既存の Azure 第 2 世代 VM でトラステッド起動を有効にする

適用対象: ✔️ Linux VM ✔️ Windows VM

Azure 仮想マシンでは、トラステッド起動のセキュリティタイプにアップグレードすることで、既存の Azure 第 2 世代仮想マシン (VM) で Azure トラステッド起動を有効にできます。

信頼できる起動は、 Azure Generation 2 VM で基本的なコンピューティングセキュリティを有効にし、ブートキットやルートキットなどの高度で永続的な攻撃手法から保護する方法です。これを実現するには、VM 上でセキュアブート、仮想トラステッドプラットフォームモジュール (vTPM)、ブート整合性監視などのインフラストラクチャテクノロジを組み合わせます。

Important

既存の Azure 第 1 世代 VM で信頼された起動を有効にするためのサポートを利用できます。既存の Azure Gen1 VM を Gen2-Trusted Launch にアップグレードする方法を参照してください。

Prerequisites

Azure VM は次を使用して構成されています。

トラステッド起動でサポートされるサイズファミリ。
トラステッド起動でサポートされているオペレーティングシステム (OS) バージョン。カスタム OS イメージまたはディスクの場合、基本イメージは "トラステッド起動対応" である必要があります。
Arm64 VM の場合は、Azure Marketplace からのトラステッド起動対応の Arm64 イメージと、サポートされている Arm64 サイズファミリを使用します。 Cobalt 100 ベースの Arm64 サイズでは、信頼できる起動がサポートされます。
Azure VM では、トラステッド起動で現在サポートされていない機能は使用されていません。
Azure Backup は、VM に対して有効になっている場合、拡張バックアップポリシーを使用して構成する必要があります。 Standard ポリシー バックアップ保護を使用して構成された VM に対して、信頼された起動セキュリティの種類を有効にすることはできません。
- 既存の Azure VM バックアップは、 Standard から拡張ポリシーに移行できます。「Azure VM バックアップを Standard から Enhanced 拡張ポリシーに移行する (プレビュー)」の手順に従ってください。
Azure サイト復旧 (ASR) が有効になっている場合は、Gen1 VM を信頼された起動にアップグレードする前に無効にする必要があります。アップグレード後、ASR を再度有効にして、必要に応じて再構成できます。詳細については、ドキュメント「Azure Site Recovery保護されたAzure第 2 世代 VM を信頼された VM に移行する」を参照してください。

ベストプラクティス

第 2 世代のテスト VM でトラステッド起動を有効にし、運用環境のワークロードに関連付けられている第 2 世代 VM でトラステッド起動を有効にする前に、前提条件を満たすために変更が必要かどうかを判断します。
トラステッド起動のセキュリティの種類を有効にする前に、運用環境のワークロードに関連付けられている Azure 第 2 世代 VM に対して復元ポイントを作成します。復元ポイントを使用して、ディスクと第 2 世代 VM を以前の既知の状態で再作成できます。
Linux VM の場合は、 SBInfo ツールを使用してセキュアブートの互換性を検証します。ディストリビューションベースのインストールコマンドについては、SBInfoを参照してください。

既存の VM でトラステッド起動を有効にする

次の手順は、信頼された起動対応イメージを使用する場合に、x64 ベースと Arm64 ベースの第 2 世代 VM の両方に適用されます。

Note

これらの手順は、x64 VM と Arm64 Gen2 VM にも同様に適用されます。
vTPM は既定で有効になっています。
セキュアブートは既定では有効になっていません。カスタム署名されていないカーネルまたはドライバーを使用していない場合は、セキュアブートを有効にすることを強くお勧めします。セキュアブートでは、ブートの整合性が維持され、VM の基本的なセキュリティが有効になります。

