Windows 11にアップデートできるかどうか、IT管理者に問い合わせないでください：こうしす！　こちら京姫鉄道 広報部システム課 ＠IT支線（30）

　Windows 11はインストール要件がさらに幾つか追加され、非対応のPCにはインストールできなくなると発表されています。その要件の一つとして示されたのが「TPM 2.0」の搭載です。

TPMとは

　TPMはTrusted Platform Moduleの略で、簡単にいえばセキュリティチップのことです。暗号鍵の生成や格納、そして暗号化や復号などを行う機能を持ちます。また、格納された鍵を読み出すことはできず、さらに耐タンパー性（外部からの解析や改変を防ぐ性質）があり、チップを分解して読み出すことも困難です。

　代表的な使用例は、Windowsの暗号化機能「BitLocker」によるSSDやHDDなどのストレージの暗号化と復号です。その際に用いられる暗号鍵の1つであるストレージルートキーが、TPM内で生成、格納されます。

　詳細な仕組みは以下をご覧ください。

　しかしTPMに格納された暗号鍵は、取り出せないとはいえ、そのTPMを用いて復号できます。PCを丸ごと盗まれた場合や、TPMを初期化するのを忘れて、PCとSSD、HDDを一緒に廃棄してしまった場合、情報漏えいにつながるかもしれません。

　TPMとBitLockerで暗号化しているから、それだけで安全というわけではありません。基本的な仕組みを理解して、運用する必要があります。

TPMがなければfTPMを使えばいいじゃない

　さて、TPMには物理的なチップの他に、CPUのファームウェアに実装された「fTPM」（Firmware TPM）があります。

　自分のPCにはTPMが搭載されていないと思っていても、実はUEFI（BIOS）の設定でTPM（fTPM）が無効になっている場合があります。設定を有効にするとTPMが使えるようになるかもしれません。

　「Windows 11のインストール不可」と判定されてしまった方は、試してもよいでしょう。

　ただし、UEFI（BIOS）の設定変更は、最悪起動不可能になる危険があります。必ず事前にデータのバックアップを行うようにしましょう。

確認ツールの怪

　Windows 11が発表された際、Microsoftはインストールできるかどうかを確認する「PC 正常性チェックツール」を公開しました。これが不評を招き、あっという間に一時公開停止となりました。

　最初のバージョンでは、アップデートできない理由が表示されなかったことが不評の原因でしょう。

　筆者が困ったのは、Azure Active Directory（Azure AD）参加PCでは、マンガの3コマ目のような表示が出て、Windows 11をインストールできるのかできないのかが分からなかったことです。

　しかも、IT管理者自身が確認しているときにまでこの表示です。IT管理者はエスパーではないので、この表示が出てもユーザーからの問い合わせに回答できません。

　「何でもかんでもIT管理者に問い合わせするよう仕向けないでほしい」と、心の中でぼやいたのでした。