---
title: オンプレミスのワークロードを守るTrusted Launch（信頼された起動）とは
tags: 
author: [Satoshi G](https://image.docswell.com/user/wind06106)
site: [Docswell](https://www.docswell.com/)
thumbnail: https://bcdn.docswell.com/page/3EKY1X2NJD.jpg?width=480
description: オンプレミスのワークロードを守るTrusted Launch（信頼された起動）とは by Satoshi G
published: October 26, 26
canonical: https://image.docswell.com/s/wind06106/58N3YW-trustedlaunch
---
# Page. 1

![Page Image](https://bcdn.docswell.com/page/3EKY1X2NJD.jpg)

SCUGJ 第53回勉強会
ロゴ作成中
2026/10/24
Windows Server and Cloud User Group Japan
後藤 諭史（Satoshi GOTO）


# Page. 2

![Page Image](https://bcdn.docswell.com/page/L739Q54Z75.jpg)

ロゴ作成中
後藤 諭史（ Satoshi GOTO ）
 国内ディストリビューターで、
Microsoft製品中心なソリューションアーキテクトやっています
 Microsoft MVP - Cloud and Datacenter Management
（Jul.2012 - Jun.2027）
Microsoft MVP – Microsoft Azure（Jul.2024 - Jun.2027）
 noteはじめました
https://note.com/wind06106

2


# Page. 3

![Page Image](https://bcdn.docswell.com/page/87DG9DQ47G.jpg)

ロゴ作成中
本セッション資料ですが、個人で準備した環境において、個人的に実施した検証／結果を基に記載しています。
あくまで個人の意見／見解であり、所属する会社の正式な回答／見解ではない事に留意してください。
3


# Page. 4

![Page Image](https://bcdn.docswell.com/page/VJP3ZXLVE8.jpg)

ロゴ作成中
本セッションで紹介する機能の一部はPreview機能となっており、その検証結果を基に記載しています。
今後、仕様および機能は変更される可能性があります。
4


# Page. 5

![Page Image](https://bcdn.docswell.com/page/2EV4WLQRJQ.jpg)

ロゴ作成中
5


# Page. 6

![Page Image](https://bcdn.docswell.com/page/57G1DXW6EL.jpg)

ロゴ作成中
 Windows Server 2016で実装された「Host Guardianサービス」の話
◦
◦
◦
◦
仮想マシンにvTPMを接続し、BitLockerを使用して仮想ハードディスクの中を暗号化する技術
BitLockerで仮想ハードディスクが暗号化された仮想マシンがクラスター内で移動する場合、TPMの
鍵がクラスター内で共有されていないと、BitLockerの暗号解除が移動先ホストでできないため、仮
想マシンが起動できない
そのため、TPMの鍵を管理／各Hyper-Vホストに共有するためのサービスとして「Host Guardian
サービス」が実装された
Host Guardianサービスで保護された仮想マシンは「シールドVM」と呼ばれ、vTPMが使用できるほ
か、コンソール接続も無効化されて、ホスト管理者からも仮想マシンが保護できるようになった
 しかし、Host GuardianサービスはWindows Server 2022で非推奨化
◦
◦
Windows Server 2025でも使えはするが、機能更新はなし
Host Guardianサービスを実装するために、複数のサーバーが必要等、実装がめんどくさかった
クラスター上の仮想マシンでvTPMは使えない……？
6


# Page. 7

![Page Image](https://bcdn.docswell.com/page/4EQD1832JP.jpg)

ロゴ作成中
 Azure仮想マシンで使用可能なセキュリティ機能
◦
◦
◦
特定の仮想マシンサイズのGen2 VMでデフォルト有効化、仮想マシンでvTPMが使用可能
他にもセキュアブートとか仮想化ベースのセキュリティ（VBS）、それに伴いハイパーバイザー
コード整合性（HVCI）、Windows Defender Credential Guardが有効化できるとか、いろいろありま
すが……
vTPMが使用できるため、仮想マシンのディスクに対してBitLockerを有効化可能
 ハイブリッドクラウドソリューションであるAzure Localでも使用可能
◦
Azure Stack HCIと呼ばれていた頃からPreview機能として使用可能（2023/11/15のBlogあたりが
初出か？？）
https://techcommunity.microsoft.com/blog/microsoft-security-blog/trusted-launch-for-azure-arc-vms-on-azure-stack-hci/3978051
◦
◦
現在は一般提供（GA）機能
もちろんBitLockerを有効化可能
Windows Server Hyper-Vは……？
7


# Page. 8

![Page Image](https://bcdn.docswell.com/page/KJ4ZR21P71.jpg)

ロゴ作成中
8


# Page. 9

![Page Image](https://bcdn.docswell.com/page/LE1RQMGXEG.jpg)

ロゴ作成中
9


# Page. 10

![Page Image](https://bcdn.docswell.com/page/GEW1M3KK72.jpg)

ロゴ作成中
 Windows Server Insider preview build 29621で使用可能
◦
有効化するにはレジストリとTrusted Launchの機能の追加が必要（後述）
 現在はプレビュー機能であるため、一部機能が正常に動かない点に注意
◦
Trusted Launchが有効化したVMは、ライブマイグレーションはできるものの、VMを作成したノー
ド以外だと起動できない
→ 別のホストに移動した後に再起動すると、正常に起動しない
→ クイックマイグレーションで元のホストに戻すと、正常に起動できる
→ ドキュメント的には、フェールオーバークラスタリングやHyper-Vレプリカは非サポート
◦
GUIでTrusted Launchを有効化したVMを作成できない
→ New-VMコマンドレットを使用
→ 確認した限りでは、Set-VMコマンドレットなどで、後追い設定ができなさそう
◦
◦
WACからの管理も非サポート
ブート整合性検証も非サポート
10


