Windows 11 HomeとLinuxデュアルブートで共有パーティションにBitLocker自動暗号化される問題の対処法

Windows 11 Home と Linux をデュアルブートしている環境で「共有用パーティションに BitLocker（デバイスの暗号化）が勝手にかかってしまい、Linux からアクセスできない」という相談はかなり増えています。本記事では、単なる設定紹介にとどまらず、「なぜこうなるのか」という仕組みから、暗号化を維持したまま Linux から安全に使う方法、共有ドライブだけ平文で運用する方法、さらに代替案までまとめて解説します。

サブパーティションに BitLocker が自動有効化される現象の整理

まずは、問題となる典型的な構成と、そのときに何が起こっているのかを整理します。

想定している構成例

この記事では、次のような構成を前提に説明します。

1 台の NVMe SSD を使用
C: Windows 11 Home をインストールしたシステムパーティション
S: 約 100GB 程度の「Windows・Linux 共有用」パーティション（NTFS）
Ubuntu などの Linux を別パーティションにデュアルブート構成
PC は比較的新しめ（TPM 2.0 / Secure Boot 対応）

パーティション	用途	ファイルシステム	OS からの見え方
EFI / MSR 等	ブート関連	FAT32 など	通常はドライブレターなし
C:	Windows 11 Home	NTFS	Windows のシステムドライブ
S:	Windows / Linux 共有	NTFS	Windows からは通常のデータドライブ
Linux パーティション	Ubuntu 等	ext4 など	Windows からは見えない

実際に起きている現象

この構成で、Windows 11 Home の「デバイスの暗号化」が有効になっていると、次のような現象が起こります。

Windows 初回セットアップやサインイン後、自動的にデバイスの暗号化がオンになる
C: だけでなく、S:（共有用パーティション）にも BitLocker による暗号化が適用される
Ubuntu から S: をマウントしようとすると「BitLocker でロックされている NTFS」として認識され、そのままではマウントできない
一度 S: の暗号化を解除しても、再起動や再ログインのタイミングで 再び自動暗号化されてしまう 場合がある

利用者の目的はシンプルで、

BitLocker 自体はオフにしたくない（OS まるごと暗号化のメリットは享受したい）
しかし、共有用パーティションだけは Linux からも自由に読み書きしたい

というパターンが大半です。

なぜサブパーティションまで自動暗号化されてしまうのか

ここでポイントになるのが、Windows 11 Home に搭載されている「デバイスの暗号化」の仕組みです。

「デバイスの暗号化」は、Home エディション向けに簡略化された BitLocker のようなもの
TPM 2.0 やモダンスタンバイ対応など、条件を満たす PC では初回サインイン時に自動で有効化されることが多い
ユーザーは細かい設定をほとんど触れず、「オン / オフ」程度しか選べない

この「デバイスの暗号化」が有効になると、内蔵ドライブ全体をまとめて暗号化しようとします。具体的には、

OS が入っている C: だけでなく、同一物理ディスク上の固定ドライブ（S: など）も順次暗号化対象に含まれる
ユーザーが S: の BitLocker を解除しても、ポリシー的には「この PC は暗号化必須」という扱いのため、再度オンに戻されることがある
Home エディションでは Pro のように「特定のドライブのみ BitLocker 無効」といった細かい制御が UI からは行えない

結果として、「共有用に作った S: が Windows によって勝手に暗号化され、Linux からアクセスできなくなる」という状況に陥ります。

解決方針の全体像：何を優先するかで最適解が変わる

この問題には絶対的な正解はなく、「何を優先したいか」によって採るべき戦略が変わります。本記事では次の 3 パターンに整理します。

方式	優先すること	概要	おすすめ度
方式 A	暗号化を維持したい	Linux 側で BitLocker 対応のツールを使い、暗号化された S: をマウントする	推奨（特に会社 PC）
方式 B	共有用は平文で OK	デバイスの暗号化をオフにするか、Windows 11 Pro にしてドライブ単位で BitLocker を制御する	自宅 PC なら有力
方式 C	構成をシンプルにしたい	外付けドライブや暗号化コンテナを使い、内蔵ドライブ側の問題を回避する	環境によっては現実的

