2026 Proxmox仮想マシンのSecure Boot証明書を更新するには？

2011年に発行されたSecure Boot証明書の一部は、2026年6月以降に期限を迎えます。ただし、期限切れが直ちにWindows VMの起動停止を意味するわけではなく、後続の起動コンポーネントに対する保護へ影響する可能性があります。したがって、Proxmox Windows VMのSecure Boot証明書更新は、EFIディスクとBitLocker回復キーを確認し、対象バージョンのProxmox公式手順を試験VMで確かめてから、段階的に行ってください。 Microsoftの証明書期限と影響の説明

適している方： Proxmox上のWindows VMを運用し、証明書の状態確認や計画的な更新が必要なシステム管理者、MSP、企業IT担当者です。
適していない方： Proxmoxホスト自体のSecure Boot設定を変更したい方や、BitLocker回復キーを確認できず、復旧手段も確保できていない状態で変更を急いでいる方です。

最終更新：2026年11月3日。Microsoftの証明書更新資料とProxmox VEの仮想マシン管理文書を照合しています。

Proxmox Windows VMのSecure Boot証明書更新は、期限と起動停止を分けて判断します

今回扱うのは、WindowsゲストのUEFI環境に登録されるSecure Boot証明書です。ProxmoxホストのSecure Boot設定や、ホストOSそのものの起動設定を変更する手順ではありません。Microsoftは、対象証明書が期限を迎えた後も、更新されていない端末が起動し、通常のWindows更新を受け取れる場合がある一方、将来の起動コンポーネント保護に影響する可能性を説明しています。 Microsoftの更新説明

証明書の期限後も、Windows VMは起動できますか？
起動できる場合があります。期限だけを見て、VMが必ず起動不能になると判断しないでください。一方で、今後の起動保護に関わる更新を放置してよいという意味でもありません。OSの種類、ファームウェア設定、証明書の登録状態を個別に確認し、対象となるVMを整理します。

この表で「試験する」に該当する場合も、対象VMの復旧条件が整うまでは変更に進まないでください。Proxmoxの仮想マシン文書では、VMの設定やEFIディスクに関する扱いが説明されていますが、表示項目や登録手順は利用するバージョンとVM設定に照らして確認する必要があります。 Proxmox VEの仮想マシン管理文書

更新前はEFIディスクと復旧手段をそろえます

更新前に、何を確認しておく必要がありますか？
Secure Bootを有効にしたWindows VMを一覧にし、ゲストOS、UEFI設定、Proxmoxのバージョン、EFIディスクの有無と設定を記録します。VM設定のバックアップだけでは、ゲストOSを戻せることやBitLockerの回復が可能であることまでは確認できません。

第一歩：対象VMと現在の状態を記録する
VMごとに、業務上の重要度、停止できる時間、担当者、更新状況の確認方法を記録します。EFIディスクの状態がProxmoxの対象バージョンの文書と一致しない場合や、画面上の項目が想定と異なる場合は、推測で設定を変えずに調査を止めます。

第二歩：BitLocker回復キーを組織の手順で確認する
BitLockerを使用するVMでは、回復キーを承認された保管先から取り出せることを、作業前に担当者が確認します。Secure Bootや起動測定の状態が変わると、再起動時に回復画面が表示される可能性があるためです。 BitLockerの起動前回復画面に関する説明

第三歩：バックアップと復元条件を確認する
ゲストを復元できるバックアップ、または実際に使える復旧手段があることを確認し、必要なメンテナンス時間を確保します。スナップショットやホスト設定の保存だけを、ゲストの復旧確認と同一視しないでください。MicrosoftのBitLocker運用資料も、回復情報の管理を含む運用手順を示しています。 MicrosoftのBitLocker運用ガイド

試験VMで公式手順を照合し、対象バージョンを固定します

Proxmox内のWindows VMで、証明書の更新状態はどう調べますか？
まずProxmox側で対象VMのEFIディスクと設定を確認し、次にMicrosoftが案内するWindowsゲスト側の方法で証明書の展開状況を確かめます。Secure Bootが有効であることだけでは、新しい証明書が登録された証明にはなりません。Proxmoxの画面表示や設定項目が手元の文書と合わなければ、そこで作業を止めて対象バージョンの文書を再確認します。

試験対象には、業務影響が小さく、復元可能なVMを選びます。更新前のProxmox設定、Windows側のSecure Boot状態、BitLockerの状態を記録しておき、更新後に同じ項目を確認できる形にします。コミュニティで共有されたコマンドやボタンの説明は個別環境の経験として扱い、全バージョン共通の公式手順として適用しないでください。

