UEFIセキュアブート証明書の修復管理
Microsoftの元の2011年UEFIセキュアブート証明書は2026年6月に期限切れになり始め、2023年に発行された代替証明書に置き換えられます。XenServer®は、管理者がUEFI NVRAMにレガシーな2011年Microsoft証明書チェーンのみが含まれている仮想マシン (VM) を特定し、制御された再起動中にそれらのVMを2023年の証明書を含むように安全に更新するのに役立つ、管理された修復ワークフローを提供します。
XenServer 8.4向けに(/ja-jp/xenserver/8/whats-new/normal#nov-19-2025)にアップデートがリリースされ、これにより新しくプロビジョニングされた仮想マシンには、より新しい2023年のMicrosoft証明書が含まれるようになりました。この修復ワークフローは、このアップデートより前にプロビジョニングされたVMにのみ適用され、これらのVMにはレガシーな2011年の証明書しか含まれていない可能性があります。
以下のVMクラスのオブジェクトがこの修復ワークフローの対象となります。
- Microsoft 2011 UEFI証明書チェーンのみを含むUEFI WindowsおよびLinux VM。セキュアブートが現在無効になっているVMも含まれます。
- レガシーな証明書状態を持つスナップショットとテンプレート (レポート用に公開されており、直接更新はできません)。
以下は対象外です。
- すでに2023年のMicrosoft証明書を含むVM。
- BIOSブートVM。
- カスタムUEFI証明書を使用するVM。
Citrix Virtual Apps and Desktops™ (CVAD) によって仮想マシンがプロビジョニングされている場合、将来の仮想マシンに2023年の証明書が含まれるようにするために、追加の手順が必要になる場合があります。必要な具体的なアクションについては、CTX696696のCVADガイダンスを参照してください。
注:
以下に説明する機能は、XenServer 8.4 Early AccessチャネルへのアップデートとしてJun 11, 2026にリリースされ、NormalチャネルへはJun 24, 2026にリリースされました。
証明書の状態
XenServerは、各VM、スナップショット、およびテンプレートオブジェクトについて、読み取り専用の証明書状態を公開します。可能な値は次の表に記載されています。
| 状態 | 意味 |
|---|---|
ok |
オブジェクトは修正を必要としません。これには、BIOSブートVMと、すでに2023年のMicrosoft証明書チェーンを搭載しているVMが含まれます。 |
update_available |
VMは修正の対象であり、次回の起動時に更新対象としてマークできます。 |
update_on_boot |
VMはマークされており、XenServerはそのVMの次回の起動時に証明書を自動的に更新します。 |
注:
スナップショットとテンプレートは、可視性のためにのみ証明書の状態を表示します。修正は、スナップショットまたはテンプレートがVMに変換され、そのVMが起動された後にのみ適用されます。
前提条件
警告:
UEFI証明書を更新すると、TPM PCR測定値（特にPCR7）が変更され、PCR7に対してボリュームマスターキーをシールするWindowsゲストでBitLocker回復モードがトリガーされる可能性があります。予期せぬユーザーの中断を避けるため、展開を慎重に計画し、段階的に実行してください。
VMを修正対象としてマークする前に、以下を実行してください。
- 予防措置として、BitLocker回復キーにアクセスできることを確認してください。
- 証明書を更新する前に、影響を受けるWindows VMのBitLocker保護を一時停止します。
- 修復後の最初の再起動は、監視されたメンテナンス期間中にスケジュールします。
XenCenter® を使用した証明書の修復の管理
セキュアブート証明書を参照してください。
CLI を使用した証明書の修復の管理
証明書の状態を確認する
スナップショットやテンプレートを含む、すべてのVMクラスオブジェクトの証明書の状態を一覧表示するには、次のコマンドを実行します。
xe vm-list params=name-label,uuid,is-a-template,is-snapshot,secureboot-certificates-state
<!--NeedCopy-->
修復対象のVMをマークする
XenServer がそのVMの次回の起動時に証明書を更新するようにVMをマークするには、次のコマンドを実行します。
xe vm-update-secureboot-certificates-on-boot uuid=<vm-uuid> mark=true
<!--NeedCopy-->
保留中の更新をキャンセルする
VMが再起動する前に保留中の証明書更新をキャンセルするには、次のコマンドを実行します。
