【2026年】TPM 2.0 & Secure Boot 完全解説｜Windows 11で必須のセキュリティ機能

下表は、TPM 1.2 と TPM 2.0 の主な仕様比較を示しています。この表からわかるように、Windows 11 を運用する上で TPM 1.2 では対応できない機能が多数含まれています。自作 PC でマザーボードを選定する際や BIOS アップデートを行う際は、必ず TPM 2.0 に対応しているか確認することが必要です。また、一部の古い CPU やマザーボードではファームウェアアップデートによって TPM 1.2 から TPM 2.0 への機能追加が可能なケースもありますが、ハードウェアの物理的な制約によりサポートできない場合もあるため注意が必要です。

TPM 2.0 の導入により、システム全体のセキュリティ基盤は強化されましたが、その設定や管理にはより高度な知識が必要となる側面もあります。特に、ファームウェアレベルでの改ざん防止機能である Platform Configuration Register（PCR）の活用方法など、セキュリティエンジニア向けの機能も含まれています。しかし、一般的な自作 PC ユーザーにとっては、「TPM 2.0 が有効になっているか」を確認し、Windows の設定画面で正常に認識されているかを把握することが第一歩となります。

fTPM と dTPM の違いを理解する：自作 PC ユーザー向け解説

現在市場に出回っているほとんどの PC ハードウェアでは、TPM 機能の実装方法として「fTPM」と「dTPM」の二つの形式が主流です。この違いを理解することは、自作 PC を組み立てる際にマザーボードや CPU の選定を正に行うために不可欠です。それぞれにメリットとデメリットがあり、セキュリティの性質やコスト面、互換性の観点から選ぶべき用途が異なります。

dTPM（Discrete TPM）は、マザーボード上に独立したチップとして実装されているタイプの TPM です。Infineon Technologies 社などが製造する専用 IC が基板に搭載されており、CPU とは完全に分離された状態で動作します。この方式の最大のメリットは、セキュリティの隔離性が高いことです。CPU にマルウェアや脆弱性が存在した場合でも、TPM チップ自体が独立しているため、暗号化キーへの影響を受けにくいという強みがあります。また、PCI Express 経由で通信を行うため、OS やファームウェアのアップデートによる影響をあまり受けずに動作し続けることができます。

一方、fTPM（Firmware TPM）は、CPU の内部またはマザーボード上の特定のロジック領域にソフトウェア的に実装された TPM です。Intel では PTT（Platform Trust Technology）、AMD では fTPM と呼ばれます。2026 年時点では、最新の CPU を搭載した PC のほぼ全てがこの fTPM 方式を採用しています。この方式のメリットはコスト削減とスペース効率です。専用チップをマザーボードに搭載する必要がないため、基板設計が容易になり、製造原価を抑えることができます。さらに、CPU と密接に連携できるため、起動時のパフォーマンスオーバーヘッドが極めて小さいという特徴があります。

自作 PC ユーザーにとって、この違いはどのように影響するのでしょうか。結論から言えば、現代の自作 PC では fTPM を使用することが推奨されます。dTPM は主に高セキュリティが求められるエンタープライズサーバーや特定のハードウェアセキュリティ要件を満たす場合に採用されることが多く、一般ユーザーが独自に dTPM チップをマザーボードに追加するケースは極めて稀です。fTPM であっても、Microsoft が定めた TPM 2.0 の標準規格を満たしており、Windows Hello や BitLocker は問題なく動作します。

ただし、CPU を交換した際に fTPM の設定がリセットされることがある点は注意が必要です。Intel PTT は CPU の UUID と紐付いていることが多く、CPU を交換すると TPM の状態が変わったとみなされる場合があります。その場合、BitLocker によるロックがかかるリスクがあるため、バックアップキーの保管は必須です。また、AMD の fTPM は BIOS 設定から有効化が必要なケースがあり、アップデート前の確認が望ましいでしょう。

Secure Boot（セキュアブート）の仕組みと重要性

Secure Boot とは、UEFI ファームウェアによって PC の起動プロセスを検証するセキュリティ機能です。PC が電源を入れた瞬間から OS が読み込まれるまでの間、すべてのソフトウェアステップが信頼できる署名を持っているかをチェックします。この仕組みにより、悪意のあるコード（ルートキットなど）が OS の起動前にロードされることを防ぎます。TPM と Secure Boot はセットで運用されることが多く、Secure Boot が有効になっていることで TPM 内のデータ保護機能もより効果的に働くようになります。