# Page. 11

![Page Image](https://bcdn.docswell.com/page/47ZPQVZNE3.jpg)

ロゴ作成中
 キーを1つ作成して、エントリーを1つ追加
New-Item -Path "HKLM:\SOFTWARE\Microsoft\AszIgvmAgent" -Force
New-ItemProperty -Path “HKLM:\SOFTWARE\Microsoft\AszIgvmAgent” -Name “TvmWinServer” -Value 1
-PropertyType DWord –Force
 以後の作業でTrusted Launchを有効化すると、作成したキーに設定が入る
11


# Page. 12

![Page Image](https://bcdn.docswell.com/page/YJ6M65Z97V.jpg)

ロゴ作成中
 GUIではなくPowerShellで導入
◦
GUIだと見つからない……
Enable-WindowsOptionalFeature -Online -FeatureName "IsolatedGuestVm" -NoRestart
 この役割が入ると、「IGVmAgent」サービスが使用可能になる
12


# Page. 13

![Page Image](https://bcdn.docswell.com/page/GJ5Z6YWDE4.jpg)

ロゴ作成中
 Trusted Launchを有効化すると
追加されるサービス
◦
今のところIGVmAgentサービスしか使っ
ていない？？
 IGVmAgentサービスを停止すると、
Trusted Launchを有効化したVM
が起動しなくなるので注意
◦
当該サービスが起動していない
ノードへのライブマイグレーションは
失敗する
13


# Page. 14

![Page Image](https://bcdn.docswell.com/page/9E2RMG2MJR.jpg)

ロゴ作成中
 Applications and Services Logs → Microsoft → Windows → IGVmAgent
14


# Page. 15

![Page Image](https://bcdn.docswell.com/page/D7YDXVYP7M.jpg)

ロゴ作成中
 GUIではなくPowerShellで作成する必要あり
◦
「GuestStateIsolationType」を「TrustedLaunch」に設定する必要がある
New-VM -Name Test-VM03 -SwitchName "External vSwitch" -NewVHDPath
"C:\ClusterStorage\Volume1\Hyper-V\Test-VM03\Test-VM03.vhdx" -NewVHDSizeBytes 127GB -Generation 2 GuestStateIsolationType TrustedLaunch -Path "C:\ClusterStorage\Volume1\Hyper-V"
 現在のビルド（Build 29667）だと、ブート順が正常に表示されない……
15


# Page. 16

![Page Image](https://bcdn.docswell.com/page/VEN61MPME8.jpg)

ロゴ作成中
 ドキュメントがないので、仕組みは推測するしかないのが実情
 Azure LocalでもIGVmAgentサービス／IGVmSystemサービスは存在し、両方とも動作中
 Azure LocalのTrusted Launchと全くレジストリ構成が異なるので、Azure Localでの実装とは
異なると推測
→ Microsoft Azure Attestationを使用しているので、Azure連携前提
→ 「AKProvider」と「GSPProvider」が異なるのでキーの提供元が異なると考えられる
→ Insider Previewは「Microsoft Software Key Storage Provider」なのでローカル実装？
結論はドキュメント公開待ち……
16


# Page. 17

![Page Image](https://bcdn.docswell.com/page/Y79L5N3WJ3.jpg)

ロゴ作成中
 Trusted Launchは、ある意味Host Guardianサービスの後継ともいえます
（コンソール接続はブロックできませんが）
 今どきの「仮想化基盤側から攻撃されて、仮想ハードディスクをコピーされて情報漏洩」の
対策の一助としてTrusted LaunchによるBitLockerドライブ暗号化は使えると思います
（ただし、どこまで漏れたら効果がない、に関しては動作の仕組みを理解する必要あり）
 現在は、Azure VMおよびAzure Localの機能ですが、将来的にはWindows Serverでも使用で
きる可能性があります！（プレビュー機能なので、このまま実装されれば……）
 セキュリティ対策の一助として、Trusted Launchを一度触ってみてください！
17


# Page. 18

![Page Image](https://bcdn.docswell.com/page/G78XYKMRED.jpg)

ロゴ作成中
 Interact2015：Host Guardian Service ってなに？（仮）
https://www.slideshare.net/slideshow/interact-2015hostguardianservice/50938751
 SCUGJ第14回勉強会：Shielded VMってなに？
https://www.slideshare.net/slideshow/scugj-14thwhatsshieldedvm/56402754
 Azure Arc で有効になっているAzure Local VM の信頼された起動の概要
https://learn.microsoft.com/ja-jp/azure/azure-local/manage/trusted-launch-vm-overview?view=azloc-2609
 Announcing Trusted Launch for Virtual Machines for Windows Server Insiders
https://techcommunity.microsoft.com/blog/windowsservernewsandbestpractices/announcing -trusted-launch-for-virtual-machines-for-windows-server-insiders/4537082
18


# Page. 19

![Page Image](https://bcdn.docswell.com/page/L7L84Z32JR.jpg)

ロゴ作成中
19