miniPCのBMAXでWindows11のsecure boot設定でトラブル発生、対処方法を記載
1.概要
この記事はminiPC(BMAX)で発生した問題ですが、Windows10からWindows11への移行期に購入したプリインストールモデルに対して、MicrosoftからWindows11の新しいバージョンをDownload後、USBを作成して、再導入した場合にも適用できると思います。Windows11のsecure bootで悩んでいる方は、是非、参考にしてください。
始まりは、参考資料の「6月からパソコンが動かなくなる？」です。miniPCのsecure boot設定をmsinfo32で確認すると「無効」でした。そこで、BIOSの設定でsecure bootをenableに設定して、msinfo32は「有効」になりました。これが暗号化設定と認識不足でした。Windows Updateを実行して証明書の更新を実行すると、Windows Updateのボタンが赤色に変わりました。ここからトラブルです。理解不足で複数のミスが重なり、データを消失。復旧も時間を必要としました。
本トラブルによる私の認識は以下の通りです。
(1) Windows11 Homeの場合は、secure bootは無関係として無視しましょう
(2) Windows11 Pro以上の場合、暗号化されています。48桁の回復キーを保管しましょう
(3) secure boot設定変更で、Windows認証が再実施され、ライセンス問題が発生します
(4) バックアップは回復ドライブです。処理に数時間必要です。
2.詳細
(1) トラブルの始まり
ネット記事で、secure boot設定が必要で、６月にPCが動かなくなると思って、BIOS設定を変更したことが始まりです。この変更は、BIOSでSecurityのsecure bootをdisableからenableに変更だけです。Windows11を起動してmsinfo32で有効をチェックして完了。追加としてWindows Updateで証明書の導入をしてからハマりました。
障害の状況は、Windows11自体は普通に使えるのですが、Windows Updateのボタンが赤色。文字も赤字に変わりました。今後、発生するupdate適用ができなくなると認識しました。
(2) GoogleAI(Gemini)に相談、そして、Microsoftとchat問合せ
Windows Updateが途中で止まっている可能性があり、その対処策を複数実行。回復=>Windows Updateで問題を解決する=>今すぐ再インストールによる修復を試して駄目でした。
Windows Updateの問題で、問合せができる「赤いボタン」が表示されていたので、Microsoftにchatで相談。海外のサポートのようで英語でした。こちらでもWindows Updateが途中で止まっている可能性を指摘され、サービスからプロセスの停止と再起動の手順を連絡。実行しても変化ありません。quickアシスタンスによるサポート提供の連絡もありましたが、環境問題で接続できません。
(3) ネットワーク環境変更、しかし、効果はなかった
GoogleAI(Gemini)から(2)で実施した手順の回復=>Windows Updateで問題を解決する=>今すぐ再インストールによる修復がipv6環境を必要と考えてネットワーク設定を変更。回復処理は完了したのですが、Windows Updateのボタンが赤色のままで改善しません。ネットワークはipv4に戻しました。
(4) PCのBIOSを規定値に戻して、データ消失。幸いテスト環境だった
secure bootをdisableからenableに一度設定してBitLockerを稼働した後、設定をenableからdisableに戻してもBitLockerの48桁の回復キーがない場合、Windows11の中身を取出す方法がありません。暗号化されてしまってWindows11を起動できなくなります。また、SystemRescueでBootしても暗号化されたデータは参照できません。もし、回復キーがあれば対処方法はありました。
最終的に対処方法がわからないので、Windowsを初期化する方向でBIOSを規定値で初期化。この時に、secure bootの既定値がdisableを確認。
(5) SSD初期化
SSDを初期化したいのですが、BitLockerがblockして簡単ではありません。一度、secure bootをdisableでCSMに変更してSystem Rescueで起動。SSDをgpartdでgptで完全初期化。パーティションは何も作成せず。SSD初期化後にBIOS設定を既定値に戻して、secure bootをenableに設定。
(6) Windows11をUSBからinstall
以前導入に利用したWindows11のUSBからinstallしたのですが、「ライセンスキーがありません」を選択すると、認証エラー。Windows11はインストールできません。2023年に購入したWindows11プリインストール製品ですが、WindowsのライセンスはWindows10で、OS移行時の製品だったと思います。
(7) Windows10をUSBからinstall
このPCはWindows10ライセンス製品であることを過去Blogの参考資料で思い出しました。以前のWindows10の導入USBからWindows10をSSDにinstall。「ライセンスキーがありません」を選択してインストールできました。インストール後、msinfo32でsecure bootが有効を確認。Windows Updateボタンは青色です。更に、Windows updateで最新まで更新。
(8) Windows11へupgrade
Windows11へupgrade可能か確認するために、WindowsPCHealthCheckSetupを実行。問題なし。そこで、Windows11InstallAssistantを利用してupgradeを実行。これでWindows11に変わりました。msinfo32でsecure bootが有効を確認。Windows Updateボタンは青色。更に、更新処理を実行しました。
(9) 証明書の更新
Windows Updateで適用されても実際の証明書確認をpower shellで確認するとfalse。Geminiによると時間が必要との事。
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'
(10)バックアップ