第四歩：BitLockerの状態をWindows側で確認する
Windowsゲスト内で、管理者権限のターミナルから次のコマンドを実行できます。これはBitLockerの保護状態を確認するもので、Secure Boot証明書の登録確認を代替するコマンドではありません。 manage-bdeの保護状態確認に関する説明

manage-bde -status C:

出力例は、確認する項目のイメージです。実際の表記や状態はWindowsの構成により異なるため、この例を合否判定の固定条件として使わないでください。

Conversion Status:    [実際の表示を確認]
Protection Status:    [実際の表示を確認]

コマンドの出力に回復パスワードなどの機密情報が含まれる可能性がある操作は、必要性と保管先を確認してから行います。回復画面が表示された場合は、組織で定めた手順に従い、キーの確認と入力を行ってください。 MicrosoftのBitLocker回復手順

試験通過後に小分けで更新し、VMごとに判定します

第五歩：試験結果を記録してから更新範囲を広げる
試験VMで、公式資料に沿った証明書の登録確認、Windowsの起動、Secure Bootの状態、BitLocker回復の有無を記録します。更新操作そのものや画面の位置は、ProxmoxとWindowsの対象バージョンに合わせて確認してください。オンラインで完了できる、再起動が不要である、または全VMで同じ挙動になるとは前提にできません。

第六歩：業務影響に応じて変更を分ける
試験が成功したら、重要度や停止可能時間が近いVMごとに作業単位を分け、担当者、開始条件、停止条件、復旧手順を明記します。各グループの結果を確認する前に次のグループへ進めないようにすると、起動異常やBitLockerの回復要求が出た場合に対象範囲を絞れます。

Microsoftは、WindowsクライアントやWindows Server向けに証明書更新と問題の切り分け資料を分けて公開しています。ゲストOSに合う資料を使い、VM台帳には「確認済み」「未確認」「要調査」を分けて残します。 Windows Server向けの更新問題の確認資料

起動後の確認と例外管理を運用記録に残します

更新後は、どの状態を確認すればよいですか？
ホスト側ではProxmoxの対象バージョンの文書に沿って証明書登録状態を確認し、ゲスト側ではMicrosoftが案内する方法で展開結果を確認します。そのうえで、Windows VMが起動すること、Secure Bootが意図した状態であること、BitLockerの回復要求に未解決事項がないことを照合します。一つの状態表示だけで、起動全体の確認を済ませたことにはしないでください。

2026年5月20日のProxmox利用者の投稿や、2026年4月7日のWindows VMに関する相談では、更新後の状態確認やBitLockerへの関心が話題になっています。ただし、これらは個別の投稿であり、公式手順、一般的な故障率、互換性の保証を示すものではありません。 Proxmox利用者の更新・確認に関する投稿およびWindows 11 VMの証明書更新に関する相談

証明書を確認できないVM、起動に異常があるVM、回復キーの所在が未確認のVMは、例外として記録し、原因を整理するまで再試行や一括変更を避けます。ProxmoxやMicrosoftの案内、利用中のバージョンが変わった場合は、過去に成功した手順もそのまま流用せず、試験環境で再確認してください。

実行環境の選定と証明書作業は分けて考えます

Secure Boot証明書の更新やBitLocker回復は、WindowsゲストとProxmoxの設定・運用に関する作業であり、サーバーレンタル自体が更新成功や復旧を保証するものではありません。すでに共有型の仮想サーバーを使っている場合、CPU資源の共有状況、ディスク構成の制約、ホスト側の変更権限が、VM群を継続運用する上で制約になることがあります。逆に、短期間だけ試す用途や負荷の軽いVMであれば、専用物理サーバーへの移行が必ず適切とは限りません。

OSやサーバー構成を自分で管理し、複数のWindows VMを継続運用する場合は、OSFP Cloudの提供OSとサーバー構成を確認してから、作業対象のVM数と保守時間に合わせて更新計画を立ててください。提供環境にはProxmox VEを含む選択肢があり、AMD EPYC 7543P、32コア・64スレッドの構成などが掲載されています。これらは実行環境の情報であり、証明書更新との互換性やBitLocker復旧を保証するものではありません。既存環境からの移行も検討している場合は、VMware環境からProxmoxへ移行する際の評価項目を確認し、証明書更新とは別の変更計画として扱ってください。