最近 BitLocker を使ってパソコンのディスク パーティションを暗号化しようとしたところ、次のエラーが表示されました：このデバイスは信頼できるプラットフォーム モジュールを使用できません。管理者は、OS ボリュームのポリシー「起動時に追加の認証を必要とする」で「互換性のある TPM なしで BitLocker を許可する」オプションを選択する必要があります。この操作は会社のパソコンでは正常に動作します。なぜ現在のパソコンでこの問題が発生するのでしょうか。また、このマシンで BitLocker を使ってパーティションを暗号化するにはどうすればよいですか？
TPM とは？TPM（信頼できるプラットフォーム モジュール）は、プラットフォーム（PC やノートパソコン）の認証に使用される情報を安全に保存できるコンピューター チップ（マイクロコントローラー）です。これらの情報にはパスワード、証明書、暗号化鍵が含まれます。このチップはハードウェアベースの認証と改ざん検出も提供するため、攻撃者がチップを取り外して別のマザーボードに取り付けたり、マザーボード自体を改ざんして暗号化を回避しようとしたりすることは少なくとも理論上できません。
BitLocker はなぜ TPM が必要ですか？既定では、Windows のシステム パーティションを暗号化する場合、BitLocker はマザーボード上の TPM チップを必要とします。BitLocker は TPM を使って暗号化鍵を生成・保存します。これが、起動時に PC のドライブのロックを自動的に解除し、Windows のログイン パスワードだけでサインインできる理由です。一方、攻撃者がドライブを取り外して別の場所でファイルにアクセスすることもできません。プロセスは単純に見えますが、TPM が裏で重要な役割を果たしています。
TPM チップのないパソコンで BitLocker を使って Windows のシステム パーティションを暗号化しようすると、「このデバイスは信頼できるプラットフォーム モジュールを使用できません。管理者は「互換性のある TPM なしで BitLocker を許可する」オプションを選択する必要があります...」というエラーに遭遇することがあります。このようなメッセージを見ると、多くのユーザーは操作を中止して諦めてしまいます。しかし、TPM チップなしで BitLocker パーティションを暗号化する方法はあるのでしょうか？答えは「はい」です。以下では、Windows 11/10/8/7 で TPM なしに BitLocker 暗号化を有効にする 2 つの解決策を紹介します。
方法 1：ローカルグループ ポリシー エディターで Windows 11/10/8/7 で TPM なしの BitLocker 暗号化を有効にする方法は？
ステップ 1.「Windows + R」を押して実行ダイアログに「gpedit.msc」と入力し、「Enter」を押してローカルグループ ポリシー エディターを開きます。
ステップ 2. 左側のペインで「ローカル コンピューターのポリシー」>「コンピューターの構成」>「管理用テンプレート」>「Windows の機能」>「BitLocker ドライブ暗号化」>「オペレーティング システム ドライブ」へ移動します。
ステップ 3. 右側のペインで「起動時に追加の認証を必要とする」をダブルクリックします。
ステップ 4. ウィンドウ上部で「有効」を選択し、「互換性のある TPM なしで BitLocker を許可する（パスワードまたは USB フラッシュ ドライブ上の起動キーが必要）」チェックボックスがオンになっていることを確認します。
ステップ 5.「OK」をクリックして変更を保存します。変更は即座に有効になるため、再起動は不要です。
上記の操作を実行すると、Windows 組み込みの BitLocker 機能でシステム パーティションを暗号化でき、「このデバイスは信頼できるプラットフォーム モジュールを使用できません...」というエラー メッセージは表示されなくなります。
方法 2：Hasleo BitLocker Anywhere で Windows 11/10/8/7 で TPM なしの BitLocker 暗号化を有効にする方法は？
ステップ 1. Hasleo BitLocker Anywhere をダウンロードしてインストールします。
ステップ 2. Hasleo BitLocker Anywhere を起動し、Windows のドライブレター（通常は C:）を右クリックして「BitLocker をオンにする」をクリックします。
ステップ 3. このステップでは、起動時に Windows ドライブのロックを解除する方法を選択します。起動時にパスワードを入力するか、USB フラッシュ ドライブを挿入するかを選択できます。
起動時にパスワードを入力するを選択した場合は、ドライブの暗号化に使用するパスワードを指定し、パスワードを入力して「次へ」をクリックします。大文字と小文字、数字、スペース、特殊記号を組み合わせたパスワードを選択してください。
起動に USB フラッシュ ドライブを使う場合、起動キーを保存する USB ドライブを選択して「次へ」をクリックします。
ステップ 4.「次へ」をクリックすると、BitLocker リカバリキーのバックアップ方法を尋ねられます。リカバリキーをファイルに保存するか印刷して保管し、「次へ」で続行できます。前のステップで作成した起動キーやパスワードがなくても、誰でもリカバリキーでドライブにアクセスできることに注意し、他人には共有しないでください。
ステップ 5. Windows パーティションを暗号化するために Pre-OS に再起動するかどうかを尋ねるウィンドウが表示されます。「はい」をクリックして続行します。
ステップ 6. 続行するために WinPE イメージを作成するかどうかを尋ねる別のウィンドウが表示されます。「はい」をクリックします。
ステップ 7. Hasleo BitLocker Anywhere が WinPE 環境を構築しています。数分かかる場合があるため、しばらくお待ちください。
ステップ 8. WinPE イメージの作成が成功すると、Hasleo BitLocker Anywhere がパソコンの再起動を促します。「はい」ボタンをクリックしてソフトウェアがシステムを再起動します。
ステップ 9. Hasleo BitLocker Anywhere は再起動して Pre-OS 環境に入り、選択したドライブを BitLocker ドライブ暗号化で暗号化します。暗号化にはドライブのサイズによって長い時間がかかる場合があるため、お待ちください。暗号化の完了を待たない場合は、「操作が完了したらコンピューターをシャットダウンする」オプションを選択するだけです。
ステップ 10. 暗号化が完了したら、「完了」ボタンをクリックしてウィンドウを閉じます。
ステップ 11. Windows を起動するには、BitLocker のパスワードを入力するか、起動キーを含む USB ドライブを接続する必要があります。
よくある質問
A: A: はい、TPM の代わりにパスワードまたは USB 起動キー認証を使用すれば、TPM なしで BitLocker を利用できます。
A: A: TPM なしの BitLocker も安全ですが、TPM による自動ロック解除の代わりに、起動のたびに手動で認証（パスワードまたは USB キー）する必要があります。
A: A: gpedit.msc を実行し、「BitLocker ドライブ暗号化 > オペレーティング システム ドライブ」に移動して「起動時に追加の認証を必要とする」を有効にし、「互換性のある TPM なしで BitLocker を許可する」をオンにします。
A: A: はい、起動キーに USB フラッシュ ドライブを使うことができます。暗号化ドライブのロックを解除するには、起動のたびにその USB ドライブを接続する必要があります。
A: A: Windows Home には BitLocker は含まれていませんが、Hasleo BitLocker Anywhere を使えば、どの Windows エディションでも TPM なしでドライブを暗号化できます。
A: A: 48 桁のリカバリキーでドライブのロックを解除してください。暗号化を有効にするときは必ずリカバリキーをバックアップしてください。
A: A: はい、「PIN またはパスワードの変更」オプションを選択して、Hasleo BitLocker Anywhere で認証方法を変更できます。