Azure Update ManagerでLinux VMのパッチを一元管理する方法｜更新プログラムの評価とスケジュール適用

この記事のポイント

・azure update manager パッチはaz vm assess-patchesで評価できる
・メンテナンス構成とVMの割り当てでスケジュール自動適用が実現できる
・動的スコープで複数VMをタグ条件でまとめて管理できる
・評価後の適用除外フィルターで重要パッチだけを確実に当てられる

# リソースグループと VM 名を変数に設定する
$ RG="rg-linux-practice"
$ VM="linuxvm-rhel94"

# オンデマンドでパッチ評価を実行する（インストールなし）
$ az vm assess-patches \
  --resource-group $RG \
  --name $VM

# 実行結果（抜粋）
{
  "assessmentActivityId": "a1b2c3d4-e5f6-7890-abcd-ef1234567890",
  "availablePatchCount": 12,
  "criticalAndSecurityPatchCount": 4,
  "errorDetails": {
    "code": null,
    "message": null
  },
  "lastModifiedDateTime": "2026-07-22T03:12:45+00:00",
  "otherPatchCount": 8,
  "patches": [
    {
      "activityId": "a1b2c3d4-e5f6-7890-abcd-ef1234567890",
      "classifications": [ "Security" ],
      "kbId": null,
      "name": "openssl-3.0.7-28.el9_4.x86_64",
      "patchInstallationState": "NotInstalled",
      "version": "3.0.7-28.el9_4"
    },
    {
      "activityId": "a1b2c3d4-e5f6-7890-abcd-ef1234567890",
      "classifications": [ "Security" ],
      "kbId": null,
      "name": "kernel-5.14.0-503.26.1.el9_4.x86_64",
      "patchInstallationState": "NotInstalled",
      "version": "5.14.0-503.26.1.el9_4"
    }
  ],
  "rebootPending": false,
  "startDateTime": "2026-07-22T03:12:30+00:00",
  "status": "Succeeded"
}

# Security分類のパッチのみ名前と状態を一覧表示する
$ az vm assess-patches \
  --resource-group $RG \
  --name $VM \
  --query "patches[?contains(classifications,'Security')].{Name:name, State:patchInstallationState}" \
  -o table

Name                                        State
------------------------------------------  ---------------
kernel-5.14.0-503.26.1.el9_4.x86_64        NotInstalled
openssl-3.0.7-28.el9_4.x86_64              NotInstalled
glibc-2.34-117.el9_4.x86_64                NotInstalled
systemd-252-46.el9_4.x86_64                NotInstalled

# 定期評価を有効にする（AssessmentMode を AutomaticByPlatform に設定する）
$ az vm update \
  --resource-group $RG \
  --name $VM \
  --set osProfile.linuxConfiguration.patchSettings.assessmentMode=AutomaticByPlatform

# 確認する
$ az vm show \
  --resource-group $RG \
  --name $VM \
  --query "osProfile.linuxConfiguration.patchSettings" \
  -o json

{
  "assessmentMode": "AutomaticByPlatform",
  "automaticByPlatformSettings": null,
  "patchMode": "AutomaticByPlatform"
}

# メンテナンス構成を作成する
$ az maintenance configuration create \
  --resource-group $RG \
  --name "mc-linux-weekly-security" \
  --maintenance-scope "InGuestPatch" \
  --location "japaneast" \
  --start-date-time "2026-07-26 17:00" \
  --duration "02:00" \
  --recur-every "Week Sunday" \
  --time-zone "UTC" \
  --extension-properties '{"inGuestPatchMode":"User"}' \
  --install-patches-linux-parameters '{"classificationsToInclude":["Security","Critical"],"packageNameMasksToExclude":[],"packageNameMasksToInclude":[]}'

# 作成結果（抜粋）
{
  "id": "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/rg-linux-practice/providers/Microsoft.Maintenance/maintenanceConfigurations/mc-linux-weekly-security",
  "location": "japaneast",
  "maintenanceScope": "InGuestPatch",
  "name": "mc-linux-weekly-security",
  "timeWindow": {
    "duration": "02:00",
    "recurEvery": "Week Sunday",
    "startDateTime": "2026-07-26 17:00",
    "timeZone": "UTC"
  }
}

# VM の リソース ID を取得する
$ VM_ID=$(az vm show \
  --resource-group $RG \
  --name $VM \
  --query "id" -o tsv)

# メンテナンス構成の リソース ID を取得する
$ MC_ID=$(az maintenance configuration show \
  --resource-group $RG \
  --name "mc-linux-weekly-security" \
  --query "id" -o tsv)

