UEFIセキュアブート証明書の修復を管理する
Microsoftの元の2011年UEFIセキュアブート証明書は、2023年に発行された代替証明書に置き換えられるため、2026年6月に期限切れになり始めます。XenServer®は、管理された修復ワークフローを提供し、管理者がUEFI NVRAMにレガシーな2011年Microsoft証明書チェーンのみが含まれている仮想マシン (VM) を特定し、制御された再起動中に、それらのVMを2023年の証明書を含むように安全に更新するのに役立ちます。
XenServer 8.4向けに、2025年11月にアップデートがリリースされ、これにより、新しくプロビジョニングされた仮想マシンには、より新しい2023年Microsoft証明書が含まれるようになりました。この修復ワークフローは、このアップデートより前にプロビジョニングされたVMにのみ適用され、これらのVMにはレガシーな2011年証明書しか含まれていない可能性があります。
以下のVMクラスオブジェクトが、この修復ワークフローの対象となります。
-
Microsoft 2011 UEFI証明書チェーンのみを含むUEFI WindowsおよびLinux VM。これには、セキュアブートが現在無効になっているVMも含まれます。
-
レガシーな証明書状態を持つスナップショットとテンプレート (レポート用に公開されますが、直接更新することはできません)。
以下のものは対象外です。
-
すでに2023年Microsoft証明書を含むVM。
-
BIOSブートVM。
-
カスタムUEFI証明書を使用するVM。
Citrix Virtual Apps and Desktops™ (CVAD) によって仮想マシンがプロビジョニングされている場合、将来の仮想マシンに2023年の証明書が含まれるようにするために、追加の手順が必要になる場合があることに注意してください。必要な具体的なアクションについては、CTX696696のCVADガイダンスを参照してください。
注:
以下に説明する機能は、XenServer 8.4 Early Accessチャネルへのアップデートとして、Jun 11, 2026にリリースされ、そしてNormalチャネルにはJun 24, 2026にリリースされました。
証明書の状態
XenServerは、各VM、スナップショット、およびテンプレートオブジェクトに対して読み取り専用の証明書状態を公開します。可能な値は次の表に記載されています。
| 状態 | 意味 |
|---|---|
ok |
オブジェクトは修復を必要としません。これには、BIOSブートVMと、すでに2023年のMicrosoft証明書チェーンを搭載しているVMが含まれます。 |
update_available |
VMは修復の対象であり、次回の起動時に更新対象としてマークできます。 |
update_on_boot |
VMはマークされており、XenServerはそのVMの次回の起動時に証明書を自動的に更新します。 |
注:
スナップショットとテンプレートは、可視性のためにのみ証明書の状態を表示します。修復は、スナップショットまたはテンプレートがVMに変換され、そのVMが起動された後にのみ適用されます。
前提条件
警告:
UEFI証明書を更新すると、TPM PCR測定値（特にPCR7）が変更され、PCR7に対してボリュームマスターキーをシールするWindowsゲストでBitLocker回復モードがトリガーされる可能性があります。予期せぬユーザーの中断を避けるため、展開を慎重に計画し、段階的に実行してください。
VMを修復対象としてマークする前に、以下を実行してください。
-
予防策として、BitLocker回復キーにアクセスできることを確認してください。
-
影響を受けるWindows VMのBitLocker保護を、証明書を更新する前に一時停止します。
-
最初の修復後の再起動は、監視されたメンテナンス期間中にスケジュールしてください。
XenCenter® を使用した証明書の修復管理
セキュアブート証明書を参照してください。
CLI を使用した証明書の修復管理
証明書の状態を確認する
スナップショットやテンプレートを含むすべてのVMクラスオブジェクトの証明書の状態を一覧表示するには、次のコマンドを実行します。
xe vm-list params=name-label,uuid,is-a-template,is-snapshot,secureboot-certificates-state
修復対象のVMをマークする
XenServerがそのVMの次回の起動時に証明書を更新するようにVMをマークするには、次のコマンドを実行します。
xe vm-update-secureboot-certificates-on-boot uuid=<vm-uuid> mark=true
保留中の更新をキャンセルする
VMが再起動する前に保留中の証明書更新をキャンセルするには、次のコマンドを実行します。