Secure Boot の動作は署名検証チェーンに基づいています。UEFI ファームウェアには、最初にプラットフォームキー（PK）が組み込まれています。この PK が認証した Key Exchange Key（KEK）を通じて、OS ロードローダーやカーネルの署名を検証します。もし起動ファイルに正しい署名が付与されていない場合、UEFI はそのファイルをロードするのを拒否し、システム起動を阻止します。これにより、ユーザーが意図せず不正な OS やマロウェアを実行してしまうリスクを大幅に低減しています。

この仕組みは Linux ユーザーにとって重要な課題となることもあります。Windows はマイクロソフト自身が署名しているため Secure Boot との相性が良いですが、Linux の多くはオープンソースベースであるため、独自の署名鍵が必要になります。そのため、Shim Signed や MOK Manager（Machine Owner Key）といった機構が用意されており、ユーザー自身が管理キーを登録することで Linux も Secure Boot 環境下で正常に動作可能になっています。2026 年現在では、Ubuntu や Fedora など主要なディストリビューションは標準で Secure Boot をサポートしており、問題なくデュアルブートや単独インストールが可能です。

BIOS/UEFI 設定での有効化手順（各メーカー別ガイド）

TPM と Secure Boot を有効化する作業は、主にマザーボードの BIOS または UEFI セットアップ画面で行います。各メーカーによってメニュー構造が異なるため、注意深く操作する必要があります。ここでは、主要なマザーボードベンダーである ASUS、MSI、Gigabyte、ASRock のそれぞれの設定手順を解説します。ただし、BIOS バージョンやモデルによっては表示名称が一部異なる場合がありますので、必ずマニュアルも併せて確認してください。

まず ASUS の場合、起動時に Delete キーまたは F2 キーを押して BIOS セットアップに入ります。Advanced Mode（高度なモード）に切り替えた後、「Boot」タブまたは「Security」タブを探します。「Secure Boot」項目を有効にし、OS タイプは「Windows UEFI Mode」を選択します。TPM については、「Trusted Computing」メニュー内にある「AMD fTPM」または「Intel PTT」を確認し、Enabled に設定します。ASUS の BIOS は直感的なデザインで、これらの項目が分かりやすく配置されているのが特徴です。

MSI では、同じく Del キーを押して BIOS に入ります。「Settings」→「Advanced」→「Windows Configuration UEFI」の順に移動すると、「Secure Boot Mode」が見つかります。これを「Enabled」にし、「OS Type」を「Other OS」から「Windows UEFI」に変更します。fTPM の設定は、AMD CPU の場合は「CPU Configuration」内にある「AMD fTPM」で有効化し、Intel CPU の場合は「Trusted Computing」内の「PTT Firmware Option」を確認します。MSI は OC Mode なども充実しており、セキュリティ設定も詳細に調整可能です。

Gigabyte では、「BIOS Setup」内の「Settings」→「Security」メニューが中心となります。「Secure Boot」を有効にし、「Legacy ROM」を無効にする必要があります。TPM 関係では、「Trusted Computing」または「Chipset」タブ内に TPM Device 設定があります。AMD の場合は「AMD fTPM Switch」、Intel の場合は「Intel Platform Trust Technology」を選択して有効化します。Gigabyte は日本語 BIOS のサポートも充実しており、初心者にも設定がしやすい環境を提供しています。

ASRock では、「Advanced Mode」→「Security」タブから Secure Boot を確認します。「Secure Boot」を有効にし、「OS Type」で Windows UEFI を選択します。TPM 設定は「Trusted Computing」メニュー内で行われ、AMD fTPM か Intel PTT かの切り替えが可能です。ASRock の BIOS はやや技術者向けのカスタマイズ項目が多く見られますが、セキュリティ関連の設定も明確に整理されています。

設定後には必ずセーブして再起動し、Windows の状態を確認してください。特に TPM は有効化直後は OS の認識に少し時間がかかる場合がありますが、通常は数回の再起動で正常化します。また、BIOS アップデート後にこれらの設定がリセットされることがあるため、定期的なチェックも推奨されます。

Windows 11 インストール時のエラー対策と確認方法

Windows 11 をインストールする際、TPM や Secure Boot の不備によって「この PC は Windows 11 を実行できません」というエラーメッセージが表示されることがあります。これは、システム要件のチェックステップで TPM 2.0 が認識されないか、Secure Boot が無効になっている場合に発生します。このような場合でも、回避策や確認手順を適切に理解していれば解決可能です。まずはシステムの現在の状態を正確に把握することが第一歩です。

