オンプレミスのワークロードを守るTrusted Launch（信頼された起動）とは

SCUGJ 第53回勉強会 ロゴ作成中 2026/10/24 Windows Server and Cloud User Group Japan 後藤 諭史（Satoshi GOTO）

ロゴ作成中 後藤 諭史（ Satoshi GOTO ）  国内ディストリビューターで、 Microsoft製品中心なソリューションアーキテクトやっています  Microsoft MVP - Cloud and Datacenter Management （Jul.2012 - Jun.2027） Microsoft MVP – Microsoft Azure（Jul.2024 - Jun.2027）  noteはじめました https://note.com/wind06106  2

• https://note.com/wind06106

ロゴ作成中 本セッション資料ですが、個人で準備した環境において、個人的に実施した検証／結果を基に記載しています。 あくまで個人の意見／見解であり、所属する会社の正式な回答／見解ではない事に留意してください。 3

ロゴ作成中 本セッションで紹介する機能の一部はPreview機能となっており、その検証結果を基に記載しています。 今後、仕様および機能は変更される可能性があります。 4

ロゴ作成中 5

ロゴ作成中  Windows Server 2016で実装された「Host Guardianサービス」の話 ◦ ◦ ◦ ◦ 仮想マシンにvTPMを接続し、BitLockerを使用して仮想ハードディスクの中を暗号化する技術 BitLockerで仮想ハードディスクが暗号化された仮想マシンがクラスター内で移動する場合、TPMの 鍵がクラスター内で共有されていないと、BitLockerの暗号解除が移動先ホストでできないため、仮 想マシンが起動できない そのため、TPMの鍵を管理／各Hyper-Vホストに共有するためのサービスとして「Host Guardian サービス」が実装された Host Guardianサービスで保護された仮想マシンは「シールドVM」と呼ばれ、vTPMが使用できるほ か、コンソール接続も無効化されて、ホスト管理者からも仮想マシンが保護できるようになった  しかし、Host GuardianサービスはWindows Server 2022で非推奨化 ◦ ◦ Windows Server 2025でも使えはするが、機能更新はなし Host Guardianサービスを実装するために、複数のサーバーが必要等、実装がめんどくさかった クラスター上の仮想マシンでvTPMは使えない……？ 6

ロゴ作成中  Azure仮想マシンで使用可能なセキュリティ機能 ◦ ◦ ◦ 特定の仮想マシンサイズのGen2 VMでデフォルト有効化、仮想マシンでvTPMが使用可能 他にもセキュアブートとか仮想化ベースのセキュリティ（VBS）、それに伴いハイパーバイザー コード整合性（HVCI）、Windows Defender Credential Guardが有効化できるとか、いろいろありま すが…… vTPMが使用できるため、仮想マシンのディスクに対してBitLockerを有効化可能  ハイブリッドクラウドソリューションであるAzure Localでも使用可能 ◦ Azure Stack HCIと呼ばれていた頃からPreview機能として使用可能（2023/11/15のBlogあたりが 初出か？？） https://techcommunity.microsoft.com/blog/microsoft-security-blog/trusted-launch-for-azure-arc-vms-on-azure-stack-hci/3978051 ◦ ◦ 現在は一般提供（GA）機能 もちろんBitLockerを有効化可能 Windows Server Hyper-Vは……？ 7

• https://techcommunity.microsoft.com/blog/microsoft-security-blog/trusted-launch-for-azure-arc-vms-on-azure-stack-hci/3978051

ロゴ作成中 8

ロゴ作成中 9

ロゴ作成中  Windows Server Insider preview build 29621で使用可能 ◦ 有効化するにはレジストリとTrusted Launchの機能の追加が必要（後述）  現在はプレビュー機能であるため、一部機能が正常に動かない点に注意 ◦ Trusted Launchが有効化したVMは、ライブマイグレーションはできるものの、VMを作成したノー ド以外だと起動できない → 別のホストに移動した後に再起動すると、正常に起動しない → クイックマイグレーションで元のホストに戻すと、正常に起動できる → ドキュメント的には、フェールオーバークラスタリングやHyper-Vレプリカは非サポート ◦ GUIでTrusted Launchを有効化したVMを作成できない → New-VMコマンドレットを使用 → 確認した限りでは、Set-VMコマンドレットなどで、後追い設定ができなさそう ◦ ◦ WACからの管理も非サポート ブート整合性検証も非サポート 10