作業完了したので不要ファイルの削除(システム=>ストレージ=>一時ファイル)、更にBitLocker回復キーを保管しました。外部へのBackup取得をするためにSystemRescueでUSB起動をすると、secure bootがblockしてUSB bootできません。このPCはテスト用途であり、Windows11の外部へのBackupは中止しました。また、Windows11起動時にBackup用にOne Drive設定が推奨されて設定、しかし、良く考えて不要と判断し、One Drive設定をOffに変更。
3.所見
(1) Windows10がインストールできる理由は、プリインストールモデルはBIOS上にWindowsのライセンス番号が記録されている。Geminiから説明で、実機通りで納得できる内容です。
(2) 以前利用時のWindows11の設定情報は、Windows10導入後Loingする時、Microsoftのmail-address登録情報で復元されます。ブラウザの設定やパスキーなどは引き継がれ復元されます。
(3) PCのBIOS初期化からここまでの作業はipv4環境で実施。ipv6なしで問題ありません。
(4) 準備も含めて作業に必要な時間は12時間以上です。早めにチェックして問題を回避しましょう。
(5) Geminiの提案ではWindows11のバックアップは回復ドライブが最善策とのことです。
(6) miniPCのBMAXはWindows11でデジタルライセンス認証を再度実施して、それ以降、Windows11をUSBから再導入できていました。secure bootを設定をすると、再度、ライセンスを元からたどって確認するような気がしています。
4.追加
(1) 証明書の更新
証明書の更新を下記コマンドで実行して、Trueに変わり、設定完了しました。
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'
(2) Windows11が起動できない状態で回復キーを入手する方法
実際に調べた結果、Windows11が動作しない状況でも回復キーの入手は可能でした。
必要な機材はブラウザが利用できる機器です。手順は以下の通りです。
(a) 「BitLocker 回復キーの検索」をネットで検索して下記サイトに行きます。
URLは下記内容でした。
https://support.microsoft.com/ja-jp/windows/bitlocker-回復キーの検索-6b71ad27-0b89-ea08-f143-056f5ab347d6
(b) 「手順 2。 回復キーを見つける」の「Microsoftアカウントで回復キーを見つける」を選択する。
[aka.ms/myrecoverykey]のリンクに行きます。URLは下記内容でした。
https://account.microsoft.com/devices/recoverykey
(c) MicrosoftへのLoginをします。Windows11のPCは使えないのでmail認証でした。
(d) Loginできると回復キーを参照できます。
(3) miniPCのBMAXでWindows11の回復ドライブの作成と起動試験
Windows10を導入して、Windows11にupgrade、不要なWindows10や一時ファイルを削除した結果、Cドライブの使用容量は約45GBです。これを32GBのUSB3のUSBメモリを利用して回復ドライブを作成しました。USBメモリはgpartdでmsdosのパーティションテーブルに初期化して利用しました。回復ドライブ作成手順は参考資料を参照しました。回復ドライブ作成に４時間程度必要でした。完了するとUSB内に12GBの容量を消費していました。処理速度が遅すぎて毎回取得するようなバックアップには実用的ではなく、使うのは難しそうです。しかし、他に手段がありません。
(4) Windows11でストレージが暗号化されるタイミングをKVM環境で調べました
Windows11のBitLockerで暗号化されることを理解しました。もう少し、暗号化のプロセスを理解したいと考えて、LinxuMintのKVM環境で試してみることにしました。理由はsecure bootを設定した瞬間に暗号化されてしまい早すぎると考えたからです。試験には、Windows11をsecure boot可能な状態で導入する必要があります。kvm上にLocalアカウントで導入する手順を利用しました。
暗号化はインストール終了後、１時間程度で利用されているCドライブは完了しました。案外、早い段階で暗号化されてしまいます。ロック状態が解除なのでsecure bootを有効にするだけでストレージ保護の暗号化達成です。
(5) Windows11のセキュアブートと暗号化を少しだけ理解できた気がします
現在の状態は、セキュアブートが有効なのでLinuxなどをUSBからbootできません。暗号化はオフです。コマンド確認で回復キーが表示されていません。個人用途なので十分ですが、暗号化がオフでもセキュアブートが有効だと内容を別システムで参照できません。一度、secure bootをdisableにしてLinuxでUSBからbootをしても暗号化されていないので、再度、Windowsを起動した際に回復キーの要求はないと考えています。
この状況がわかったからですが、secure bootの証明書期限切は問題でなく、Windows11 Home環境は何も対処が必要なかった気がします。Windowsは変更に時間を必要とするので現状で利用する予定です。何か問題が起きたときには設定を再検討したいと思っています。
(6) LinuxMint 22.3のKVM環境でBitLockerで暗号化されたWindows11 proのドライブ読込に成功しました
BitLockerの暗号に関して、ディスクのパーティションのイメージバックアップを復号化して読む方法をGoogleAI(Gemini)に聞くと、Linuxのcryptsetupがサポートし、回復キーとセットで読めるとのこと。LinuxMintのKVM仮想環境を利用してWindowd11 proの暗号化されたCドライブのデータの読込を確認しました。
更新日
2026-08-04
参考
[外部サイト参照]
・「6月からパソコンが動かなくなる？」証明書の失効で使用不可に！自分のPCが安全か確認する手順を解説
・BitLocker 回復キーの検索
・Windows 11 回復ドライブの作成と実行手順
・「6月からパソコンが動かなくなる？」証明書の失効で使用不可に！自分のPCが安全か確認する手順を解説
・BitLocker 回復キーの検索
・Windows 11 回復ドライブの作成と実行手順
コメント
コメントを投稿