[Java] When is the next Java update?

原文はこちら。
https://blogs.oracle.com/java-platform-group/entry/when_is_the_next_java

---

"Java update available -- a new version of Java is ready to be installed..."
(Javaのアップデートが利用できます-- 新しいバージョンのJavaのインストール準備ができました)

OracleのJava SEは、Oracle Critical Patch Update（以下CPU）のスケジュールでアップデートされます。

Critical Patch Updates, Security Alerts and Third Party Bulletin
http://www.oracle.com/technetwork/topics/security/alerts-086861.html

これらのアップデートの日程は1年先の情報まで公開しており、このスケジュールは、システム管理者がシステム全体でソフトウェア管理する上で役立ちます。他の機能、セキュリティベースラインと組み合わせることで、クライアントシステムは、新しいセキュリティ更新プログラムを検出することができますし、アップデートを提供し、クライアントシステムへの攻撃を減少させることによって、クライアントシステムの動作を調整することができます。セキュリティベースラインを下回るバージョンが必要な場合、システム管理者はデプロイメントルールセットを使って互換性を管理することができます。

The Security Baseline

セキュリティベースラインは、Java 7 upadte 10（2012年12月）でJREの有効期限と組み合わさり、新しい挙動をするようになりました。

Java™ SE Development Kit 7, Update 10 (JDK 7u10)
http://www.oracle.com/technetwork/java/javase/7u10-relnotes-1880995.html

これまでは、JDK 1.4以降、どのJavaバージョンに最新のセキュリティパッチが含まれているかを特定してきました。

JDK 5.0u22 Release Notes
Changes in 1.5.0_12
http://www.oracle.com/technetwork/java/javase/releasenotes-142123.html#150_12

各主要なJavaバージョン（Java 6、Java 7、Java 8）で異なるベースラインのバージョンがあり、JREは主として二つの方法で更新対象であるかどうかを識別します。

• JREは定期的にセキュリティベースラインをチェックし、新しいバージョンが利用可能であるかどうかを確認します。セキュリティベースラインを下回っていることを検出すると、セキュリティベースライン要件を満たすバージョンのアップデートが必要と判断します。
• この定期的な検査のスケジュールは、システム管理者が制御できます。
  

  What is Java Auto Update? How do I change notify settings?
  https://www.java.com/en/download/help/java_update.xml

• クライアントマシンが何らかの理由でセキュリティベースラインに到達できない場合、最終的に組み込まれている有効期限に到達します。有効期限は、各リリースノートで公開されていますが、通常は次回の定期CPUの1ヶ月後です。
  

  Java Development Kit 8 Update Release Notes
  http://www.oracle.com/technetwork/java/javase/8u-relnotes-2225394.html

  この有効期限は組み込まれており、制御することはできません。
• 例えば、このエントリを記載しているタイミングでは、Java 8の現在のセキュリティベースラインは1.80_65です。次回の定期CPUは1月19日を予定しているので、Java 1.8.0_65の有効期限は2月19日です。
  

  Critical Patch Updates, Security Alerts and Third Party Bulletin
  http://www.oracle.com/technetwork/topics/security/alerts-086861.html
  8u65 Update Release Notes
  http://www.oracle.com/technetwork/java/javase/8u65-relnotes-2687063.html

CPUに加え、Patch Set Update (PSU) とよばれる別のリリースタイプがあります。これには重要度のそれほど高くない変更が追加されています。PSUのバージョンは数値上セキュリティベースラインより大きな値ですが、PSUには、セキュリティベースラインに対応するCPUとまったく同じ重要なパッチが含まれています。例えば、執筆時点では、セキュリティベースラインは1.8.0_65で、別のPSUである1.8.0_66には、追加の変更が含まれています。重要なパッチだけを適用したいのであれば、PSUに含まれる変更を適用する必要はありませんし、個別にテストすることができます。次の定期CPUでは、1.8.0_66からの変更が含まれます。

