UEFI Secure Boot 証明書修復の管理
Microsoftの元の2011年UEFI Secure Boot証明書は、2023年に発行された代替証明書に置き換えられるため、2026年6月に期限切れになり始めます。XenServer®は、管理者がUEFI NVRAMに従来の2011年Microsoft証明書チェーンのみが含まれている仮想マシン (VM) を特定し、制御された再起動中にそれらのVMを安全に更新して2023年の証明書を含めるようにする、管理された修復ワークフローを提供します。
XenServer 9で新しくプロビジョニングされた仮想マシンには、新しい2023年Microsoft証明書が含まれています。この修復ワークフローは、以前のXenServerリリースで元々プロビジョニングされ、従来の2011年証明書しか含まれていない可能性のあるVMにのみ適用されます。
以下のVMクラスオブジェクトが、この修復ワークフローの対象となります。
- Microsoft 2011 UEFI証明書チェーンのみを含むUEFI WindowsおよびLinux VM。Secure Bootが現在無効になっているVMも含まれます。
- 従来の証明書状態を持つスナップショットとテンプレート (レポート用に公開されており、直接更新することはできません)。
以下のものは対象外です。
- すでに2023年Microsoft証明書を含むVM。
- BIOSブートVM。
- カスタムUEFI証明書を使用するVM。
Citrix Virtual Apps and Desktops™ (CVAD) によって仮想マシンがプロビジョニングされている場合、将来の仮想マシンに2023年の証明書が含まれるようにするために、追加の手順が必要になる場合があることに注意してください。必要な具体的なアクションについては、CTX696696 のCVADガイダンスを参照してください。
証明書の状態
XenServerは、各VM、スナップショット、およびテンプレートオブジェクトに対して読み取り専用の証明書状態を公開します。可能な値は以下の表に記載されています。
| 状態 | 意味 |
|---|---|
ok |
オブジェクトは修復を必要としません。これには、BIOSブートVMと、すでに2023年のMicrosoft証明書チェーンを持つVMが含まれます。 |
update_available |
VMは修復の対象であり、次回起動時に更新対象としてマークできます。 |
update_on_boot |
VMはマークされており、XenServerはそのVMの次回の起動時に証明書を自動的に更新します。 |
注:
スナップショットとテンプレートは、可視性のためにのみ証明書の状態を表示します。修復は、スナップショットまたはテンプレートがVMに変換され、そのVMが起動された後にのみ適用されます。
前提条件
警告:
UEFI証明書を更新すると、TPM PCR測定値（特にPCR7）が変更されます。これにより、ボリュームマスターキーをPCR7に対してシールしているWindowsゲストでBitLocker回復モードがトリガーされる可能性があります。予期せぬユーザーの中断を避けるため、展開を慎重に計画し、段階的に実行してください。
VMを修復対象としてマークする前に、以下を実行してください。
- 予防策として、BitLocker回復キーにアクセスできることを確認してください。
- 証明書を更新する前に、影響を受けるWindows VMのBitLocker保護を一時停止してください。
- 修復後の最初の再起動を、監視されたメンテナンス期間中にスケジュールしてください。
XenCenter® を使用した証明書の修復の管理
セキュアブート証明書を参照してください。
CLI を使用した証明書の修復の管理
証明書の状態を確認する
次のコマンドを実行して、スナップショットやテンプレートを含むすべての VM クラスオブジェクトの証明書の状態を一覧表示します。
xe vm-list params=name-label,uuid,is-a-template,is-snapshot,secureboot-certificates-state
<!--NeedCopy-->
修復のために VM をマークする
次のコマンドを実行して VM をマークし、その VM の次回の起動時に XenServer が証明書を更新するようにします。
xe vm-update-secureboot-certificates-on-boot uuid=<vm-uuid> mark=true
<!--NeedCopy-->
保留中の更新をキャンセルする
VM が再起動する前に、保留中の証明書更新をキャンセルするには、次のコマンドを実行します。
xe vm-update-secureboot-certificates-on-boot uuid=<vm-uuid> mark=false
<!--NeedCopy-->
