラムを利用した場合の使用量は18.8GBでした（画面8）。

画面8　最新の状態に更新後のインストールされた更新プログラム数とC:ドライブの使用量の比較。画面左が便利なロールアップ更新プログラム利用なし、画面右が利用あり、どちらも「ディスククリーンアップ」を実行後の状態

　便利なロールアップ更新プログラムは、更新にかかる時間の大幅な短縮だけでなく、ディスク使用量の抑制にも若干ですが貢献する結果となりました。仮想デスクトップやOSイメージ展開用のイメージを準備する場合、イメージサイズのコンパクト化は重要です。

　Windows Updateを使用したオンラインでの更新を利用せずに、全ての重要な更新プログラムをMicrosoft Updateカタログから入手して、インストールしたい場合もあるでしょう。その場合は、仮想マシン環境などを利用して今回と同じような手順（便利なロールアップ更新プログラムを利用する手順）で更新後に、Windows PowerShellで次のようなコマンドラインを実行してください（YYYY/MM/DDは更新プログラムをインストールした日付に置き換えてください、ただし日時は協定世界時です）。更新完了後はIE 11になっているので、初回のWindows UpdateでインストールされたIE 8用の更新プログラムのインストールは省略できると思います。

Get-HotFix | Where {$_.InstalledOn -eq "YYYY/MM/DD 0:00:00"} > ListOfUpdates.txt

　今回は含めていませんが、この後、.NET Framework 4.8（2019年8月からWindows Updateで重要な更新プログラムとして配布が始まっていますが、9月時点では自動選択されません）とその言語パックおよびセキュリティ更新プログラム、Windows Management Framework 5.1（Windows PowerShell 5.1を含む）やマルウェア対策製品／ツール（Microsoft Security Essentials）、その他のアプリケーションをインストールして、システム設定を調整すれば完成です。

　具体的には、Windows Updateの設定の見直しやWindows Server Update Services（WSUS）クライアントとしての設定、ドメイン参加設定、その他の企業クライアントとしての設定などです。

• .NET Framework 4.8（手動でインストールする場合）
• Windows Management Framework 5.1
• Security Essentialsのダウンロード

筆者紹介

山市 良（やまいち りょう）

岩手県花巻市在住。Microsoft MVP：Cloud and Datacenter Management（2019-2020）。SIer、IT出版社、中堅企業のシステム管理者を経て、フリーのテクニカルライターに。Microsoft製品、テクノロジーを中心に、IT雑誌、Webサイトへの記事の寄稿、ドキュメント作成、事例取材などを手掛ける。個人ブログは『山市良のえぬなんとかわーるど』。近著は『ITプロフェッショナル向けWindowsトラブル解決 コマンド＆テクニック集』（日経BP社）。