この記事ではまず 方式 A（暗号化維持） を詳しく解説し、続いて 方式 B（共有だけ平文）、最後に 方式 C（代替策） を紹介します。

方式 A：暗号化を維持したまま Linux から BitLocker ドライブを使う（推奨）

最も無難でセキュリティ的にも安心なのが「暗号化は維持したまま、Linux から BitLocker ドライブを読む」という方針です。

Windows 側では特別な設定を大きく変える必要がない
会社支給 PC などで「暗号化必須」な場合でもポリシー違反になりにくい
物理的に PC を紛失した場合のデータ保護も維持できる

Linux から BitLocker 暗号化ドライブにアクセスするには、大きく次の二つの選択肢があります。

dislocker を使う方法
cryptsetup の --type bitlk を使う方法

方式 A が向いているケース

会社支給 PC や学校配布 PC で、ポリシー的に暗号化はオフにできない
PC を外に持ち出すことが多く、万が一の盗難でもデータ保護を重視したい
Windows 11 Pro へのアップグレードをしたくない、あるいはできない

作業前の前提チェック

方式 A に進む前に、次のポイントを確認しておきましょう。

S: は NTFS でフォーマットされているか
Windows で S: を開くと BitLocker の鍵マークがついているか
BitLocker 回復キー を確認・バックアップ済みか
Linux 側は比較的新しいディストリビューション（cryptsetup の bitlk 対応が含まれているもの）か

Windows 側：BitLocker 回復キーを確認して保管する

Linux から BitLocker ドライブを開くには、基本的に 回復キー もしくは パスワード が必要です。まずは Windows 側でこれを確認しておきます。

設定画面から確認する方法

Windows の「設定」を開く
プライバシーとセキュリティ > デバイスの暗号化（もしくは「BitLocker の管理」）を開く
「回復キーを管理」や「回復キーのバックアップ」を選び、表示・保存する

環境によっては、Microsoft アカウントに自動的に回復キーがバックアップされている場合もあります。その場合は Web ブラウザで Microsoft アカウントにサインインすると、対象デバイスの回復キー一覧を確認できます。

PowerShell / コマンドラインから確認する方法

管理者権限の PowerShell またはコマンドプロンプトを開き、次のコマンドを実行します。

manage-bde -protectors -get S:

出力の中に「回復パスワード」として 48 桁の数字が表示されるので、これを紙にメモするか、オフラインで安全な場所に保存しておきます。

重要：回復キーは 必ず複数箇所にバックアップ してください。これを失うと、最悪の場合 S: にアクセスできなくなります。

Linux 側：dislocker で BitLocker ドライブをマウントする方法（Ubuntu 例）

dislocker は、BitLocker で暗号化されたボリュームを FUSE 経由で解読し、仮想的な平文ファイルとして提供するツールです。多くのディストリビューションでパッケージが用意されており、使い方も比較的シンプルです。

1. dislocker のインストール

Ubuntu 系のディストリビューションであれば、次のコマンドでインストールできます。

sudo apt update
sudo apt install dislocker

2. 対象パーティションの確認

まずは S: に対応するパーティション（例：/dev/nvme0n1p3 のような名前）を特定します。

sudo lsblk
# または
sudo fdisk -l

サイズやラベル（例：S や Shared）から、共有用パーティションを特定します。

3. マウントポイントの作成

sudo mkdir -p /mnt/bitlocker
sudo mkdir -p /mnt/shared

/mnt/bitlocker：dislocker が復号済データを出力する場所
/mnt/shared：実際にファイル操作を行うマウントポイント

4. dislocker で BitLocker ボリュームを復号する

回復キー（48 桁の数字）を使う場合の例です。

sudo dislocker -V /dev/nvme0n1pX -p &lt;48桁の回復キー&gt; -- /mnt/bitlocker

/dev/nvme0n1pX は S: に対応するパーティションに置き換えてください
実行に成功すると、/mnt/bitlocker 配下に dislocker-file が生成されます