Azure portal を使用して既存の Azure 第 2 世代 VM でトラステッド起動を有効にします。

Azure portal にサインインします。
VM の生成が V2 であることを確認し、VM の [停止 ] を選択します。
VM のプロパティの [概要 ] ページで、[ セキュリティの種類] で [ Standard] を選択します。 VM の [構成] ページが開きます。
[ 構成 ] ページの [ セキュリティの種類 ] セクションで、[ セキュリティの種類 ] ドロップダウンリストを選択します。
ドロップダウンリストで、[ 信頼できる起動] を選択します。 セキュアブートと vTPM を有効にするには、チェックボックスをオンにします。変更を加えた後、[ 保存] を選択します。
Note
- Azure Compute Gallery (ACG)、マネージドイメージ、OS ディスクを使って作成された第 2 世代 VM は、Portal ではトラステッド起動にアップグレードできません。トラステッド起動でOS バージョンがサポートされていることを確認します。 PowerShell、Azure CLI、または Azure Resource Manager テンプレート (ARM テンプレート) を使用してアップグレードを実行してください。
更新が正常に完了したら、[ 構成] ページを閉じます。 VM のプロパティの [概要 ] ページで、 セキュリティの種類 の設定を確認します。
アップグレードされたトラステッド起動 VM を起動します。 Windows VM の場合はリモートデスクトッププロトコル (RDP)、Linux VM の場合は Secure Shell Protocol (SSH) を使用して VM にサインインできることを確認します。

Azure CLI を使用して既存の Azure 第 2 世代 VM でトラステッド起動を有効にするには、次の手順に従います。

最新の Azure CLI をインストールし、 az login を使用して Azure アカウントにサインインしていることを確認します。

VM の Azure サブスクリプションにサインインします。

az login

az account set --subscription 00000000-0000-0000-0000-000000000000

VM の割り当てを解除します。

az vm deallocate \
   --resource-group myResourceGroup --name myVm

--security-type を TrustedLaunch に設定して、トラステッド起動を有効にします。

az vm update \
    --resource-group myResourceGroup --name myVm \
    --security-type TrustedLaunch \
    --enable-secure-boot true --enable-vtpm true

前のコマンドの出力を確認します。 securityProfile 構成がコマンド出力と共に返されることを確認します。

{
  "securityProfile": {
    "securityType": "TrustedLaunch",
    "uefiSettings": {
      "secureBootEnabled": true,
      "vTpmEnabled": true
    }
  }
}

VM を起動します。

az vm start \
    --resource-group myResourceGroup --name myVm

アップグレードされたトラステッド起動 VM を起動します。 RDP (Windows VM の場合) または SSH (Linux VM の場合) を使用して VM にサインインできることを確認します。

手順に従って、Azure PowerShell を使用して既存の Azure 第 2 世代 VM でトラステッド起動を有効にします。

最新の Azure PowerShell をインストールし、 Connect-AzAccount を使用して Azure アカウントにサインインしていることを確認します。

VM の Azure サブスクリプションにサインインします。

Connect-AzAccount -SubscriptionId 00000000-0000-0000-0000-000000000000

VM の割り当てを解除します。

Stop-AzVM -ResourceGroupName myResourceGroup -Name myVm

-SecurityType を TrustedLaunch に設定して、トラステッド起動を有効にします。

Get-AzVM -ResourceGroupName myResourceGroup -VMName myVm `
    | Update-AzVM -SecurityType TrustedLaunch `
        -EnableSecureBoot $true -EnableVtpm $true

更新された VM 構成で securityProfile を検証します。

# Following command output should be `TrustedLaunch`

(Get-AzVM -ResourceGroupName myResourceGroup -VMName myVm `
    | Select-Object -Property SecurityProfile `
        -ExpandProperty SecurityProfile).SecurityProfile.SecurityType

# Following command output should return `SecureBoot` and `vTPM` settings
(Get-AzVM -ResourceGroupName myResourceGroup -VMName myVm `
    | Select-Object -Property SecurityProfile `
        -ExpandProperty SecurityProfile).SecurityProfile.Uefisettings

VM を起動します。

Start-AzVM -ResourceGroupName myResourceGroup -Name myVm

アップグレードされたトラステッド起動 VM を起動します。 RDP (Windows VM の場合) または SSH (Linux VM の場合) を使用して VM にサインインできることを確認します。

ARM テンプレートを使って、既存の Azure 第 2 世代 VM でトラステッド起動を有効にするには、次の手順に従います。

Azure Resource Manager テンプレートは JavaScript Object Notation (JSON) ファイルであり、プロジェクトのインフラストラクチャと構成が定義されています。このテンプレートでは、宣言型の構文が使用されています。デプロイを作成するための一連のプログラミングコマンドを記述しなくても、意図したデプロイを記述できます。

