グループポリシーを使ってWindows 11/10でCredential Guard（資格情報ガード）を有効にする方法

本記事では、グループポリシーを使用して、Windows 11/10でCredential Guard（資格情報ガード）を有効にする手順を詳しく解説します。Credential Guardは、Windows 11/10に搭載されている主要なセキュリティ機能のひとつで、ドメイン資格情報へのハッキング攻撃を防ぎ、攻撃者による企業ネットワークの乗っ取りを未然に阻止することができます。

Windows 11/10でCredential Guardを有効化する前提条件

Credential Guardを利用できるのは、Windows 11/10 Enterprise（エンタープライズ）エディションのみです。ProやEducationエディションをお使いの場合は、この機能は利用できませんのでご注意ください。また、お使いのPCがセキュアブート（Secure Boot）と64ビット仮想化に対応している必要があります。

グループポリシーでCredential Guardを有効にする手順

まず、「ファイル名を指定して実行」を開き、gpedit.mscと入力してEnterキーを押し、ローカルグループポリシーエディターを起動します。

次に、以下の設定場所へ移動します。

コンピューターの構成 > 管理用テンプレート > システム > Device Guard

「仮想化ベースのセキュリティを有効にする（Turn On Virtualization Based Security）」をダブルクリックし、設定を「有効」に変更します。

続いて、下部の「オプション」にある「プラットフォームセキュリティレベル」で、「セキュアブート」または「セキュアブートとDMA保護」を選択します。

「Credential Guard構成」の項目では、「UEFIロックありで有効にする」を選択して「OK」をクリックします。

なお、後からリモートでCredential Guardを無効化できるようにしておきたい場合は、「ロックなしで有効にする」を選択してください。

最後に「適用」「OK」をクリックして設定画面を閉じ、システムを再起動すれば完了です。

Credential Guardに関する注意点

Credential Guardは、直接的なハッキング攻撃や、資格情報を狙うマルウェアからの保護に役立ちます。ただし、Credential Guardを導入する前に資格情報がすでに盗まれていた場合は、同じドメイン内の他のコンピューターでハッシュキーが悪用されることを防ぐことはできません。そのため、セキュリティ対策は早めに実施することが重要です。

また、Windows 11/10にはRemote Credential Guard（リモート資格情報ガード）も用意されており、こちらはリモートデスクトップ接続時の資格情報を保護します。