What happens when the security baseline changes or the expiration date passes

クライアントが現在のセキュリティベースラインを下回っていることを検出した場合、通常は2個のタスクを実行します。

• エンドユーザーに対し、新しいアップデートをインストールするように促す
• インストールされたJREに対する潜在的な攻撃面を減らす

「JREの有効期限が切れた、もしくはセキュリティベースラインを下回ったか」という質問に対してＨ、RIA（Rich Internet Application Deployment Process）デプロイメントプロセスでこれらの変更を説明しています。

Rich Internet Application Deployment Process
http://docs.oracle.com/javase/8/docs/technotes/guides/deploy/deployment_flow.html

「このRIA用のルールは存在するか」という質問に対しては、プロンプトの管理やセキュリティベースラインを下回るJavaバージョンを利用する必要があるデスクトップ管理者は、デプロイメントルールセットを使って対応することができます。

Deployment Rule Set by Example
https://blogs.oracle.com/java-platform-group/entry/deployment_rule_set_by_example

攻撃面の減少は（ブラウザを通じて）リッチ・インターネット・アプリケーションに適用されます。

Planning for updates

この先1年のCPUの予定が公開されているので、システム管理者はJavaのアップデートをクライアントシステムに展開する計画を事前に計画しておくべきです。デプロイメントルールセットを使って、種々の理由で最新のJava Runtime Environmentを利用できないアプリケーションについて、既知の安全なアプリケーションが特定の古いJREを使うことができるか、ホワイトリストに登録しておく必要があります。CPUはJava 6、Java 7でも商用製品のJava SE Advancedを通じて、その他の管理ツールとともに利用することができます。

数多くの管理対象システムに対し、四半期毎にJavaを展開しなければならない管理者は、商用製品であるJava SE Advancedを検討されてもよいかと思います。Java SE Advancedでは、大規模にJavaを管理する上で使いやすいツールを提供しています。

Oracle Java SE Advanced & Suite Products
http://www.oracle.com/technetwork/jp/java/javaseproducts/overview/index.html（日本語）
http://www.oracle.com/technetwork/java/javaseproducts/overview/index.html（英語）

•  カスタマイズやデプロイメントをより簡単にするためのエンタープライズMSIインストーラ
  

  Java Platform, Standard Edition: MSI Enterprise JRE Installer Guide for Windows
  https://docs.oracle.com/javacomponents/msi-jre8/install-guide/

• パブリックサポートが終了した古いバージョンのJavaに対するCPUの提供（例：Java 6やJava 7）
• Javaアプリケーションのアプリケーションインベントリの構築、トラッキングされた利用状況からデプロイメントルールセットの作成に役立つAdvanced Management Console
  

  Advanced Management Console
  http://www.oracle.com/technetwork/java/javaseproducts/advanced-mgmt/advancedmanagementconsole-2254207.html

• より詳細・深い分析に有用な、Java Flight RecorderとMission Control

  Java Mission Control
  http://www.oracle.com/technetwork/java/javaseproducts/mission-control/java-mission-control-1998576.html
  A Great Example of the Power of Flight Recorder
  https://blogs.oracle.com/buck/entry/a_great_example_of_the
  http://orablogs-jp.blogspot.jp/2015/10/a-great-example-of-power-of-flight.html

• Javaのバグを監視、追跡できる経験豊富なチームからのサポート

Additional Resources

• Introducing Deployment Rule Sets
  https://blogs.oracle.com/java-platform-group/entry/introducing_deployment_rule_sets
• Deployment Rule Set by Example
  https://blogs.oracle.com/java-platform-group/entry/deployment_rule_set_by_example
• Advanced Management Console
  http://www.oracle.com/technetwork/java/javaseproducts/advanced-mgmt/advancedmanagementconsole-2254207.html
• Advanced Management Console 2.0（動画による紹介）
  https://www.youtube.com/watch?v=ZALX0zS7cpI
• Managing multiple Java versions
  https://blogs.oracle.com/java-platform-group/entry/managing_multiple_java_versions