5. 復号済ファイルを通常の NTFS としてマウント

sudo mount -o rw /mnt/bitlocker/dislocker-file /mnt/shared

これで、/mnt/shared を通じて Windows の S: と同じ内容を読み書きできるようになります。

6. アンマウントするとき

sudo umount /mnt/shared
sudo umount /mnt/bitlocker

使用後は必ずアンマウントしてから Windows を起動するようにしましょう。

dislocker の特徴と注意点

FUSE ベースのためカーネルに依存しにくく、比較的どのディストリでも動作させやすい
復号されたデータは dislocker-file という巨大なファイルとして扱われる
大量のファイル I/O を行う場合はパフォーマンス面で cryptsetup に比べて見劣りすることもある

Linux 側：cryptsetup の bitlk サポートを使う方法

最近の Linux では、cryptsetup に --type bitlk オプションが追加されており、BitLocker 暗号化ボリュームをネイティブに扱えるようになってきています。

1. cryptsetup のインストールとバージョン確認

多くのディストリビューションでは標準でインストールされていますが、入っていない場合はインストールします。

sudo apt install cryptsetup
cryptsetup --version

古いバージョンだと --type bitlk に対応していない場合があるため、ある程度新しいバージョンであることを確認してください。

2. BitLocker ボリュームを開く

sudo cryptsetup open --type bitlk /dev/nvme0n1pX bitlkS

実行するとパスワードまたは回復キーの入力を求められます
成功すると /dev/mapper/bitlkS が作成されます

3. NTFS としてマウントする

sudo mkdir -p /mnt/shared
sudo mount /dev/mapper/bitlkS /mnt/shared

4. 使用後のクローズ

sudo umount /mnt/shared
sudo cryptsetup close bitlkS

cryptsetup(bitlk) の特徴

カーネルレベルで扱うため、FUSE ベースの dislocker よりもパフォーマンスが良い場合が多い
systemd の自動マウントなどと連携しやすく、常用する共有ドライブに向いている
ディストリビューションやバージョンによっては bitlk サポートがまだ不完全な場合もある

どちらがよいか迷う場合、まずは導入が簡単な dislocker を試し、パフォーマンスや運用上の不満があれば cryptsetup に移行する、という流れがおすすめです。

Windows と Linux の共存運用で絶対に押さえておきたいポイント

高速スタートアップ・休止状態は必ず無効化する

BitLocker 以前に、Windows と Linux で NTFS を共有する場合の大前提として、次のルールがあります。

Windows が休止状態中の NTFS パーティションには Linux から書き込まない
Windows の高速スタートアップを有効にしたまま共有ドライブを書き換えない

これを守らないと、最悪の場合 NTFS のファイルシステムが壊れ、Windows 側でも Linux 側でもアクセス不能になることがあります。

高速スタートアップと休止状態の無効化手順（Windows）

「コントロールパネル」から「電源オプション」を開く
「電源ボタンの動作を選択する」をクリック
「現在利用可能ではない設定を変更します」をクリック
「高速スタートアップを有効にする（推奨）」のチェックを外す

休止状態そのものを無効化するには、管理者権限のコマンドプロンプトで次を実行します。

powercfg /h off

Linux から共有ドライブに書き込む前には、Windows を次のように完全シャットダウンしておくのが安全です。

shutdown /s /t 0

BitLocker 回復キーは複数の場所に保管する

暗号化されたドライブを Linux から扱うということは、BitLocker の「回復キー」や「パスワード」に依存する度合いが高まるということでもあります。必ず次のように管理してください。

紙に印刷して物理的に保管する
パスワードマネージャー（オフラインバックアップ付き）に保存する
もし許されるなら、信頼できるクラウドストレージに暗号化して保存する

どれか一つではなく、最低二箇所以上 にバックアップを持つことを強くおすすめします。

方式 B：共有用パーティションだけ暗号化なしで使いたい場合

次に、「S: は平文でよいので、Linux からそのままマウントしたい」というケースです。

ここで問題になるのが、Windows 11 Home の「デバイスの暗号化」は端末単位でオン / オフする仕組み であり、「S: だけ常に暗号化対象外にする」という 公式な設定が存在しない という点です。

