※本ページにはプロモーション(広告)が含まれています

【2026年最新版】Windows 11 WSUSオフライン更新の承認同期失敗の対処法【完全ガイド】

「WSUSサーバーを使っているのにオフライン環境のクライアントに更新が配信されない」「wsusutil importは成功しているのに承認ステータスが同期されない」「クライアントがWindows Updateを確認しても『最新の状態です』と表示されるが、実際には未適用の更新がある」——こうしたWSUS（Windows Server Update Services）のオフライン更新にまつわるトラブルは、Windows 11環境のIT管理者を悩ませる典型的な問題です。

特にインターネットに接続できないエアギャップ環境（物理的に隔離されたネットワーク）でWSUSを運用している場合、更新ファイルのインポートと承認ステータスの同期は別々の作業であり、ここに多くの落とし穴があります。

本記事では、WSUSオフライン更新において承認同期が失敗する根本原因と、確実に解決できる具体的な対処法をステップ形式で解説します。

WSUSオフライン更新の基本的な仕組み

WSUSのオフライン更新（エアギャップ更新とも呼ばれる）は、インターネットに接続された「インターネット接続WSUSサーバー」と、隔離環境にある「オフラインWSUSサーバー」の2台構成で行います。

オフライン更新の3ステップ

この3ステップのうち、問題が最も多いのはStep 3のインポート後の承認同期です。wsusutil importコマンドが正常に完了しても、クライアント側に承認情報が伝わらないケースが多く報告されています。

承認同期が失敗する5つの主な原因

原因1：wsusutil export時にlangage指定が不一致

エクスポート時に指定した言語と、オフラインWSUSサーバーの言語設定が一致していないと、インポートは成功するように見えても承認ステータスが正しく引き継がれません。Windows 11向けの更新では日本語（ja）と英語（en）が混在することがあり、この不一致が原因になります。

原因2：コンピューターグループの承認が含まれていない

wsusutil exportはデフォルトで「すべてのコンピューター」グループの承認情報のみをエクスポートします。特定のコンピューターグループ（例：「Windows 11 Pro端末」「経理部PC」など）に対して個別に承認を設定している場合、その承認情報がエクスポートに含まれず、インポート後に消えてしまいます。

原因3：WSUSデータベースのインデックス破損

Windows Server 2022以降のWSUSでは、Windows Internal Database（WID）またはSQL Serverのインデックスが破損していると、承認情報のインポートが途中で失敗します。エラーが表示されずに「成功」と表示されることがあるため、非常に気づきにくい問題です。

原因4：SSL証明書の期限切れ

WSUS管理コンソールとサーバー間の通信にSSL証明書を使用している環境では、証明書の期限切れが承認同期のエラーを引き起こすことがあります。特にオフライン環境では証明書の更新が遅れやすく、見落としがちな原因です。

原因5：Windows 11クライアントのWUAgent（Windows Update Agent）バージョン不一致

Windows 11 24H2以降のクライアントは新しいバージョンのWUAgentを使用しており、古いバージョンのWSUSサーバー（Windows Server 2016時代のもの）とプロトコルの互換性問題が発生する場合があります。この場合、サーバー側で承認が完了していても、クライアントが更新を認識しません。

対処法：承認同期を確実に成功させる手順

対処法1：正しいwsusutil export/importコマンドの実行（根本解決）

最も重要なのは、エクスポート・インポートのコマンドを正確に実行することです。

cd C:\Program Files\Update Services\Tools
wsusutil.exe export export.xml.gz export.log

wsusutil.exe import export.xml.gz import.log

対処法2：コンピューターグループの承認を手動で再設定

コンピューターグループ固有の承認が消えた場合は、手動で再承認します。

更新数が多い場合はPowerShellスクリプトで一括承認できます。

[reflection.assembly]::LoadWithPartialName("Microsoft.UpdateServices.Administration") | Out-Null
$wsus = [Microsoft.UpdateServices.Administration.AdminProxy]::GetUpdateServer("localhost", $false, 8530)
$group = $wsus.GetComputerTargetGroups() | Where-Object { $_.Name -eq "TargetGroupName" }
$updates = $wsus.GetUpdates() | Where-Object { $_.ApprovalSummary.NotApproved -gt 0 }
foreach ($update in $updates) {
    $update.Approve([Microsoft.UpdateServices.Administration.UpdateApprovalAction]::Install, $group)
}