確認には「tpm.msc」というコマンドを実行する方法が最も確実です。Windows の開始メニュー検索で「tpm.msc」を入力して実行すると、TPM 管理ツールが開きます。ここで「TPM 2.0 がインストールされていますか？」という項目を確認し、「はい」が表示されれば TPM は有効です。「バージョン情報」で「2.0」と明記されているかも重要です。また、「PC のセキュリティ状態」タブから TPM の状態が正常に動作しているかも確認できます。Secure Boot の状態は、タスクマネージャーの「パフォーマンス」タブ→「CPU」→「コア」や「仮想化」セクションからも間接的に確認可能です。

エラーが発生した場合の具体的な対処法としては、BIOS 設定の見直しが必要です。前述した手順で TPM と Secure Boot を有効にしているか再確認してください。特に fTPM の場合、BIOS アップデート後に初期化されるケースがあるため、一度リセットして再度有効化を行う必要があります。また、RAID モードや VMD（Volume Management Device）の設定が誤っている場合にも起動エラーが発生することがあります。Intel の CPU を使用する場合、「VMD Controller」を無効にするか、Windows 10/11 インストーラーに適切なストレージドライバーを含めることで解決することがあります。

さらに、OS のインストールメディア作成時に TPM や Secure Boot の要件チェックをスキップするリグレスな手段もありますが、これはセキュリティリスクを高める行為であり推奨されません。もし既存の Windows 10 からアップグレードする場合、Windows Update を通じて「システム要件を満たしているか」を確認する機能を利用すると便利です。ここでエラーが出た場合は、メーカーサポートページや Microsoft の公式フォーラムで対応手順を検索することをお勧めします。2026 年現在では、多くの PC メーカーがアップデート情報を提供しており、ファームウェアのバージョンアップだけで解決することも珍しくありません。

Linux との併用における TPM と Secure Boot の扱い

自作 PC で Windows と Linux をデュアルブートするユーザーにとって、TPM と Secure Boot は特に注意が必要な領域です。Windows 11 では必須要件ですが、Linux はオープンソースコミュニティによって運用されるため、署名管理に独自の考え方があります。しかし、2026 年現在では主要な Linux ディストリビューションは TPM 2.0 と Secure Boot を標準でサポートしており、併用環境でのトラブルは減少傾向にあります。

Secure Boot の下で Linux を起動するには、カーネルやブートローダーが Microsoft が認めた署名鍵（Shim）を使って署名されている必要があります。Ubuntu や Fedora などの主要ディストリビューションのインストールメディアには、この Shim signed bootloader が含まれており、Secure Boot 有効状態でも正常に起動できます。ただし、一部の軽量 Linux ディストリビューションやカスタムコンパイルされたカーネルを使用する場合、Secure Boot の検証に失敗して起動できない可能性があります。その場合は、MOK Manager（Machine Owner Key）を使用してユーザー自身が署名鍵を登録する必要があります。

TPM を Linux で使用するケースとしては、BitLocker 相当の機能を持つ LUKS 暗号化や、システムファイルの整合性検証があります。Linux 環境でも TPM 2.0 はサポートされており、tpm2-tools や systemd-cryptenroll などのユーティリティを使用して TPM にキーを保管できます。これにより、ディスク暗号化時にパスワードを入力せずに起動が可能になります。ただし、Linux の TPM サポートは Windows に比べてやや高度な設定が必要となるため、初心者には少しハードルが高いかもしれません。

下表に、主要 Linux ディストリビューションの Secure Boot と TPM 2.0 のサポート状況をまとめました。

また、Linux のカーネルアップデートが行われた際にも Secure Boot の検証に失敗するケースがあります。その際は、更新後のカーネルを有効な鍵で再署名するか、Secure Boot を一時的に無効にして更新を行う必要があります。ただし、セキュリティ上の理由から、最終的には Secure Boot を有効化しておくことを推奨します。Linux ユーザーにとって TPM と Secure Boot の管理は、システムセキュリティの維持に不可欠であり、適切に理解して運用することが求められます。

セキュリティ強化とパフォーマンスへの影響分析

TPM 2.0 や Secure Boot を有効化した際、PC パフォーマンスにどのような影響があるのかは多くのユーザーが気になる点です。結論から言えば、これらの機能の有効化による性能への直接的な影響は極めて微小であり、実用上問題になることはほとんどありません。ただし、特定のシナリオではわずかなオーバーヘッドが発生する可能性もあるため、そのメカニズムを理解しておくことが重要です。