なぜ Windows 11 Home では部分的な無効化が難しいのか

Home エディションの「デバイスの暗号化」は、Pro のようなドライブ単位 BitLocker 管理画面が用意されていない
内部的には BitLocker を使っているものの、ユーザーが個別ドライブ単位で「オン / オフ」することが想定されていない
その結果、S: を一度復号しても、再起動やポリシー再適用のタイミングで 再暗号化が走ってしまう ことがある

したがって、共有用パーティションだけを恒久的に平文で使いたい 場合、実質的に選択肢は次の 2 つに絞られます。

端末全体の「デバイスの暗号化」をオフにする
Windows 11 Pro に変更し、BitLocker をドライブ単位で制御する

ステップ 1：現在の暗号化状態を確認する

まずは S: がどのように暗号化されているかを確認します。

manage-bde -status

この出力から、

S: ドライブの暗号化状態（暗号化済み / 暗号化中 / 復号中など）
暗号化方式（XTS-AES 128/256 など）

を確認しておきましょう。

ステップ 2：S: を復号する（短期的な対処）

まずは S: の BitLocker を一旦オフにします。

manage-bde -off S:

復号には時間がかかることがあります。進捗は再度 manage-bde -status で確認できます。復号が完了すると、Windows から見た S: は通常の NTFS ドライブとして扱えるようになります。

しかし、この段階ではまだ「デバイスの暗号化」がオンのまま なので、環境によっては時間差で再び暗号化が走ってしまいます。

ステップ 3：デバイスの暗号化をオフにして再暗号化を止める

恒久的に S: を平文で使いたい場合は、端末全体の「デバイスの暗号化」をオフにします。

Windows の「設定」を開く
プライバシーとセキュリティ > デバイスの暗号化 を開く
「デバイスの暗号化」のスイッチをオフにする

環境によっては、「BitLocker デバイス暗号化」や OEM 独自のメニュー名になっていることもあります。

注意：職場・学校などの管理された端末では、組織のポリシーによってデバイスの暗号化をオフにすることが 禁止されている 場合があります。そのような端末で勝手にオフにすると規約違反になる可能性があるため、必ず管理者に相談してください。

ステップ 4：共有用パーティションのファイルシステムを整える

デバイスの暗号化をオフにして S: を完全平文にする場合、改めて「どのファイルシステムで運用するか」を考え直す良いタイミングです。

ファイルシステム	Windows からの利用	Linux からの利用	特徴	共有用途でのおすすめ度
NTFS	標準サポート	近年のカーネルでは `ntfs3` ドライバで安定して使用可能	アクセス権やジャーナリングに対応し、内蔵ドライブ向き	◎（推奨）
exFAT	標準サポート	多くのディストリで標準サポート	フラッシュメモリや外付けドライブ向き。ジャーナリングなし	○（外付け向け）
ext4	標準では読めない	Linux の標準ファイルシステム	Linux 専用なら高速・安定	△（Windows からアクセスしにくい）

内蔵の共有用パーティションとして使うのであれば、NTFS を選ぶのが現実的です。Windows 11 と最近の Linux カーネルでは安定して読み書きが可能であり、アクセス権やジャーナリングにも対応しているためです。

ただし、ファイルシステムの変換や再フォーマットは中身のデータを消去する可能性があります。必ず事前にバックアップを取り、慎重に作業してください。

Windows 11 Pro にアップグレードしてドライブ単位で管理する

「OS が入っている C: は暗号化のままにしたいが、S: だけは平文で使いたい」という要求を公式に満たせるのが、Windows 11 Pro の BitLocker ドライブ暗号化 機能です。

Pro エディションでは、コントロールパネルの「BitLocker ドライブ暗号化」から、ドライブごとに個別にオン / オフを切り替えられます。

C: ドライブ：BitLocker オン
S: ドライブ：BitLocker オフ

という構成が可能になります。

自宅 PC であれば、

Windows 11 Home → Pro へのエディションアップグレードを行う
アップグレード後、「BitLocker ドライブ暗号化」画面から S: の BitLocker をオフにする