注:
保留中の更新は、VM が再起動して予定された修復が実行される前にのみキャンセルできます。VM が再起動して更新が適用されると、状態は自動的に
okに戻ります。
XenAPI リファレンス
証明書の修復ワークフローでは、SDK バージョン 26.14.0 で初めて利用可能になった次の XenAPI フィールドとメソッドが導入されています。
フィールド: VM.secureboot_certificates_state
読み取り専用。VM、スナップショット、およびテンプレートオブジェクトに適用されます。可能な値: ok、update_available、update_on_boot。
方法: VM.update_secureboot_certificates_on_boot(session, vm, mark)
mark=true を渡すと、次回の起動時に証明書の更新がスケジュールされます。mark=false を渡すと、保留中の更新がキャンセルされます。
PowerShell リファレンス
VM オブジェクト $vm を使用すると、新しいフィールドには次のようにアクセスできます。
$vm.secureboot_certificates_state
<!--NeedCopy-->
新しいメソッドは次のように呼び出されます。
Invoke-XenVM -XenAction UpdateSecurebootCertificatesOnBoot -VM $vm -Mark $true
<!--NeedCopy-->
計画
- BitLocker の回復などの問題による影響の範囲を制限するために、適切なサイズのバッチで更新をスケジュールします。
- まず代表的な VM で更新をテストし、広範囲に展開する前にゲストの起動動作を検証します。
- 多数の VM を同時に一括再起動しないでください。予期しない BitLocker や起動の問題に対応する時間を確保するために、再起動をずらして実行してください。
自動修復
注:
以下に説明する自動修復機能は、XenServer 9 の Early Access および Normal チャネルへの更新として July 16, 2026 にリリースされました。
XenServer は、シトリックス バーチャルアップス アンド デスクトップス (CVAD) などの他の製品によって作成またはインポートされた仮想マシンに対し、必要に応じて修復を自動的に適用するよう設定できます。
この動作はデフォルトで無効になっています。これは、証明書の状態を操作すると仮想マシン内で問題が発生する可能性があるためです (前提条件 を参照)。
自動修復を有効にする
自動修復を有効にするには、次のコマンドを実行します。
xe pool-param-set uuid=<pool-uuid> auto-update-vm-secureboot-certificates=true
<!--NeedCopy-->
自動修復を無効にする
自動修復を無効にするには、次のコマンドを実行します。
xe pool-param-set uuid=<pool-uuid> auto-update-vm-secureboot-certificates=false
<!--NeedCopy-->
PowerShellリファレンス
Poolオブジェクト $pool を使用すると、自動修復を次のように有効にできます。
Set-XenPool -Pool $pool -AutoUpdateVmSecurebootCertificates $true
<!--NeedCopy-->
トラブルシューティング
再起動後のBitLocker回復プロンプト
Windows VMでBitLockerが構成されており、中断されていない場合、証明書の修復後の最初の再起動時にBitLocker回復キーの入力を求められる可能性があります。
BitLocker回復キーを入力してドライブのロックを解除します。VMが正常に起動すると、BitLockerは自動的にボリュームの保護を再開します。この動作を回避するには、予定されている修復再起動の前にVM上のBitLocker保護を中断し、再起動が完了した後に再開してください。
再起動後もVMがupdate_available状態のままになる
再起動後もVMが update_available と表示される場合、更新が適用されていない可能性があります。xe CLIで状態を確認し、再起動前にVMがマークされていたことを確認してください。状態が ok ではなく update_available の場合は、VMを再度マークして再起動してください。
スナップショットまたはテンプレートにupdate_availableと表示される
スナップショットとテンプレートは直接修復できません。スナップショットまたはテンプレートの証明書の状態を更新するには、それをVMに変換し、更新用にマークしてからそのVMを再起動します。