Azure 第36回『Windows Server 2016 の拡張セキュリティ更新プログラム』

Windows Server 2016 は 2027年1月12日で Microsoft のサポートが終了します。

サポートが終了すると、それ以降はセキュリティ更新プログラムが提供されなくなります。また Microsoft からの有償サポート サービスも提供されなくなります。
昨今は AI の進歩に伴い、既存プログラムの脆弱性を発見・分析する技術も進歩しています。一方で、発見された脆弱性への対応にも AI が活用されています。Windows Server 2016 は長期間利用されてきたソフトウェアですが、今後も未知の脆弱性が見つかる可能性があります。
サポートが終了してセキュリティ更新プログラムが提供されなくなると、このような脆弱性がそのまま残ることとなり、システムに対する不正アクセスやマルウェア感染のリスクが高まります。

そのため、サポート終了までに新しいバージョンの Windows Server への更新を行うことが、リスクを回避するための対策となります。

しかし、稼働しているワークロードの互換性や、新しいバージョンの Windows の評価・検証に時間を要するなどの理由で、ただちに新しいバージョンの Windows に更新できない場合もあるでしょう。
このような場合に利用できるのが「拡張セキュリティ更新プログラム（ESU）」です。
ESU はサポートが終了した製品に対して、3年間「緊急」または「重要」なセキュリティ更新プログラムを提供する有償のサービスです。これにより、新たに発見された脆弱性をすばやく修正して、不正アクセスやマルウェア感染のリスクを軽減することができます。

Windows Server 2016 の ESU は、Azure 上で稼働しているすべてのサーバーと、それ以外の場所で稼働している Windows Server 2016 のソフトウェアアシュアランス（SA）があるサーバーで利用できます。

現在稼働している Windows Server 2016 のサポート終了への対策は、

・新しいバージョンの Windows Server へのアップグレード
・拡張セキュリティ更新プログラム（ESU）の適用

のいずれかになります。
最新のセキュリティ機能を備えた新しいバージョンの Windows Server へ移行することが望ましいのですが、ただちに移行できない場合は ESU の適用も選択肢となります。
サーバーの場所とライセンスに応じて、以下のように ESU の適用を検討することができます。

※ 詳しくは次のセクションで解説します。

拡張セキュリティ更新プログラムを購入して利用する方法は、サーバーの稼働形態によって異なります。

Azure 上で実行されている Windows Server 2016 の仮想マシンに対してESU の提供が行われることが公表されています。SA は不要です。また利用期間に応じた従量課金で提供されます。
詳細については今後の Microsoft の告知でご確認ください。

ESU の利用には Windows Server 2016 の SA が必要です。
サーバーを Azure Arc に接続して「Azure Arc 対応サーバー」にすると、従量課金（月単位での課金）で ESU を利用できます。ESU 以外のサービスを利用しなければ、Azure Arc の利用に追加の費用は発生しません。
または、ボリュームライセンス契約を通じて ESU の年間契約を行うことも可能です。

AWS や GCP、OCI などのクラウドで稼働している Windows Server の場合も、オンプレミス（セルフホスト）のサーバーと同様にESU の利用には Windows Server 2016 の SA が必要です。
Azure Arc を通じて従量課金で ESU を利用するか、ボリュームライセンス契約を通じた年間契約を行います。

従量課金の場合、ESU は月額で課金されます。価格は以下の通りです。

※ 下記に記載の価格
（2026年10月19日現在 円建て価格は為替相場により変動します）

またボリュームライセンス契約を通じた年間契約の場合は、1年につき ESU の対象となる Windows Server のライセンス価格の 100% となります。

オンプレミスやセルフホストの Windows Server 2016 で SA がある場合は、「Azure Arc 対応サーバー」として従量課金で ESU を利用できます。月単位で利用期間を調整したい場合には、この方法が有力な選択肢となります。
Windows Server 2016 が稼働しているサーバーを Azure Arc に接続して「Azure Arc 対応サーバー」にするおおまかな手順は以下の通りです。

Azure Arc 対応サーバーのリソースを作成し、利用料金を支払うために、有効な Azure サブスクリプションを用意します。既存契約がある場合はそれを利用できます。Azure サブスクリプションをお持ちでない場合は、当社担当営業までご相談ください。
また誤課金を防ぐため、予算とコストアラートも設定しておくと安全です。

Azure Arc 対応サーバーのリソースをまとめて管理する単位として、リソースグループを用意します。既存の Arc 対応サーバーがある場合は、同じリソースグループを利用できます。
新規作成する場合は、Azure ポータルで［リソースグループ］-［作成］を選んで作成してください。

Azure Arc がサーバーリソースやゲスト構成、接続機能を作成できるように、対象サブスクリプションで必要なリソースプロバイダーを登録します。

Azure ポータルの [サブスクリプション] から対象のサブスクリプションを開き、[リソース プロバイダー] で以下のリソースプロバイダーを検索し、それぞれ [登録] を実行します。

・Microsoft.HybridCompute
・Microsoft.GuestConfiguration
・Microsoft.HybridConnectivity

登録操作にはサブスクリプションの共同作成者ロールまたは所有者ロールの権限が必要です。

1. Azure ポータルで [Azure Arc] を検索してアクセスし、[インフラストラクチャ] - [マシン] - [オンボード/作成]（Onboard/Create） - [既存のマシンをオンボード]（Onboard existing machine）の順に選択します。

2. 基本設定で、配置先のサブスクリプション・リソースグループ・リージョン・対象 OS を指定します。

※対象となるサーバー上で SQL Server を稼働させている場合、[Connect SQL Server] のチェックが有効となっていると、SQL Server も Azure Arc 対応となります。