テンプレートを確認します。

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "vmsToUpgrade": {
            "type": "object",
            "metadata": {
                "description": "Specifies the list of Azure virtual machines to be upgraded to Trusted launch."
            }
        },
        "vTpmEnabled": {
            "type": "bool",
            "defaultValue": true,
            "metadata": {
                "description": "Specifies whether vTPM should be enabled on the virtual machine."
            }
        }
    },
    "resources": [
        {
            "type": "Microsoft.Compute/virtualMachines",
            "apiVersion": "2022-11-01",
            "name": "[parameters('vmsToUpgrade').virtualMachines[copyIndex()].vmName]",
            "location": "[parameters('vmsToUpgrade').virtualMachines[copyIndex()].location]",
            "properties": {
                "securityProfile": {
                    "uefiSettings": {
                        "secureBootEnabled": "[parameters('vmsToUpgrade').virtualMachines[copyIndex()].secureBootEnabled]",
                        "vTpmEnabled": "[parameters('vTpmEnabled')]"
                    },
                    "securityType": "TrustedLaunch"
                }
            },
            "copy": {
                "name": "vmCopy",
                "count": "[length(parameters('vmsToUpgrade').virtualMachines)]"
            }
        }
    ]
}

parameters のセキュリティの種類で更新される VM を含む TrustedLaunch JSON ファイルを編集します。

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "vmsToUpgrade": {
            "value": {
                "virtualMachines": [
                    {
                        "vmName": "myVm01",
                        "location": "westus3",
                        "secureBootEnabled": true
                    },
                    {
                        "vmName": "myVm02",
                        "location": "westus3",
                        "secureBootEnabled": true
                    }
                ]
            }
        }
    }
}

パラメータファイルの定義

Property	プロパティの説明	テンプレート値の例
vmName	Azure 第 2 世代 VM の名前。	`myVm`
位置	Azure 第 2 世代 VM の場所。	`westus3`
secureBootEnabled	トラステッド起動のセキュリティの種類でセキュアブートを有効にする。	`true`

更新するすべての Azure 第 2 世代 VM の割り当てを解除します。
```
Stop-AzVM -ResourceGroupName myResourceGroup -Name myVm01
```

ARM テンプレートのデプロイを実行します。

$resourceGroupName = "myResourceGroup"
$parameterFile = "folderPathToFile\parameters.json"
$templateFile = "folderPathToFile\template.json"

New-AzResourceGroupDeployment `
    -ResourceGroupName $resourceGroupName `
    -TemplateFile $templateFile -TemplateParameterFile $parameterFile

VM のトラステッド起動プロパティを示すスクリーンショット。

アップグレードされたトラステッド起動 VM を起動します。 RDP (Windows VM の場合) または SSH (Linux VM の場合) を使用して VM にサインインできることを確認します。

ロールバック

信頼された起動から以前の Gen2 の既知の適切な構成への変更をロールバックするには、VM の securityType を Standard に設定する必要があります。

Important

信頼された起動を Gen2 (信頼されていない起動) 構成にロールバックすることは、一方向の操作です。 Gen2 (信頼されていない起動) 構成にロールバックした後、同じ VM で信頼された起動を再度有効にすることはできません。

現在、信頼された起動を Gen2 (信頼されていない起動) 構成にロールバックすることは、Azure portal ではサポートされていません。

信頼された起動から以前の既知の正常な構成への変更をロールバックするには、信頼された起動のアップグレードの実行に使用されるサンプルテンプレートに示すように、 securityProfile を Standard に設定します。

Note

Microsoft.Compute API バージョン 2025-11-01 以降を使用して、Trusted launch から Gen2（非 Trusted launch）構成への変更をロールバックします。

"securityProfile": {
    "securityType": "Standard",
    "uefiSettings": "[null()]"
}