Secure Boot は起動時のプロセスにおいて署名検証を行うため、PC の電源投入直後の起動時間に数秒の遅延が生じる可能性があります。これは、UEFI ファームウェアが各ブートローダーやカーネルファイルを検証する時間によるものです。しかし、一度 OS が読み込まれた後では、この機能はバックグラウンドで動作し続けるわけではなく、OS の実行速度には影響しません。TPM に関しても、暗号化キーの生成や保存処理を行う際に CPU リソースをわずかに使用しますが、これは現代のプロセッサが十分に処理できる範囲内です。

BitLocker ドライブ暗号化を使用する場合は、データ読み書き時に TPM を経由して暗号化キーを取得するため、SSD の性能に若干の影響が出る可能性があります。特に NVMe SSD であっても、TPM との通信経路でわずかな遅延が発生することがありますが、その値はミリ秒単位であり、一般的な用途では体感できないレベルです。ただし、HDD を使用している古いシステムや、低スペックな CPU を搭載した PC では、暗号化処理による負荷が感じられる場合があります。

セキュリティ強化とのトレードオフとして、特定のゲームやアプリケーションが TPM 2.0 や Secure Boot を要求するケースが増えています。特に、オンラインマルチプレイヤーゲームで使用されるアンチチートシステム（例：Riot Vanguard, Easy Anti-Cheat）の一部は、これらのセキュリティ機能の有効化を前提に動作しています。有効化しない場合、ゲームが起動できないという問題が発生します。この点においては、パフォーマンスの微細な低下よりも、ゲーム環境での互換性を優先して TPM と Secure Boot を有効化するべきです。

総じて、セキュリティ機能の強化によるパフォーマンス低下は、現代の PC ハードウェアにおいては許容範囲内です。むしろ、サイバー攻撃によるデータ流出やシステムダウンを回避するリスク管理という観点から、これらの機能は積極的に活用すべきものです。自作 PC ユーザーとしては、性能優先でこれらを無効にするのではなく、セキュリティと互換性を確保した上で運用することが賢明な選択と言えます。

自作 PC ビルダーが避けるべき設定ミスと注意点

自作 PC を構築する際に、TPM や Secure Boot に関連してよく見られる設定ミスや注意点を解説します。これらのトラブルは、初心者が設定画面を深く理解しないまま進めてしまうことで発生しやすいものです。適切に回避することで、後のトラブルや再作業を防ぐことができます。特にファームウェアの更新やパーツ交換時の対応が重要です。

まず避けるべきミスとして、BIOS のデフォルト設定のまま TPM を無効化しているケースがあります。一部のマザーボードはセキュリティ強化のためデフォルトで Secure Boot や TPM が無効になっている場合があります。特に中古のマザーボードを再使用する場合や、古い BIOS バージョンを使用している場合は要注意です。初期設定の段階で必ずこれらの項目を確認し、有効にしておくことが必須です。また、Secure Boot を有効化すると、古い Linux ディストリビューションやカスタム OS が起動できなくなるため、デュアルブート環境では事前に確認が必要です。

次に注意すべきは、CPU 交換時の TPM 設定リセットです。fTPM は CPU の UUID と紐付いていることが多く、CPU を交換すると TPM の状態が初期化されたと見なされます。その場合、BitLocker でロックされたディスクにアクセスできなくなるリスクがあります。これは非常に深刻なトラブルであり、データの復旧には BitLocker 回復キーの入力が不可欠です。CPU を交換する前には必ず BitLocker のキーをバックアップしておくか、暗号化を一時的に解除することを強く推奨します。

また、BIOS アップデート後の設定リセットにも注意が必要です。BIOS のファームウェア更新を行うと、セキュリティ関連の設定がデフォルト状態に戻ることがあります。アップデート直後に PC を使用し始めると、Secure Boot が無効になっていることに気づかずに利用してしまい、セキュリティリスクにさらされる可能性があります。アップデート後は必ず BIOS 設定を確認し、必要な項目を再度有効化することを習慣付けましょう。

2026 年時点では、TPM 2.0 の仕様もさらに進化しており、一部の機能は OS に依存する形へと変化しています。そのため、純正のファームウェアのみならず、サードパーティ製の BIOS パッチやカスタム ROM を使用する際にも TPM 設定が破綻しないよう注意が必要です。また、仮想環境を構築する場合でも、ハイパーバイザー側で TPM エミュレーション機能（vTPM）を有効にする必要があるため、その設定も忘れずに行う必要があります。

