セキュア ブート更新プロセスに関してよく寄せられる質問

セキュア ブート証明書の有効期限が切れると、新しい 2023 証明書を受信していないデバイスは引き続き正常に起動して動作し、標準の Windows 更新プログラムは引き続きインストールされます。 ただし、これらのデバイスは、Windows ブート マネージャー、セキュア ブート データベース、失効リスト、または新しく検出されたブート レベルの脆弱性の軽減策などの、初期ブート プロセスの新しいセキュリティ保護を受け取れなくなります。

時間が経つにつれて、新たな脅威に対するデバイスの保護が制限され、BitLocker の強化やサードパーティ製のブートローダーなど、セキュア ブートの信頼に依存するシナリオに影響する可能性があります。 ほとんどの Windows デバイスは更新された証明書を自動的に受け取り、多くの OEM は必要に応じてファームウェア更新プログラムを提供しています。 これらの更新プログラムを使用してデバイスを最新の状態に保つことは、セキュア ブートが提供するように設計された完全なセキュリティ保護のセットを引き続き受け取るのに役立ちます。

セキュア ブート証明書は、2026 年 6 月の有効期限より前に更新することをお勧めします。

デバイスが Microsoft によって管理され、診断データを Microsoft と共有している場合、ほとんどの場合、Microsoft はセキュア ブート証明書を自動的に更新しようとします。 Microsoft はセキュア ブートの更新に最善を尽くしますが、更新プログラムの適用が保証されず、お客様のアクションが必要になる場合があります。 お客様は、セキュリティで保護されたブート証明書を更新する責任を最終的に負います。

診断データが有効になっている Microsoft マネージド デバイスが更新プログラムを受け取らない状況の例を次に示します。

• Microsoft Secure Boot の更新プログラムは、サポートされている一部のバージョンの Windows にのみ適用されます。
• デバイスで有効になっている診断データは、organizationのファイアウォールによってブロックされ、Microsoft に到達しない可能性があります。
• デバイスのファームウェアに問題がある可能性があります。

メモ "Microsoft によって管理される" とはどういう意味ですか? システムは診断データを共有し、Microsoft Cloud またはIntuneによって管理されます。

デバイスが Microsoft と診断データを共有せず、organizationの IT 部門または顧客によって管理されている場合、IT 部門は、Windows Secure Boot 証明書の有効期限と CA 更新に関する Microsoft のガイダンスに従ってシステムを更新できます。

コンピューターが Microsoft によって管理されている場合、セキュア ブート証明書はWindows Updateによって更新されます。

コンピューターがorganizationまたはビジネス IT 管理者によって管理されている場合、IT 部門には、Windows セキュア ブート証明書の有効期限と CA の更新に関するガイダンスを使用してシステムを更新する方法があります。

Windows 10 サポートは 2025 年 10 月 14 日に終了します。 詳細については、2025 年 10 月 14 日Windows 10サポート終了に関するページを参照してください。

この日以降も引き続きセキュリティ Updatesを受け取るために、Windows 10に残っているお客様は次のユーザーにサインアップできます。

• 拡張セキュリティ Updates (ESU) プログラムWindows 10、「拡張セキュリティ Updates (ESU) プログラムのWindows 10」を参照してください。
• または、サポートされている LTSC バージョンのWindows 10がある場合は、LTSC の有効期限が切れるまでセキュリティ Updatesが引き続き取得されます。 たとえば、Windows 10の拡張セキュリティ Updates (ESU) プログラムに関するページを参照してください。

メモ

• Windows 10 Enterprise LTSC は、スタンドアロン SKU として、または Windows Enterprise E3 サブスクリプションの一部として購入できます。
• Windows IoT Enterprise LTSC は、OEM から直接購入することも、スタンドアロン SKU としてベンダー ライセンスを通じて購入することもできます。

セキュア ブート証明書を使用すると、ファームウェアは、ブート マネージャー、オプション ROM (ファームウェア ドライバー)、その他のファームウェア ベースのソフトウェアなどの重要なコンポーネントが信頼され、改ざんされていないことを確認できます。 Microsoft では、これらの証明書を使用して、ブート マネージャーや、信頼する必要があるその他のコンポーネント、およびセキュア ブート更新プログラムに署名します。 古い証明書の有効期限が切れると、新しいコンポーネントや更新プログラムの署名に使用できなくなります。

セキュア ブートが無効になっているデバイスは、ファームウェアで新しいセキュア ブート証明書を受け取りません。 その結果、セキュア ブート保護は適用されないため、ブート キットなどのブート レベルのマルウェアに対して脆弱なままになります。

信頼に基づく展開を通じて累積的な更新プログラムを受け取ったり、診断データを有効にして制御機能ロールアウト (CFR) に登録したりするなど、対象となるデバイスの場合、Microsoft は該当するすべての証明書の更新を試みます。 ただし、これらの更新プログラムは、保証ではなく、支援として提供されます。 IT 管理者は、Microsoft の自動 CFR やその他の文書化されたデプロイ方法を使用して、フリート全体を確実に更新する責任を引き続き負います。

