Windows 11でセキュアブートを有効にする方法（確認、修正、検証）

By Mirko Peters · 2026-11-12

Windows 11でセキュアブートを有効にする方法：現在の状態を確認し、UEFI設定を開き、レガシモードから切り替え、MBRをGPTに変換して、Intuneで検証します。

Automatically translated with AI from the original post. Read the English original

Windows 11でセキュアブートを有効にするには、UEFIファームウェア設定を開いて再起動します（設定、システム、回復、詳細スタートアップ、今すぐ再起動の順に選択し、次にトラブルシューティング、詳細オプション、UEFI ファームウェアの設定を選択します）。ブートモードがレガシまたはCSMではなくUEFIになっていることを確認し、ブートまたはセキュリティのタブでセキュアブートを有効にします。その後、Windowsから有効になったことを確認します。この記事は、セキュアブートが無効になっているPC、またはWindows 11でそのPCが実行できないと表示される場合の、PCや端末群を管理するIT管理者を対象としています。現在の状態の確認、設定の有効化、ファームウェアがレガシモードで固定されている場合のMBRからGPTへの変換、そしてIntuneでの結果の検証方法を説明します。

重要なポイント

• セキュアブートはUEFIファームウェアの設定であるため、Windowsではなくファームウェアのセットアップで有効にします。[設定]、[システム]、[回復]、[詳細スタートアップ]の順に選択して開きます。
• セキュアブートを使用するには、ファームウェアがUEFIモードで動作している必要があります。PCがレガシまたはCSMモードで動作している場合は、先にUEFIに切り替えてください。メニュー名はメーカーによって異なります。
• MBRディスク上のBIOSモードでのインストールは、通常、ファームウェアがUEFIモードを使用できるようになる前に、MBR2GPTを使ってGPTに変換する必要があります。この変換は元に戻せないため、事前にバックアップを取ってください。
• 管理者としてPowerShellでConfirm-SecureBootUEFIを実行して結果を確認します。Trueであればセキュアブートは有効です。
• Intuneでは、コンプライアンス設定の「セキュアブートを必要とする」はデバイスの正常性の認定とTPM 2.0に依存します。TPM 2.0のないデバイスは、準拠していないと表示されます。

セキュアブートの役割と、Windows 11で必要とされる理由

Microsoftは、セキュアブートを、PCの起動時に未承認のソフトウェアが読み込まれるのを防ぐのに役立つセキュリティ機能として説明しています。有効にすると、ファームウェアは起動前にブートローダーが信頼された証明書で署名されているかを確認し、その後Windowsが信頼のチェーンを引き継ぎます。詳細はMicrosoft LearnのSecure the Windows boot processに記載されています。

Windows 11のハードウェア要件には、関連する記載があります。システムファームウェアはUEFIであり、セキュアブートに対応している必要があり、PCにはTPM 2.0が必要です。「対応」という言葉は誤解されやすい点です。PCがセキュアブートをサポートしていても、機能がオフになっていたり、利用できないレガシモードで動作していたりする場合があります。Windows 11向けのMicrosoftのセキュアブートのページでは、有効にするにはブートモードをレガシ（CSMモードとも呼ばれます）からUEFIに切り替える必要があり、ファームウェアで両方が提供されている場合は、UEFIを最初の、または唯一の選択肢にすべきだと補足されています。

まず現在の状態を確認する

ファームウェアに手を加える前に、現在の状態を確認してください。確認には1分もかからず、再起動の手間も省けます。

1. 管理者としてPowerShellを開きます。
2. Confirm-SecureBootUEFIを実行します。

Microsoft Learnには結果が次のように記載されています。コンピューターがセキュアブートに対応していて有効になっている場合はTrue、対応しているが無効になっている場合はFalseです。コンピューターがセキュアブートに対応していない場合、またはBIOS（非UEFI）マシンの場合、コマンドレットはこのプラットフォームではサポートされていないと表示します。このコマンドレットは管理者として実行したプロンプトから実行する必要があります。そうしないと、アクセス拒否のメッセージが表示されます。

msinfo32 を実行し、システムの概要を確認することもできます。BIOS Mode の行は UEFI と表示されるはずです。Microsoft の Intune トラブルシューティング記事でも、同じツールを使って BIOS Mode と PCR7 Configuration を確認しています。システム情報には Secure Boot State の行もあり、On、Off、Unsupported のいずれかが表示されます。この行は私が参照した Microsoft のページには説明がないため、まず PowerShell の結果を優先してください。

変更後には、Microsoftの有効化ガイドにもう一つの確認方法があります。設定、セキュリティ、統合保護の順に開き、セキュア ブートがオンになっていることを確認してください。この項目の表示名は Windows のビルドによって異なる場合があります。

