UEFI セキュアブート証明書の修復を管理する
Microsoft の元の 2011 年 UEFI セキュアブート証明書は、2023 年に発行された代替証明書に置き換えられるため、2026 年 6 月に期限切れになり始めます。XenServer® は、管理された修復ワークフローを提供し、管理者が UEFI NVRAM にレガシーな 2011 年 Microsoft 証明書チェーンのみが含まれている仮想マシン (VM) を特定し、制御された再起動中にそれらの VM を安全に更新して 2023 年の証明書を含めることができるようにします。
XenServer 9 で新しくプロビジョニングされた仮想マシンには、新しい 2023 年 Microsoft 証明書が含まれています。この修復ワークフローは、以前の XenServer リリースで元々プロビジョニングされた VM にのみ適用され、これらの VM にはレガシーな 2011 年証明書のみが含まれている場合があります。
以下の VM クラスのオブジェクトが、この修復ワークフローの対象となります。
-
Microsoft 2011 UEFI 証明書チェーンのみを含む UEFI Windows および Linux VM。セキュアブートが現在無効になっている VM も含まれます。
-
レガシー証明書の状態を保持しているスナップショットとテンプレート (レポート用に公開されますが、直接更新することはできません)。
以下は対象外です。
-
すでに 2023 年 Microsoft 証明書を含む VM。
-
BIOS ブート VM。
-
カスタム UEFI 証明書を使用する VM。
Citrix Virtual Apps and Desktops™ (CVAD) によって仮想マシンがプロビジョニングされている場合、将来の仮想マシンに 2023 年の証明書が含まれるようにするために、追加の手順が必要になる場合があることに注意してください。必要な具体的なアクションについては、CTX696696 の CVAD ガイダンスを参照してください。
証明書の状態
XenServer は、各 VM、スナップショット、およびテンプレートオブジェクトに対して読み取り専用の証明書の状態を公開します。可能な値は次の表に記載されています。
| 状態 | 意味 |
|---|---|
ok |
オブジェクトは修復を必要としません。これには、BIOSブートVMと、すでに2023年のMicrosoft証明書チェーンを持つVMが含まれます。 |
update_available |
VMは修復の対象であり、次回起動時に更新対象としてマークできます。 |
update_on_boot |
VMはマークされており、XenServerは、そのVMの次回の起動時に証明書を自動的に更新します。 |
注:
スナップショットとテンプレートは、可視性のためにのみ証明書の状態を表示します。修復は、スナップショットまたはテンプレートがVMに変換され、そのVMが起動された後にのみ適用されます。
前提条件
警告:
UEFI証明書を更新すると、TPM PCR測定値（特にPCR7）が変更され、これにより、ボリュームマスターキーをPCR7に対してシールしているWindowsゲストでBitLocker回復モードがトリガーされる可能性があります。予期せぬユーザーの中断を避けるため、展開を慎重に計画し、段階的に実行してください。
VMを修復対象としてマークする前に、以下を実行してください。
-
予防策として、BitLocker回復キーにアクセスできることを確認してください。
-
証明書を更新する前に、影響を受けるWindows VMでBitLocker保護を一時停止してください。
-
修復後の最初の再起動は、監視されたメンテナンス期間中にスケジュールしてください。
XenCenter® を使用した証明書修復の管理
セキュアブート証明書 を参照してください。
CLI を使用した証明書修復の管理
証明書の状態を確認する
スナップショットやテンプレートを含むすべての VM クラスオブジェクトの証明書状態を一覧表示するには、次のコマンドを実行します。
xe vm-list params=name-label,uuid,is-a-template,is-snapshot,secureboot-certificates-state
修復対象として VM をマークする
XenServer がその VM の次回の起動時に証明書を更新するように VM をマークするには、次のコマンドを実行します。
xe vm-update-secureboot-certificates-on-boot uuid=<vm-uuid> mark=true
保留中の更新をキャンセルする
VM が再起動する前に保留中の証明書更新をキャンセルするには、次のコマンドを実行します。
xe vm-update-secureboot-certificates-on-boot uuid=<vm-uuid> mark=false
注:
保留中の更新は、VM が再起動して予定された修復が実行される前にのみキャンセルできます。VM が再起動して更新が適用されると、状態は自動的に
ok に戻ります。
XenAPI リファレンス
証明書修復ワークフローでは、SDK バージョン 26.14.0 で初めて利用可能になる以下の XenAPI フィールドとメソッドが導入されています。
フィールド:
VM.secureboot_certificates_state
読み取り専用。VM、スナップショット、およびテンプレートオブジェクトに適用されます。可能な値:
ok、update_available、update_on_boot。
方法:
VM.update_secureboot_certificates_on_boot(session, vm, mark)
次回起動時に証明書更新をスケジュールするには
mark=true を渡します。保留中の更新をキャンセルするには mark=false を渡します。
PowerShell リファレンス
VM オブジェクト
$vm を使用すると、新しいフィールドは次のようにアクセスできます。
$vm.secureboot_certificates_state
新しいメソッドは次のように呼び出されます:
Invoke-XenVM -XenAction UpdateSecurebootCertificatesOnBoot -VM $vm -Mark $true
計画
-
更新は適切なサイズのバッチでスケジュールし、BitLocker の回復などの問題による影響の範囲を制限します。
-
まず代表的な VM で更新をテストし、広範囲に展開する前にゲストの起動動作を検証します。
-
多数の VM を同時に一括再起動しないでください。予期しない BitLocker や起動の問題に対応する時間を確保するために、再起動をずらして実行してください。
自動修復
注:
以下に説明する自動修復機能は、XenServer 9 の Early Access および Normal チャネルへの更新として July 16, 2026 にリリースされました。
XenServer は、Citrix Virtual Apps and Desktops (CVAD) のような他の製品によって作成またはインポートされた仮想マシンに対し、必要に応じて修復を自動的に適用するように設定することが可能です。
この動作はデフォルトで無効になっています。証明書の状態を操作すると、仮想マシン内で問題が発生する可能性があるためです (前提条件 を参照)。
自動修復を有効にする
自動修復を有効にするには、次のコマンドを実行します。
xe pool-param-set uuid=<pool-uuid> auto-update-vm-secureboot-certificates=true
自動修復を無効にする
自動修復を無効にするには、次のコマンドを実行します。
xe pool-param-set uuid=<pool-uuid> auto-update-vm-secureboot-certificates=false
PowerShellリファレンス
Poolオブジェクト
$pool を使用して、自動修復を次のように有効にできます。
Set-XenPool -Pool $pool -AutoUpdateVmSecurebootCertificates $true
トラブルシューティング
再起動後のBitLocker回復プロンプト
Windows VMでBitLockerが構成されており、中断されていない場合、証明書の修復後の最初の再起動時にBitLocker回復キーの入力を求められる可能性があります。
BitLocker回復キーを入力してドライブのロックを解除します。VMが正常に起動すると、BitLockerは自動的にボリュームの保護を再開します。この動作を回避するには、予定されている修復再起動の前にVMのBitLocker保護を中断し、再起動が完了した後に再開してください。
再起動後もVMがupdate_available状態のままになる
再起動後もVMが
update_available と表示される場合、更新が適用されていない可能性があります。xe CLIで状態を確認し、再起動前にVMがマークされていたことを確認してください。状態が ok ではなく update_available の場合は、VMを再度マークして再起動してください。
スナップショットまたはテンプレートにupdate_availableと表示される
スナップショットとテンプレートは直接修復できません。スナップショットまたはテンプレートの証明書の状態を更新するには、それをVMに変換し、更新用にマークしてからそのVMを再起動します。