証明書は、2025 年 5 月 13 日、累積更新プログラム (LCU) 以降に含まれていました。 ただし、自動的には適用されません。追加の手順が必要です。 デプロイガイダンスについては、「 https://aka.ms/getsecureboot」を参照してください。

彼らは異なる目的に役立ちます。

ファームウェアの更新では、ファームウェアに格納されている既定のセキュア ブート変数を更新できます。 これは主に、セキュア ブート設定が後で既定値にリセットされる場合に便利です。これは、ファームウェアの既定値によって、そのシナリオで復元される証明書が決定されるためです。

Windows は、通常のブート時に適用されるアクティブなセキュア ブート変数に変更を適用します。 これらのアクティブ変数は、ファームウェアがブート コンポーネントを検証するために使用するものと、Windows が将来のセキュア ブート保護を提供するために依存しているものです。

実際には、Windows はアクティブなセキュア ブート構成を最新の状態に保つ役割を担います。 ファームウェアの更新により、既定値も確実に更新されるため、セキュア ブートが将来リセットまたは再初期化された場合のリスクが軽減されます。

管理者は、ファームウェアの更新プログラムが使用可能かどうかに関係なく、アクティブなセキュア ブート変数が更新され、展開状態を監視する必要があります。

次の 2 つのパスが考えられます。

• コンピューターが診断データを共有して Microsoft によって管理されていて、OS がサポートされている場合、Microsoft は更新を試みます。
• デバイスが IT 管理者によって管理または管理されている場合、IT 部門は、 Windows Secure Boot 証明書の有効期限と CA 更新プログラムに関する Microsoft ガイダンスに従って更新プログラムを安全に取得できる、検証済みの一連のコンピューターに更新プログラムを適用できます。

これらの手順は、OEM からのファームウェア更新を必要とせずに、ほとんどのお客様に対応することが期待されます。 ただし、デバイス ファームウェアの既知または不明な問題が原因で更新プログラムが適用されない場合があります。 このような場合は、ファームウェアの更新に関する OEM ガイダンスに従ってください。

メモ 上記のプロセスでは、OS を介してセキュア ブート アクティブ変数が適用されます。 セキュア ブート ファームウェアの既定値は、OEM によってリリースされるファームウェアに保持されます。 ガイダンスは、OEM がファームウェアの既定値を新しい証明書に変更する更新プログラムをリリースしていない限り、セキュア ブート構成を変更または更新しないことをお勧めします。

証明書の有効期限が切れると、セキュア ブート保護が低下します。 システムが Windows 11 などの新しい OS の要件を満たしている場合は、新しい OS バージョンの Windows 11 にアップグレードできます。

Windows 10 LTSC デバイスでセキュア ブートが有効になっていない場合、新しいセキュア ブート証明書の現在のロールアウトには含まれません。 WINDOWS 11 LTSC へのアップグレードを開始するときは、その時点で関連する特定の移行手順に従って、新しい 2023 証明書が確実に含まれるようにする必要があります。

サポートされている Windows OS バージョンのみが証明書を取得します。

仮想環境で実行されている Windows の場合、Secure Boot ファームウェア変数に新しい証明書を追加するには、次の 2 つの方法があります。

• 仮想環境の作成者 (AWS、Azure、Hyper-V、VMware など) は、環境の更新プログラムを提供し、仮想化されたファームウェアに新しい証明書を含めることができます。 これは、新しい仮想化されたデバイスで機能します。
• VM で長期的に実行されている Windows の場合、仮想化されたファームウェアがセキュア ブート更新プログラムをサポートしている場合は、他のデバイスと同様に Windows を介して更新プログラムを適用できます。

これらの顧客/IT 管理環境では、多くの場合、Microsoft が新しい機能を自信を持って安全にロールアウトするための十分な診断データが不足しています。 さらに、IT 部門は通常、更新のタイミングとコンテンツを完全に制御して、コンプライアンス、安定性、および内部ツールとワークフローとの互換性を確保することを好みます。 多くのエンタープライズ デバイスは、CFR によって暗示される外部アクセスまたは管理が望ましくない、または禁止されている可能性がある、機密性の高い環境や制限された環境でも動作します。

Windows が既に 2023 署名されたブート マネージャーを使用しているが、ファームウェアが Windows UEFI CA 2023 証明書を含まない既定値にリセットされている場合、セキュア ブートはブート プロセスをブロックします。

これを解決するには、回復アプリケーションを使用して 2023 証明書をファームウェアの DB に再適用する必要があります。 これを行うには、回復 USB を作成し、その USB から影響を受けるデバイスを起動して、不足している証明書を復元します。

詳細な手順については、 Windows インストール メディアを更新するための Microsoft の公式ガイダンスを参照してください。

はい。 新しいセキュア ブート証明書を含む累積的な更新プログラムは、既存の証明書の有効期限が切れている場合でも適用できます。 デバイスが Windows を起動して更新プログラムをインストールできる場合は、発行された展開ガイダンスに従って、更新された証明書をファームウェアに書き込むことができます。 ほとんどのデバイスではこれらの更新プログラムが自動的に受信されますが、一部のシステムでは追加のファームウェア更新プログラムが必要になる場合があります。