Confirm-SecureBootUEFIがプラットフォームはサポートされていないと表示した場合は、この記事の大部分で扱っている状況にあたります。つまり、PCがレガシモードで起動しています。

UEFI設定でセキュア ブートを有効にする

この設定はファームウェアにあるため、ファームウェアの設定画面を開く必要があります。以下の手順は、Microsoftのセキュア ブートの有効化ガイドに基づいています。

1. 作業中のデータを保存します。設定を開き、システム、回復の順に選択します。
2. 详细启动の横にある今すぐ再起動を選択します。
3. オプションの選択画面で、トラブルシューティング、詳細オプションの順に選択します。
4. UEFI ファームウェアの設定を選択し、再起動を選択します。
5. ファームウェアで、セキュア ブートの設定を探します。通常はBootタブまたはSecurityタブにあります。ブートモードがLegacyまたはCSMになっている場合は、先にUEFIに切り替えてください。
6. セキュア ブートを有効にして、保存して終了します。

メニューや表記はメーカーごとに異なり、Microsoftも共通の手順は示していません。同ガイドでは、Surface、Acer、ASRock、ASUS、BIOSTAR、Colorful、Dell または Alienware、GIGABYTE または AORUS、HP または OMEN、Lenovo、MSI のベンダー向け手順へのリンクが掲載されています。自作PCの場合は、マザーボードメーカーのガイドを使用してください。Surfaceの場合、手順はSurface UEFIに記載されています。Securityを選択し、Secure Bootの下でChange configurationを選択します。証明書の一覧からMicrosoft onlyを選び、OKを選択します。その後、Exit、Restart nowの順に選択します。

Microsoftの警告はすべてのベンダーに共通します。ファームウェアの設定を誤って変更すると、PCのセキュリティに影響したり、正常に起動できなくなったりする可能性があります。メーカーが説明しているセキュア ブートの設定のみを変更してください。変更後にPCが起動しない場合は、ファームウェアに戻り、直前の変更を元に戻してください。

PCがMBRディスク上でレガシモードで動作している場合

これは厄介なケースです。ファームウェアがUEFIモードを提供していても、WindowsはMBRディスク上でレガシモードとしてインストールされているため、UEFIに切り替えるとPCが起動しなくなります。解決策は、ディスクをGPTに変換することです。MicrosoftのMBR2GPTツールを使えば、ディスク上のデータを変更や削除することなく変換できます。

まず、パーティションスタイルを確認します。PowerShellでGet-Disk | ft -Autoを実行し、Partition Style列を確認してください。ここにMBRまたはGPTが表示されます。ディスクの管理（diskmgmt.msc）では、ディスクのプロパティを開き、ボリュームタブのパーティション形式を確認できます。

次に、Microsoftの前提条件を確認します。デバイスがUEFIに対応している必要があり、ディスクはシステムディスクである必要があります。また、GPT構造のための空き領域が必要です。プライマリパーティションは最大3つまでで、拡張パーティションや論理パーティションは使用できません。ボリュームがBitLockerで暗号化されている場合は、先に保護を一時停止する必要があります。

1. PCをバックアップしてください。ツールの出力にも、この変更は元に戻せないと警告が表示されます。
2. BitLockerが有効な場合は、一時停止してください。
3. 検証：MBR2GPT /validate /allowFullOS（Windows PEから実行する場合は/disk:0）
4. 変換：MBR2GPT /convert /allowFullOS
5. ファームウェアに再起動し、ブート モードを UEFI に切り替えます。Microsoft も明言しているとおり、この後はディスクを GPT モードでしかブートできず、ファームウェアを UEFI に切り替えるまでシステムは正しくブートしません。
6. 上記のとおりセキュア ブートを有効にし、BitLocker を再開します。

既定では、このツールは Windows PE のコマンド プロンプトから実行されます。/allowFullOS オプションを指定すると、完全な OS 上で実行できます。その場合、OS パーティションを縮小して新しい EFI システム パーティションを作成します。戻り値 0 は成功を意味します。戻り値 100 は、変換には成功したものの、一部の BCD エントリを復元できなかったことを意味します。詳細は setupact.log と setuperr.log で確認してください。Microsoft のページでは、Windows 10 と Windows 11 がサポートされていると記載されています。

TPM 2.0 も確認する

Windows 11 ではセキュア ブートと TPM 2.0 の両方が必要であり、管理ツールでのセキュア ブートのチェックは通常 TPM に依存します。確認するには、Windows キー + R を押して tpm.msc と入力し、「TPM の製造元情報」の 仕様のバージョン を確認します。「互換性のある TPM が見つかりません」と表示される場合は、ファームウェアで TPM が無効になっている可能性があります。

