Windows 10 で Credential Guard を有効／無効にする方法【完全ガイド】

Windows 10 の Credential Guard とは？

Windows 10 で Credential Guard を有効または無効にする方法：Windows Credential Guard は、仮想化ベースのセキュリティ（VBS）を活用し、機密資格情報を分離して特権を持つシステムソフトウェアだけがアクセスできるようにするセキュリティ機能です。これらの機密情報が不正アクセスされると、Pass-the-Hash や Pass-the-Ticket といった認証情報窃取攻撃を受ける危険性があります。Credential Guard を有効にすることで、NTLM パスワードハッシュ、Kerberos Ticket Granting Ticket、アプリケーションがドメイン資格情報として保存したデータなどを保護し、こうした攻撃を防げます。

Credential Guard を有効にするメリット

• ハードウェアレベルのセキュリティ強化
• 仮想化ベースのセキュリティによる分離保護
• 高度な標的型攻撃（APT）への耐性向上

Credential Guard の重要性がわかったところで、さっそく以下のチュートリアルに沿って、Windows 10 で Credential Guard を有効／無効にする手順を見ていきましょう。

Windows 10 で Credential Guard を有効または無効にする方法

作業を始める前に、万が一のトラブルに備えて復元ポイントを作成しておくことをおすすめします。

方法 1：グループポリシーエディターを使う

注意：この方法は Windows 10 Pro／Education／Enterprise エディション限定です。Home エディションをお使いの方は、次のレジストリエディターを使う方法をご覧ください。

1. Windows キー + R を押し、「gpedit.msc」と入力して Enter キーを押すと、グループポリシーエディターが開きます。
2. 次のパスへ移動します。
   コンピューターの構成 > 管理用テンプレート > システム > Device Guard
3. 「Device Guard」を選択した状態で、右側ペインの「仮想化ベースのセキュリティを有効にする」ポリシーをダブルクリックします。

4. プロパティ画面で「有効」を選択します。

5. 「プラットフォームセキュリティレベルを選択する」ドロップダウンから「セキュア ブートと DMA 保護」または「セキュア ブート」を選択します。

6. 続いて「Credential Guard 構成」ドロップダウンから「UEFI ロックで有効にする」を選択します。なお、後からリモートで Credential Guard を無効化したい場合は、「UEFI ロックなしで有効にする」を選んでください。
7. 設定が完了したら「適用」→「OK」をクリックします。
8. PC を再起動して変更を反映させます。

方法 2：レジストリエディターを使う

Credential Guard は仮想化ベースのセキュリティ機能に依存しているため、まず Windows の機能としてこれを有効にしておく必要があります。以下の 2 つの方法のうち、必ずどちらか一方だけを使用してください。

[1] 「プログラムと機能」から仮想化ベースのセキュリティ機能を追加する

1. Windows キー + R を押し、「appwiz.cpl」と入力して Enter キーを押すと、「プログラムと機能」が開きます。

2. 左側メニューの「Windows の機能の有効化または無効化」をクリックします。

3. 一覧から「Hyper-V」を展開し、さらに「Hyper-V プラットフォーム」も展開します。
4. 「Hyper-V ハイパーバイザー」にチェックを入れます。
5. 下へスクロールして「分離ユーザーモード（Isolated User Mode）」にもチェックを入れ、「OK」をクリックします。

[2] DISM コマンドでオフラインイメージに機能を追加する

1. Windows キー + X を押し、「コマンド プロンプト (管理者)」を選択します。

2. 以下のコマンドを入力して Enter キーを押し、Hyper-V ハイパーバイザーを追加します。

dism /image:<WIMファイル名> /Enable-Feature /FeatureName:Microsoft-Hyper-V-Hypervisor /all
または
dism /Online /Enable-Feature:Microsoft-Hyper-V /All

3. 続けて次のコマンドを実行し、分離ユーザーモード機能を追加します。

dism /image:<WIMファイル名> /Enable-Feature /FeatureName:IsolatedUserMode
または
dism /Online /Enable-Feature /FeatureName:IsolatedUserMode

4. 完了したらコマンドプロンプトを閉じます。

レジストリで Credential Guard を有効／無効にする手順

1. Windows キー + R を押し、「regedit」と入力して Enter キーを押すと、レジストリエディターが開きます。

2. 次のレジストリキーへ移動します。
   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\DeviceGuard
3. 「DeviceGuard」を右クリックし、「新規 > DWORD (32 ビット) 値」を選択します。

4. 新しい DWORD に「EnableVirtualizationBasedSecurity」という名前を付けて Enter キーを押します。

5. この DWORD をダブルクリックし、値データを以下のように設定します。
   仮想化ベースのセキュリティを有効にする：1
   仮想化ベースのセキュリティを無効にする：0

6. 再び「DeviceGuard」を右クリックし、「新規 > DWORD (32 ビット) 値」を作成して「RequirePlatformSecurityFeatures」という名前を付けます。

7. この DWORD をダブルクリックし、セキュア ブートのみ使用する場合は「1」、セキュア ブートと DMA 保護を使用する場合は「3」に設定します。
8. 続いて次のレジストリキーへ移動します。
   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA
9. 「LSA」を右クリックし、「新規 > DWORD (32 ビット) 値」を作成して「LsaCfgFlags」という名前を付けます。

10. 「LsaCfgFlags」をダブルクリックし、値データを以下のように設定します。
    Credential Guard を無効にする：0
    UEFI ロック付きで有効にする：1
    UEFI ロックなしで有効にする：2

11. 完了したらレジストリエディターを閉じ、PC を再起動します。

Credential Guard を無効にする方法

Credential Guard を UEFI ロックなしで有効にしていた場合は、Device Guard ＆ Credential Guard ハードウェア準備ツールを使うか、以下の手順で無効化できます。

1. Windows キー + R を押し、「regedit」と入力して Enter キーを押し、レジストリエディターを開きます。
2. 以下のレジストリキーを検索して削除します。

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA\LsaCfgFlags
HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\DeviceGuard\EnableVirtualizationBasedSecurity
HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\DeviceGuard\RequirePlatformSecurityFeatures

3. bcdedit を使って Windows Credential Guard の EFI 変数を削除します。Windows キー + X を押し、「コマンド プロンプト (管理者)」を選択します。
4. 以下のコマンドを入力して Enter キーを押します。

mountvol X: /s
copy %WINDIR%\System32\SecConfig.efi X:\EFI\Microsoft\Boot\SecConfig.efi /Y
bcdedit /create {0cb3b571-2f2e-4343-a879-d86a476d7215} /d "DebugTool" /application osloader
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} path "\EFI\Microsoft\Boot\SecConfig.efi"
bcdedit /set {bootmgr} bootsequence {0cb3b571-2f2e-4343-a879-d86a476d7215}
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} device partition=X:
mountvol X: /d

5. 完了したらコマンドプロンプトを閉じ、PC を再起動します。
6. 起動時に表示されるプロンプトで、Windows Credential Guard を無効化することを承認します。

あわせて読みたい関連記事

• Windows 10 のテーマによるデスクトップアイコンの変更を許可／禁止する方法
• Windows 10 で詳細なステータスメッセージを表示する方法
• Windows 10 で開発者モードを有効／無効にする方法
• Windows 10 で壁紙の JPEG 画質低下を防ぐ方法

以上で、Windows 10 で Credential Guard を有効または無効にする方法の解説は完了です。本チュートリアルについてご不明な点があれば、お気軽にコメント欄でお知らせください。