対処法3：WSUSデータベースのインデックス再構築

データベースのインデックス破損を修復します。

sqlcmd -S \\.\pipe\Microsoft##WID\tsql\query -E -d SUSDB

EXEC sp_msforeachtable 'ALTER INDEX ALL ON ? REBUILD'
GO

対処法4：SSL証明書の更新確認

対処法5：WUAgentのバージョン確認と更新

対処法の効果比較

オフライン環境でのWSUS運用ベストプラクティス

• エクスポート前に必ずWSUSコンソールの同期を完了させてから実行する
• import.logは毎回保存して前回と比較できるようにする
• 月次定期作業としてDBインデックス再構築を組み込む（障害予防）
• SSL証明書の有効期限をカレンダーに登録して事前に更新する（有効期限90日前が目安）
• PowerShell一括承認スクリプトを定型化してミスを減らす
• 承認後はwuauclt /detectnowでクライアントに即時確認させる（Windows 11では UsoClient StartScan）

よくある質問（FAQ）

Q1. wsusutil importが「成功」と表示されるのに承認状態が変わりません

wsusutil importはメタデータのインポートが完了したことを示すだけで、承認情報が正しくDBに書き込まれたかは別問題です。対処法2のPowerShellスクリプトで承認状態をクエリし、未承認の更新があれば手動で再承認してください。また、WSUS管理コンソールで「今すぐ同期」を実行することも重要です。

Q2. エクスポートファイルが非常に大きく転送に時間がかかります

wsusutil exportのメタデータファイル（.xml.gz）は圧縮されているため通常は数百MB以下ですが、更新プログラムのバイナリファイル（WSUSContentフォルダ）は数十GBになることがあります。バイナリは差分のみを転送する「ロバスト・ファイルコピー（robocopy /mir /xo）」を使うと移送時間を大幅に短縮できます。

Q3. 承認したはずなのにクライアントに配信されません

承認後、クライアントがWSUSに問い合わせるタイミングまで待つ必要があります（デフォルトは22時間間隔）。即時確認させるには、クライアントのコマンドプロンプト（管理者権限）で UsoClient StartScan を実行してください。それでも反映されない場合はグループポリシーのWSUS設定を再確認してください。

Q4. WSUS管理コンソールが「接続できません」と表示されます

WSUSサービス（Update Services）が停止している可能性があります。services.mscでWindows Server Update Servicesが「実行中」になっているか確認してください。また、WSUSのアプリケーションプール（IISマネージャーで「WsusPool」）が停止している場合も同様の症状が出るため、こちらも確認してください。

Q5. 月次更新のたびに毎回同じ問題が発生します。自動化できますか？

はい、PowerShellスクリプトとタスクスケジューラを組み合わせて承認プロセスを自動化できます。インポート完了後に対処法2のPowerShellスクリプトを自動実行するバッチ処理を作成し、タスクスケジューラに登録することで、毎月の手動作業を最小化できます。

Q6. Windows 11 24H2向けの更新が特に同期されません

Windows 11 24H2はWindows Update for Businessの新しい配信スキームを採用しており、古いWSUSサーバー（Windows Server 2016ベース）ではサポートが不完全な場合があります。Windows Server 2022以降のWSUSサーバーへのアップグレード、またはWindows Server 2019以降へのWSUSロールの移行をご検討ください。

まとめ

Windows 11環境でのWSUSオフライン更新における承認同期失敗は、以下の原因が複合して発生することが多いです。

• wsusutil export/importのコマンドオプション不備
• コンピューターグループ個別承認のエクスポート漏れ
• WSUSデータベースのインデックス破損
• SSL証明書の期限切れ
• WUAgentのバージョン不一致

解決の優先順位は、まず対処法1（正しいコマンド実行）を試し、それでも解決しない場合は対処法2（グループ承認の手動再設定）、続いて対処法3（DBインデックス再構築）の順で実施することをお勧めします。

月次の定期メンテナンスにDBインデックス再構築とSSL証明書の有効期限確認を組み込むことで、慢性的な問題を防止することができます。