TPM プラットフォーム検証プロファイルを構成する (Windows Vista、Windows Server 2008、Windows 7、Windows Server 2008 R2)

このポリシー設定を使用すると、コンピューターのトラステッド プラットフォーム モジュール (TPM) セキュリティ ハードウェアが BitLocker の暗号化キーをセキュリティで保護する方法を構成できます。コンピューターに互換性のある TPM が装備されていない場合、または BitLocker の TPM 保護が既に有効になっている場合は、このポリシー設定は適用されません。

BitLocker を有効にする前にこのポリシー設定を有効にすると、BitLocker の暗号化オペレーティング システム ドライブへのアクセスのロックを解除する前に TPM が検証するブート コンポーネントを構成できます。BitLocker の保護が有効になっている間にこれらのコンポーネントのいずれかが変更された場合、TPM は、ドライブのロックを解除するための暗号化キーを解放せず、代わりにコンピューターは BitLocker 回復コンソールを表示し、ドライブのロックを解除するための回復パスワードまたは回復キーの指定を要求します。

このポリシー設定を無効にするか、または構成しない場合、TPM では、既定のプラットフォーム検証プロファイルか、セットアップ スクリプトで指定されたプラットフォーム検証プロファイルを使用します。プラットフォーム検証プロファイルは、0 ～ 23 の範囲のプラットフォーム構成レジスタ (PCR) のインデックス セットで構成されます。既定のプラットフォーム検証プロファイルは、コアの信頼性測定のルート (CRTM)、BIOS、およびプラットフォーム拡張 (PCR 0)、オプション ROM コード (PCR 2)、マスター ブート レコード (MBR) コード (PCR 4)、NTFS ブート セクター (PCR 8)、NTFS ブート ブロック (PCR 9)、ブート マネージャー (PCR 10)、および BitLocker アクセス コントロール (PCR 11) に対する変更から暗号化キーを保護します。拡張ファームウェア インターフェイス (EFI) を使用するコンピューターの PCR 設定の記述は、標準 BIOS を使用するコンピューター用に記述された PCR 設定とは異なります。

警告: 既定のプラットフォーム検証プロファイルを変更すると、コンピューターのセキュリティと管理性に影響します。プラットフォームの (悪意があるまたは認可された) 変更に対する BitLocker の感度は、PCR が含まれているか含まれていないかに応じて、それぞれ高くなったり低くなったりします。

プラットフォーム検証プロファイルは、プラットフォーム構成レジスタ (PCR) のインデックス セットで構成されます。各 PCR インデックスは、Windows の起動時に実行されるコンポーネントに関連付けられます。

以下で、プロファイルに含める PCR インデックスのチェック ボックスをオンにします。

この設定を変更する場合は注意が必要です。

既定の PCR 0、2、4、8、9、10、および 11 を使用することをお勧めします。

BitLocker 保護を有効にするには、PCR 11 を含める必要があります。

既定の TPM プラットフォーム検証プロファイルを変更するメリットとリスクの詳細については、オンライン ドキュメントを参照してください。

PCR 0: コアの信頼性測定のルート (CRTM)、BIOS、およびプラットフォーム拡張

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\PlatformValidation
Value Name	0
Value Type	REG_DWORD
Default Value	1
True Value	1
False Value	0

PCR 1: プラットフォームおよびマザーボードの構成とデータ

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\PlatformValidation
Value Name	1
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 2: オプションの ROM コード

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\PlatformValidation
Value Name	2
Value Type	REG_DWORD
Default Value	1
True Value	1
False Value	0

PCR 3: オプションの ROM 構成とデータ

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\PlatformValidation
Value Name	3
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 4: マスター ブート レコード (MBR) コード

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\PlatformValidation
Value Name	4
Value Type	REG_DWORD
Default Value	1
True Value	1
False Value	0

PCR 5: マスター ブート レコード (MBR) パーティション テーブル

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\PlatformValidation
Value Name	5
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 6: 状態の推移とウェイク イベント

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\PlatformValidation
Value Name	6
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 7: コンピューター製造元固有

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\PlatformValidation
Value Name	7
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 8: NTFS ブート セクター

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\PlatformValidation
Value Name	8
Value Type	REG_DWORD
Default Value	1
True Value	1
False Value	0

PCR 9: NTFS ブート ブロック

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\PlatformValidation
Value Name	9
Value Type	REG_DWORD
Default Value	1
True Value	1
False Value	0

PCR 10: ブート マネージャー

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\PlatformValidation
Value Name	10
Value Type	REG_DWORD
Default Value	1
True Value	1
False Value	0

PCR 11: BitLocker のアクセスの制御

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\PlatformValidation
Value Name	11
Value Type	REG_DWORD
Default Value	1
True Value	1
False Value	0

PCR 12: 将来の使用のため予約済み

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\PlatformValidation
Value Name	12
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 13: 将来の使用のため予約済み

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\PlatformValidation
Value Name	13
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 14: 将来の使用のため予約済み

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\PlatformValidation
Value Name	14
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 15: 将来の使用のため予約済み

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\PlatformValidation
Value Name	15
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 16: 将来の使用のため予約済み

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\PlatformValidation
Value Name	16
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 17: 将来の使用のため予約済み

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\PlatformValidation
Value Name	17
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 18: 将来の使用のため予約済み

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\PlatformValidation
Value Name	18
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 19: 将来の使用のため予約済み

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\PlatformValidation
Value Name	19
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 20: 将来の使用のため予約済み

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\PlatformValidation
Value Name	20
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 21: 将来の使用のため予約済み

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\PlatformValidation
Value Name	21
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 22: 将来の使用のため予約済み

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\PlatformValidation
Value Name	22
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

PCR 23: 将来の使用のため予約済み

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE\PlatformValidation
Value Name	23
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0