xe vm-update-secureboot-certificates-on-boot uuid=<vm-uuid> mark=false
<!--NeedCopy-->
注:
保留中の更新は、VMが再起動してスケジュールされた修復が実行される前にのみキャンセルできます。VMが再起動して更新が適用されると、状態は自動的に
okに戻ります。
XenAPI リファレンス
証明書の修復ワークフローでは、SDKバージョン26.14.0で初めて利用可能になる次のXenAPIフィールドとメソッドが導入されます。
フィールド: VM.secureboot_certificates_state
読み取り専用。VM、スナップショット、およびテンプレートオブジェクトに適用されます。指定可能な値: ok, update_available, update_on_boot。
メソッド: VM.update_secureboot_certificates_on_boot(session, vm, mark)
mark=true を渡すと、次回の起動時に証明書の更新がスケジュールされます。mark=false を渡すと、保留中の更新がキャンセルされます。
PowerShell リファレンス
VM オブジェクト $vm を使用すると、新しいフィールドには次のようにアクセスできます。
$vm.secureboot_certificates_state
<!--NeedCopy-->
新しいメソッドは次のように呼び出されます。
Invoke-XenVM -XenAction UpdateSecurebootCertificatesOnBoot -VM $vm -Mark $true
<!--NeedCopy-->
計画
- BitLocker の回復などの問題による影響の範囲を制限するために、更新プログラムは適切なサイズのバッチでスケジュールしてください。
- 広範な展開の前に、まず代表的な VM で更新プログラムをテストし、ゲストの起動動作を検証してください。
- 多数の VM を同時に一括再起動しないでください。予期しない BitLocker や起動の問題に対応する時間を確保するために、再起動をずらしてください。
自動修復
注:
以下に説明する自動修復機能は、XenServer 8.4 の Early Access チャネルへの更新として July 16, 2026 に、および Normal チャネルへの更新として July 20, 2026 にリリースされました。
XenServer は、Citrix Virtual Apps and Desktops (CVAD) などの他の製品によって作成またはインポートされた仮想マシンに、必要に応じて修復を自動的に適用するように構成できます。
この動作はデフォルトで無効になっています。証明書の状態を操作すると、仮想マシン内で問題が発生する可能性があるためです（前提条件を参照）。
自動修復を有効にする
自動修復を有効にするには、次のコマンドを実行します。
xe pool-param-set uuid=<pool-uuid> auto-update-vm-secureboot-certificates=true
<!--NeedCopy-->
自動修復を無効にする
自動修復を無効にするには、次のコマンドを実行します。
xe pool-param-set uuid=<pool-uuid> auto-update-vm-secureboot-certificates=false
<!--NeedCopy-->
PowerShellリファレンス
Poolオブジェクト$poolを使用すると、自動修復を次のように有効にできます。
Set-XenPool -Pool $pool -AutoUpdateVmSecurebootCertificates $true
<!--NeedCopy-->
トラブルシューティング
再起動後のBitLocker回復プロンプト
Windows VMでBitLockerが構成されており、中断されていない場合、証明書の修復後の最初の再起動時にBitLocker回復キーの入力を求められる可能性があります。
ドライブのロックを解除するには、BitLocker回復キーを入力します。VMが正常に起動すると、BitLockerは自動的にボリュームの保護を再開します。この動作を避けるには、予定されている修復再起動の前にVM上のBitLocker保護を中断し、再起動が完了した後に再開してください。
再起動後もVMがupdate_available状態のままになる
再起動後もVMがupdate_availableと表示される場合、更新が適用されていない可能性があります。xe CLIで状態を確認し、再起動前にVMがマークされていたことを確認してください。状態がokではなくupdate_availableである場合は、VMを再度マークして再起動してください。
スナップショットまたはテンプレートがupdate_availableと表示される
スナップショットとテンプレートは直接修復できません。スナップショットまたはテンプレートの証明書の状態を更新するには、それをVMに変換し、更新のためにマークした後、そのVMを再起動します。