Microsoft の TPM 2.0 の有効化に関するページでは、Advanced、Security、Trusted Computing という名前のサブメニューを探すよう案内しています。設定名は Security Device、Security Device Support、TPM State、AMD fTPM、Intel PTT などの場合があります。バージョン 2.0 未満の TPM は、有効にしても解決できません。そのデバイスは Windows 11 の要件を満たしていないためです。

管理者向け: Intune と Autopilot でセキュア ブートを確認する

Microsoft Intune では、Windows の準拠性設定 Require Secure Boot to be enabled on the device に「構成されていません」と「必要」の 2 つの選択肢があります。Microsoft はこの設定を、デバイスが工場出荷時の信頼された状態でブートし、主要なブート コンポーネントが UEFI ファームウェアによって検証されていることを要求するものと説明しています。注意点はトラブルシューティングの記事にあります。このチェックはデバイス正常性の証明に依存しており、これには TPM 2.0 以降が必要です。TPM 2.0 がないデバイスは、セキュア ブートが有効でも 準拠していない と表示されます。さらに TPM 2.0 自体が UEFI ファームウェアを必要とします。

セキュア ブートが有効なのに準拠していないと表示されるデバイスについて、Microsoft が挙げる確認項目は次のとおりです。

1. tpm.msc を実行し、仕様のバージョンを確認します。
2. msinfo32 を実行し、BIOS モード が UEFI であること、PCR7 構成 が Bound になっていることを確認します。
3. 管理者として実行したプロンプトで Confirm-SecureBootUEFI を実行し、True と返ることを確認します。
4. manage-bde -protectors -get $env:systemdrive を実行し、ドライブが PCR 7 で保護されていることを確認します。

いずれかの手順で不合格となったデバイスでは、準拠していないという状態は想定どおりです。対策はポリシーではなく、ハードウェアまたはファームウェア側にあります。Microsoft の Windows 準拠性のリファレンスでは Windows 10 デバイスについて Device Health Attestation が挙げられているため、Windows 11 の詳細については最新のドキュメントを確認してください。

Windows Autopilot を使用する展開では、ハードウェアの準備の一環としてファームウェアの確認が必要です。自己展開モードには TPM 2.0 と TPM デバイス証明が必要で、これらがないデバイスはこのモードを使用できません。

セキュア ブートの証明書と 2026 年 6 月の期限

Microsoft は、2011 年に初めて発行されたセキュア ブートの証明書を更新しており、その証明書は 2026 年 6 月から期限切れになり始めます。Microsoft によると、サポート対象の Windows バージョンでは更新は自動的に行われます。組織のデバイス管理において、これはファームウェアを手作業で変更する理由ではなく、セキュア ブートを有効にし、Windows を最新の状態に保つ理由です。Microsoft は Microsoft が管理する更新に関する別のガイダンスへのリンクを掲載しているため、手作業の計画を立てる前にそちらをお読みください。

よくある間違い

• Windows 内でこの設定を探さないでください。これはファームウェアの設定であり、Windows は状態を報告することしかできません。
• MBR のインストールで UEFI に切り替える。ディスクを変換するか、UEFI モードで Windows を再インストールするまで、PC は正しくブートしません。
• BitLocker による保護が有効なままディスクを変換する。先に保護を一時停止してください。
• MBR2GPT の前にバックアップを取らない。変換は元に戻せません。
• 原因が TPM 2.0 の欠如であるのに、Intune の「準拠していない」結果をセキュア ブートの問題と誤解する。
• トラブルシューティング後もセキュア ブートをオフのままにする。Microsoft は、問題が解決したらオンに戻すよう案内しています。

関連トピック

• Windows が起動しない場合、ファームウェアにどう入ればよいですか？ Windows 11 で BIOS を開く方法の記事に、回復の手順が説明されています。
• Secure Boot で USB メモリがブロックされる場合はどうすればよいですか？ 一部のメディアから起動するには、一時的に Secure Boot をオフにする必要がある場合があると Microsoft は説明しています。Windows 11 のブータブル USB に関する記事を参照してください。
• PC にはどの TPM が搭載されていますか？ tpm.msc を使用して、Windows 11 の要件と照らし合わせてください。
• 多数の PC にこれを適用するにはどうすればよいですか？ Intune の準拠ポリシーと、展開プロセス内のハードウェアチェックを組み合わせてください。

次のステップ

今日 1 台の PC で Confirm-SecureBootUEFI を実行し、結果を控えておきましょう。失敗した場合は、ディスクのパーティションスタイルを確認してください。PC が UEFI モードかどうかが分かれば、Windows 11 で Secure Boot を有効にする方法は、推測に頼るのではなく、ファームウェアの変更を短い手順で進めるだけになります。