Azure CLI を使用して、既存の Azure 第 2 世代 VM での信頼された起動を無効にする手順に従います。

最新の Azure CLI をインストールし、 az login を使用して Azure アカウントにサインインしていることを確認します。

Note

バージョン 2.86.0 以降Azure CLI使用して、信頼された起動から Gen2 (信頼されていない起動) 構成への変更をロールバックします。

VM の Azure サブスクリプションにサインインします。

az login

az account set --subscription 00000000-0000-0000-0000-000000000000

VM の割り当てを解除します。

az vm deallocate \
   --resource-group myResourceGroup --name myVm

--security-typeをStandardに設定して、信頼された起動を無効にします。

az vm update \
    --resource-group myResourceGroup --name myVm \
    --security-type Standard

前のコマンドの出力を確認します。 securityProfile 構成がコマンド出力と共に返されることを確認します。
```
{
  "securityProfile": {
    "securityType": null,
    "uefiSettings": null
  }
}
```

VM を起動します。

az vm start \
    --resource-group myResourceGroup --name myVm

トラステッド起動から以前の正常な構成へと変更をロールバックするには、以下のように -SecurityType を Standard に設定します。

Note

バージョン 15.6.1 以降Azure PowerShell使用して、信頼された起動から Gen2 (信頼されていない起動) 構成への変更をロールバックします。

VM の Azure サブスクリプションにサインインします。

Connect-AzAccount -SubscriptionId 00000000-0000-0000-0000-000000000000

VM の割り当てを解除します。

Stop-AzVM -ResourceGroupName myResourceGroup -Name myVm

-SecurityTypeをStandardに設定して、信頼された起動を無効にします。

Get-AzVM -ResourceGroupName myResourceGroup -VMName myVm `
    | Update-AzVM -SecurityType Standard

更新された VM 構成で securityProfile を検証します。

# Following command output should be `null`

(Get-AzVM -ResourceGroupName myVm -VMName myResourceGroup `
    | Select-Object -Property SecurityProfile `
        -ExpandProperty SecurityProfile).SecurityProfile.SecurityType

VM を起動します。

Start-AzVM -ResourceGroupName myResourceGroup -Name myVm

Azure Advisor の推奨事項

Azure Advisor は、既存の第 2 世代 VM がトラステッド起動、つまり Azure VM のより高いセキュリティ体制を余分な料金を必要とせず導入できるように、既存の第 2 世代 VM のオペレーショナルエクセレンスの推奨事項として、トラステッド起動の有効化、基礎的な卓越性、最新のセキュリティを提供します。第 2 世代 VM に、トラステッド起動に移行するための前提条件がすべて満たされていることを確認し、OS イメージの検証、VM サイズ、復元ポイントの作成など、すべてのベストプラクティスに従ってください。 Advisor の推奨事項を完了と見なすには、「既存の VM でトラステッド起動を有効にする」で説明されている手順に従って、仮想マシンのセキュリティの種類をアップグレードし、トラステッド起動を有効にします。

トラステッド起動の前提条件に適合しない第 2 世代 VM がある場合

信頼された起動にアップグレードするための前提条件を満たしていない第 2 世代 VM の場合は、前提条件を満たす方法を確認してください。たとえば、サポートされていない仮想マシンサイズを使用している場合は、トラステッド起動を利用可能な、同等のトラステッド起動サポート済みサイズを探します。

Note

Gen2 仮想マシンが、MSv2 シリーズなどの信頼された起動で現在サポートされていない VM サイズファミリで構成されている場合は、推奨事項を無視します。

新しい仮想マシンとスケールセットの展開でトラステッド起動を有効にするには、「トラステッド起動の仮想マシンを展開する」を参照してください。
ブート整合性の監視を有効にし、Microsoft Defender for Cloud を使用してブート整合性の監視と VM の正常性の監視を有効にします。
信頼できる起動の詳細を確認し、よく寄せられる質問を確認します。
Trusted Launch をサポートする Cobalt 100 ベースの Arm64 VM サイズについて説明します。

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-06-19

既存の Azure 第 2 世代 VM でトラステッド起動を有効にする

Prerequisites

ベスト プラクティス

既存の VM でトラステッド起動を有効にする

ロールバック

Azure Advisor の推奨事項

関連コンテンツ

フィードバック

その他のリソース

ベストプラクティス