xe vm-update-secureboot-certificates-on-boot uuid=<vm-uuid> mark=false
注:
保留中の更新は、VMが再起動してスケジュールされた修復が実行される前にのみキャンセルできます。VMが再起動し、更新が適用された後、状態は自動的に
okに戻ります。
XenAPIリファレンス
証明書修復ワークフローでは、SDKバージョン26.14.0で初めて利用可能になる以下のXenAPIフィールドとメソッドが導入されます。
フィールド:
VM.secureboot_certificates_state
読み取り専用。VM、スナップショット、およびテンプレートオブジェクトに適用されます。可能な値:
ok, update_available, update_on_boot。
メソッド:
VM.update_secureboot_certificates_on_boot(session, vm, mark)
次の起動時に証明書の更新をスケジュールするには
mark=true を渡します。保留中の更新をキャンセルするには mark=false を渡します。
PowerShellリファレンス
VMオブジェクト
$vm を使用すると、新しいフィールドは次のようにアクセスできます。
$vm.secureboot_certificates_state
新しいメソッドは次のように呼び出されます。
Invoke-XenVM -XenAction UpdateSecurebootCertificatesOnBoot -VM $vm -Mark $true
計画
-
BitLockerの回復などの問題による影響の範囲を制限するために、更新は適切なサイズのバッチでスケジュールしてください。
-
広範囲に展開する前に、まず代表的なVMで更新をテストし、ゲストの起動動作を検証してください。
-
多数のVMを同時に一括再起動しないでください。予期せぬBitLockerや起動の問題に対応する時間を確保するために、再起動をずらして行ってください。
自動修復
注:
以下に説明する自動修復機能は、XenServer 8.4のEarly Accessチャネルには July 16, 2026 に、Normalチャネルには July 20, 2026 に更新としてリリースされました。
XenServer は、Citrix Virtual Apps and Desktops (CVAD) などの他の製品によって作成またはインポートされた仮想マシンに、必要に応じて修復を自動的に適用するように構成できます。
この動作はデフォルトで無効になっています。証明書の状態を操作すると、仮想マシン内で問題が発生する可能性があるためです（前提条件を参照）。
自動修復を有効にする
自動修復を有効にするには、次のコマンドを実行します。
xe pool-param-set uuid=<pool-uuid> auto-update-vm-secureboot-certificates=true
自動修復を無効にする
自動修復を無効にするには、次のコマンドを実行します。
xe pool-param-set uuid=<pool-uuid> auto-update-vm-secureboot-certificates=false
PowerShellリファレンス
Poolオブジェクト
$pool を使用すると、自動修復は次のように有効にできます。
Set-XenPool -Pool $pool -AutoUpdateVmSecurebootCertificates $true
トラブルシューティング
再起動後のBitLocker回復プロンプト
Windows VMでBitLockerが構成されており、中断されていない場合、証明書の修復後の最初の再起動時にBitLocker回復キーの入力を求められる可能性があります。
ドライブのロックを解除するには、BitLocker回復キーを入力します。VMが正常に起動すると、BitLockerは自動的にボリュームの保護を再開します。この動作を避けるには、予定されている修復再起動の前にVMでBitLocker保護を中断し、再起動が完了した後に再開してください。
再起動後もVMがupdate_available状態のままになる
再起動後もVMが
update_available と表示される場合、更新が適用されていない可能性があります。xe CLIで状態を確認し、VMが再起動前にマークされていたことを確認してください。状態が ok ではなく update_available の場合は、VMを再度マークして再起動してください。
スナップショットまたはテンプレートにupdate_availableと表示される
スナップショットとテンプレートは直接修復できません。スナップショットまたはテンプレートの証明書の状態を更新するには、それをVMに変換し、更新のためにマークした後、そのVMを再起動します。