よくある質問（FAQ）

Q1. Windows 11 を使うために TPM は必須ですか？

はい、必須です。Windows 11 のシステム要件として TPM 2.0 が明記されています。TPM がない場合、OS のインストール自体がブロックされるか、正常に動作しない可能性があります。セキュリティ強化の観点から、Microsoft はこの要件を厳格化しています。

Q2. Secure Boot を無効にしても Windows 11 は使えますか？

原則として推奨されません。Windows 11 は Secure Boot が有効な環境での動作を前提としています。一部の方法で回避できる場合もありますが、セキュリティリスクが高まり、アップデート機能に制限がかかる可能性があります。常に有効化しておくべきです。

Q3. TPM を有効化すると PC の速度は落ちますか？

実用上問題ないレベルです。起動時に数秒の遅延が生じる可能性がありますが、OS 実行時のパフォーマンスには影響しません。現代の CPU とマザーボードであれば、暗号化処理による負荷は無視できる範囲内です。

Q4. CPU を交換したら TPM の設定がリセットされました。どうすれば？

CPU 交換により fTPM の状態が初期化されることがあります。BIOS で再度 TPM/fTPM を有効に設定し直す必要があります。BitLocker がロックされる場合があるため、回復キーの準備が必須です。

Q5. Linux も Secure Boot と共存できますか？

はい、可能です。U[bun](/glossary/bun-runtime)tu や [Fedora](/glossary/dora-fine-tuning) などの主要ディストリビューションは Shim signed ブートローダーにより Secure Boot に対応しています。ただし、一部の軽量 OS では設定が必要になる場合があります。

Q6. TPM チップ（dTPM）を自分で追加することはできますか？

理論上可能ですが、実用的ではありません。現在では fTPM が標準であり、独自チップの購入・設置はコストと手間に見合いません。マザーボードの BIOS 設定で有効化すれば十分です。

Q7. TPM 2.0 の確認方法はありますか？

「tpm.msc」コマンドを実行してください。Windows の検索ボックスから入力するとツールが開き、TPM のバージョンや状態を確認できます。「バージョン情報」で「2.0」と表示されるかチェックします。

Q8. ゲームを起動する際に TPM エラーが出ました。どうすれば？

ゲームのアンチチートシステムが TPM 2.0 を要求している可能性があります。BIOS で TPM と Secure Boot を有効にし、PC を再起動してください。マザーボードの BIOS アップデートも検討してください。

Q9. BitLocker 使用時に TPM が必要ですか？

BitLocker のディスク暗号化を機能させるために推奨されます。TPM に鍵を保存することでパスワード入力が不要になります。ただし、TPM なしでもパスワード認証で利用は可能です。

Q10. BIOS アップデート後に Secure Boot が無効になりました。

これは仕様です。アップデート後に設定がリセットされることがあります。BIOS セットアップ画面に入り、再度 Secure Boot を有効化して保存してください。

まとめ

本記事では、Windows 11 で必須となる TPM 2.0 と Secure Boot の仕組みと設定方法について詳細に解説しました。これらの機能は、単なるオプションではなく、現代の PC セキュリティ基盤を支える重要な要素です。以下に記事全体の要点をまとめます。

• TPM 2.0 の重要性: Windows 11 の必須要件であり、暗号化キーや認証情報を安全に保管する役割を果たします。
• Secure Boot の機能: PC 起動時に信頼できるソフトウェアのみが実行されることを検証し、マルウェアの初期化攻撃を防ぎます。
• fTPM と dTPM の違い: fTPM は CPU 内に実装され、dTPM は専用チップです。自作 PC では fTPM が標準であり問題なく動作します。
• BIOS 設定方法: ASUS、MSI、Gigabyte、ASRock など各メーカーの BIOS 内での有効化手順を確認し、必ず有効に設定してください。
• Linux との共存: 主要な Linux ディストリビューションは Secure Boot をサポートしており、デュアルブートも可能です。
• トラブル対応: CPU 交換や BIOS アップデート後に設定がリセットされることがあり、BitLocker 回復キーの保管が必須です。
• パフォーマンス影響: 実用上問題ないレベルであり、セキュリティリスクを回避する観点から積極的に活用すべき機能です。

2026 年現在、PC のセキュリティ環境はさらに強化されています。自作 PC ユーザーとして、これらの知識を基に安全で快適なシステムを構築し続けてください。