# メンテナンス構成を VM に割り当てる
$ az maintenance assignment create \
  --resource-group $RG \
  --resource-name $VM \
  --resource-type "virtualMachines" \
  --provider-name "Microsoft.Compute" \
  --configuration-assignment-name "assign-mc-linux-rhel94" \
  --maintenance-configuration-id $MC_ID

# 割り当て確認
$ az maintenance assignment list \
  --resource-group $RG \
  --resource-name $VM \
  --resource-type "virtualMachines" \
  --provider-name "Microsoft.Compute" \
  -o table

Name                       ResourceGroup        MaintenanceConfigurationId
-------------------------  -------------------  --------------------------------------------------
assign-mc-linux-rhel94     rg-linux-practice    .../mc-linux-weekly-security

# Security と Critical 分類のパッチを今すぐ適用する
$ az vm install-patches \
  --resource-group $RG \
  --name $VM \
  --maximum-duration "PT1H" \
  --reboot-setting "IfRequired" \
  --classifications-to-include-linux "Security" "Critical"

# 適用結果（抜粋）
{
  "installationActivityId": "f1e2d3c4-b5a6-7890-fedc-ba0987654321",
  "installedPatchCount": 4,
  "notSelectedPatchCount": 8,
  "pendingPatchCount": 0,
  "rebootStatus": "NotNeeded",
  "startDateTime": "2026-07-22T04:30:10+00:00",
  "status": "Succeeded"
}

# サブスクリプション ID を取得する
$ SUB_ID=$(az account show --query id -o tsv)

# 動的スコープ（Configuration Assignment）を作成する
# --filter-tags で対象VMを絞り込む（Environment=Production タグを持つ Linux VM）
$ az maintenance assignment create-or-update-subscription \
  --subscription $SUB_ID \
  --configuration-assignment-name "dscope-mc-linux-production" \
  --maintenance-configuration-id $MC_ID \
  --filter-os-types "Linux" \
  --filter-tags '{"Environment":["Production"]}' \
  --filter-locations "japaneast" \
  --filter-resource-types "Microsoft.Compute/virtualMachines"

# 確認：動的スコープに含まれるVMを確認する
$ az maintenance assignment list-parent \
  --provider-name "Microsoft.Maintenance" \
  --resource-type "configurationAssignments" \
  --subscription $SUB_ID \
  -o table

Name                           ResourceGroup        Location
-----------------------------  -------------------  ----------
linuxvm-rhel94                 rg-linux-practice    japaneast
linuxvm-ubuntu2404             rg-linux-practice    japaneast
linuxvm-rhel94-prod02          rg-production        japaneast

# VM に SSH 接続してゲストエージェントの状態を確認する
$ systemctl status walinuxagent    # Ubuntu の場合
$ systemctl status waagent         # RHEL/CentOS の場合

# 停止していた場合は起動する
$ sudo systemctl start walinuxagent   # Ubuntu
$ sudo systemctl start waagent        # RHEL

# 自動起動を有効にする
$ sudo systemctl enable walinuxagent  # Ubuntu
$ sudo systemctl enable waagent       # RHEL

# 現在の patchMode を確認する
$ az vm show \
  --resource-group $RG \
  --name $VM \
  --query "osProfile.linuxConfiguration.patchSettings.patchMode" \
  -o tsv

AutomaticByOS   # ← Azure Update Manager が制御できない状態

# AutomaticByPlatform に変更する
$ az vm update \
  --resource-group $RG \
  --name $VM \
  --set osProfile.linuxConfiguration.patchSettings.patchMode=AutomaticByPlatform

# 再確認する
$ az vm show \
  --resource-group $RG \
  --name $VM \
  --query "osProfile.linuxConfiguration.patchSettings.patchMode" \
  -o tsv

AutomaticByPlatform   # ← 正常

# リソースプロバイダーの登録状態を確認する
$ az provider show \
  --namespace "Microsoft.Maintenance" \
  --query "registrationState" \
  -o tsv

NotRegistered   # ← 未登録の場合

# 登録する（数分かかる）
$ az provider register --namespace "Microsoft.Maintenance"

# 登録完了まで待機して確認する
$ az provider show \
  --namespace "Microsoft.Maintenance" \
  --query "registrationState" \
  -o tsv

Registered   # ← 登録完了