ロゴ作成中  キーを1つ作成して、エントリーを1つ追加 New-Item -Path "HKLM:\SOFTWARE\Microsoft\AszIgvmAgent" -Force New-ItemProperty -Path “HKLM:\SOFTWARE\Microsoft\AszIgvmAgent” -Name “TvmWinServer” -Value 1 -PropertyType DWord –Force  以後の作業でTrusted Launchを有効化すると、作成したキーに設定が入る 11

ロゴ作成中  GUIではなくPowerShellで導入 ◦ GUIだと見つからない…… Enable-WindowsOptionalFeature -Online -FeatureName "IsolatedGuestVm" -NoRestart  この役割が入ると、「IGVmAgent」サービスが使用可能になる 12

ロゴ作成中  Trusted Launchを有効化すると 追加されるサービス ◦ 今のところIGVmAgentサービスしか使っ ていない？？  IGVmAgentサービスを停止すると、 Trusted Launchを有効化したVM が起動しなくなるので注意 ◦ 当該サービスが起動していない ノードへのライブマイグレーションは 失敗する 13

ロゴ作成中  Applications and Services Logs → Microsoft → Windows → IGVmAgent 14

ロゴ作成中  GUIではなくPowerShellで作成する必要あり ◦ 「GuestStateIsolationType」を「TrustedLaunch」に設定する必要がある New-VM -Name Test-VM03 -SwitchName "External vSwitch" -NewVHDPath "C:\ClusterStorage\Volume1\Hyper-V\Test-VM03\Test-VM03.vhdx" -NewVHDSizeBytes 127GB -Generation 2 GuestStateIsolationType TrustedLaunch -Path "C:\ClusterStorage\Volume1\Hyper-V"  現在のビルド（Build 29667）だと、ブート順が正常に表示されない…… 15

ロゴ作成中  ドキュメントがないので、仕組みは推測するしかないのが実情  Azure LocalでもIGVmAgentサービス／IGVmSystemサービスは存在し、両方とも動作中  Azure LocalのTrusted Launchと全くレジストリ構成が異なるので、Azure Localでの実装とは 異なると推測 → Microsoft Azure Attestationを使用しているので、Azure連携前提 → 「AKProvider」と「GSPProvider」が異なるのでキーの提供元が異なると考えられる → Insider Previewは「Microsoft Software Key Storage Provider」なのでローカル実装？ 結論はドキュメント公開待ち…… 16

ロゴ作成中  Trusted Launchは、ある意味Host Guardianサービスの後継ともいえます （コンソール接続はブロックできませんが）  今どきの「仮想化基盤側から攻撃されて、仮想ハードディスクをコピーされて情報漏洩」の 対策の一助としてTrusted LaunchによるBitLockerドライブ暗号化は使えると思います （ただし、どこまで漏れたら効果がない、に関しては動作の仕組みを理解する必要あり）  現在は、Azure VMおよびAzure Localの機能ですが、将来的にはWindows Serverでも使用で きる可能性があります！（プレビュー機能なので、このまま実装されれば……）  セキュリティ対策の一助として、Trusted Launchを一度触ってみてください！ 17

ロゴ作成中  Interact2015：Host Guardian Service ってなに？（仮） https://www.slideshare.net/slideshow/interact-2015hostguardianservice/50938751  SCUGJ第14回勉強会：Shielded VMってなに？ https://www.slideshare.net/slideshow/scugj-14thwhatsshieldedvm/56402754  Azure Arc で有効になっているAzure Local VM の信頼された起動の概要 https://learn.microsoft.com/ja-jp/azure/azure-local/manage/trusted-launch-vm-overview?view=azloc-2609  Announcing Trusted Launch for Virtual Machines for Windows Server Insiders https://techcommunity.microsoft.com/blog/windowsservernewsandbestpractices/announcing -trusted-launch-for-virtual-machines-for-windows-server-insiders/4537082 18

• https://www.slideshare.net/slideshow/interact-2015hostguardianservice/50938751
• https://www.slideshare.net/slideshow/scugj-14thwhatsshieldedvm/56402754
• https://learn.microsoft.com/ja-jp/azure/azure-local/manage/trusted-launch-vm-overview?view=azloc-2609
• https://techcommunity.microsoft.com/blog/windowsservernewsandbestpractices/announcing-trusted-launch-for-virtual-machines-for-windows-server-insiders/4537082

ロゴ作成中 19