3. サーバーからインターネットへの接続にプロキシを経由しなければならない場合は、[Connectivity method] 欄の [Proxy server URL] で利用するプロキシを指定します。

4. [Download and run script] をクリックしてスクリプトを生成し、[Download] をクリックして OnboardingScript.ps1をダウンロードします。

5. スクリプトには環境固有の情報が含まれるため機密性を保てる場所にダウンロードし、安全な経路で対象サーバーへコピーします。

事前に以下を確認することをお勧めします。

・サポート対象 OS であること
・時刻同期が正常であること
・Azure の必要な URL へ TCP ポート番号 443 でアクセスできること
・プロキシやファイアウォールで通信が遮断されないこと

1. 対象の Windows Server にローカル Administrators グループのアカウントでサインインします。

2. 次に、コピーした OnboardingScript.ps1 のプロパティを確認して、以下のように [セキュリティ] 欄に [ブロックの解除] が表示されている場合は、[ブロックの解除] にチェックを入れて [OK] をクリックしてください。

3. 準備ができたら、管理者として 64 ビット版 PowerShell を起動し、OnboardingScript.ps1 を実行してください。

4. Web ブラウザーが開いて Azure へのサインインを求められますので、共同作成者ロールまたは所有者ロールの権限を持つアカウントでサインインします。サインインが完了したらブラウザー画面は閉じて構いません。

5. スクリプトは Azure Connected Machine エージェントを取得・インストールし、Azure Arc リソースを作成してサーバーを関連付けます。完了メッセージとエラーの有無を確認し、実行ログは障害調査用に保管します。

数分待ってから Azure ポータルの [Azure Arc] - [マシン] を開き、対象サーバー名が表示され、状態が [接続済み]（Connected）になっていることを確認します。

リソースを開き、サブスクリプション、リソースグループ、リージョン、コンピューター名、OS、エージェント バージョンなどが想定どおりかを確認します。

対象サーバー側では Azure Connected Machine Agent のサービスが稼働していることを確認します。必要に応じて管理者権限のコマンド プロンプトで

azcmagent show

を実行して接続状態とリソース ID を確認できます。

ESU の購入は Azure ポータルで行います。購入にはサブスクリプションの所有者または共同作成者のロールが必要です。

1. Azure ポータルで [Azure Arc] を検索してアクセスし、[ライセンス] ? [ESU ? Windows Server 2016] ? [作成] の順に選択します。

2. [Create an ESU license] 画面で、正しいサブスクリプションが選択されていることを確認し、リソースグループを選択します。ライセンス名（識別のための分かりやすい名前）を入力し、ライセンスの状態、リージョンを指定します。

※ [Activation status] を [Deactivated] にすると、ライセンスのリソースは作成されますが、ライセンスは無効な状態となります。リソースだけ先に作成して、サーバーへの割り当て後に有効にすることができます。

3. [License details] 欄でライセンスのタイプ（物理コア/仮想コア）とコア数を指定します。下に価格の目安が表示されていますので、参考にしてください。

※購入できる最低のコア数は仮想コアで 8、物理コアで 16 です。

4. 必要に応じてタグを設定し、[Review + create] をクリックします。

5. [Review + create] の画面下部に、ESU の利用条件を満たすライセンスを持っていることを確認するチェックボックスが表示されます。内容を確認してチェックを入れ、 [Create] をクリックします。

6. [デプロイが完了しました] と表示されるまで待ちます。

ESU をサーバーに割り当てる方法は複数ありますが、ここではライセンスのデプロイが完了した画面からすぐに割り当てを行う手順を説明します。

1. [デプロイが完了しました] の画面で [リソースに移動] をクリックします。

2. ライセンス リソースの画面が表示されたら、[Management] ? [Linked resources] ? [Add] の順に選択します。

3. [Add machines to the ESU License] 画面に、購入したライセンスの対象となる Arc 対応サーバーが表示されます。ライセンスを割り当てるサーバーにチェックを入れて [Add] をクリックします。

4. [Linked resources] の画面で、ライセンスを適用したサーバーを確認できます。

5. [Azure Arc] ? [ライセンス] ? [ESU ? Windows Server 2016] ? [対象となるリソース] には、ESU ライセンスが適用されている Arc 対応サーバーが表示されます。[ESU Status] が [Enabled] になっていることを確認してください。

ESU ライセンスは、提供開始前に購入して対象サーバーへ割り当てることができます。課金時期については、前述の「ESU の料金」を参照してください。

Windows Server 2016は2027年1月12日にサポートが終了し、以降は通常のセキュリティ更新プログラムやMicrosoftの有償サポートが提供されなくなります。そのため脆弱性が発見されても修正されず、不正アクセスやマルウェア感染のリスクが高まります。
基本的には新しいバージョンのWindows Serverへの移行を計画的に進めることが重要ですが、互換性の確認やシステム改修などの事情ですぐに移行できない場合は、最長3年間、緊急または重要な更新を受けられる有償の拡張セキュリティ更新プログラム（ESU）を移行までの暫定対策として利用できます。
Azure上の仮想マシンではESUを利用でき、オンプレミスやAzure以外のクラウドで稼働するサーバーでも、ソフトウェアアシュアランスなどの利用条件を確認した上で、Azure Arc対応サーバーとして接続することで従量課金のESUを適用できます。
ESUは恒久的な延命策ではなく、開始時期にかかわらず提供開始日からの料金が必要となるため、対象台数、コア数、ライセンス条件、移行時期を早めに整理し、費用とリスクを比較しながらアップグレード計画と併せて準備を進めることが大切です。
新しいバージョンのWindows Serverへの移行、ESU の購入、従量課金での利用に必要となる Azure サブスクリプションの契約につきましては、お気軽に当社担当営業までご相談ください。