という流れで、「OS は暗号化・共有ドライブは平文」という理想に近い構成が実現できます。

一方で、会社支給 PC などではエディションの変更が許可されていないこともあるため、その場合は方式 A または方式 C を検討します。

方式 C：外付けドライブや暗号化コンテナで問題を回避する

ここまで見てきたように、内蔵ドライブの共有パーティションをどう扱うかは、Windows のエディションや組織のポリシーに強く縛られます。状況によっては、そもそも「内蔵ドライブを共有しない」という割り切りが一番ストレスが少ないこともあります。

外付け SSD / HDD / USB ドライブを共有用にする

もっともシンプルな代替策が、外付けドライブを共有用にする 方法です。

内蔵ディスクは「デバイスの暗号化」に任せてしまい、共有用途では使わない
外付け SSD / HDD / USB を NTFS または exFAT でフォーマットし、Windows と Linux の両方から使う
必要に応じて、外付けドライブ側は VeraCrypt などで暗号化する

物理的に取り外せるので、

作業が終わったら外付けドライブを外して保管する
複数の PC 間で簡単にデータを持ち運べる

といったメリットもあります。一方で、

紛失・盗難のリスクが高くなる
常時接続して使うにはケーブルなどが煩雑になる

といったデメリットもあるため、自分の利用スタイルに合うかどうかを考えて選択してください。

VeraCrypt などの暗号化コンテナを使う

もう一つの選択肢として、VeraCrypt などのクロスプラットフォーム暗号化ツール を用いる方法があります。

イメージとしては、

S: の上に「1 つの巨大な暗号化ファイル（コンテナ）」を作る
Windows / Linux から VeraCrypt でそのコンテナをマウントすると、仮想ドライブとして見える
コンテナ内部のファイルは強力な暗号で保護される

この方法だと、

S: 自体は平文の NTFS として運用する（デバイス暗号化の対象から外すなど）
機密度の高いデータだけを VeraCrypt コンテナの中に保存する
Windows / Linux 両方に VeraCrypt をインストールしておけば、同じコンテナを両 OS から開ける

という柔軟な運用が可能です。

ただし、

マウントのたびにパスワードやキーを入力する必要がある
コンテナファイルが壊れると中のデータがまとめて失われるリスクがある

といった特性もあるので、定期的なバックアップは必須です。

実際のトラブルシューティング例で流れをイメージする

ここまでの内容を踏まえて、典型的なケースをいくつか想定し、それぞれどの方式を選ぶと良いかを整理してみましょう。

ケース 1：自宅 PC でのデュアルブート環境

PC は自分専用、組織のポリシーは特になし
なるべくシンプルに運用したい
BitLocker による暗号化は「あると嬉しいが絶対ではない」

この場合、選択肢はかなり広くなります。

セキュリティより使い勝手重視なら → 方式 B で S: は平文 + 必要なら C: も含めて暗号化オフ
セキュリティと両立したいなら → Windows 11 Pro にアップグレード して C: だけ BitLocker、S: は平文
構成を簡単にしたいなら → 外付け SSD（方式 C） に共有データを集約

ケース 2：会社支給 PC に Linux を追加したい

端末は会社管理、BitLocker は必須
デバイスの暗号化やポリシー設定に手を出すのは避けたい
それでも Linux から社内用の作業ファイルにアクセスしたい

この場合は、ポリシーをいじらない 方式 A 一択 と考えるのが安全です。

Windows 側の暗号化設定には手を出さない
Linux 側に dislocker または cryptsetup を導入して、BitLocker のまま S: をマウント
回復キーの扱いについては、社内規定に従う（勝手にメモを持ち出さないなど）

会社によっては、Linux の利用自体が許可されていない場合もあるので、必ず事前に情報システム部門などに相談してください。

ケース 3：ノート PC を頻繁に持ち歩く個人開発者

外で作業することが多く、紛失・盗難リスクが高い
Windows / Linux 両方で開発環境を使いたい
ソースコードや SSH 秘密鍵など、機密性の高いデータを扱う

この場合は、

OS ドライブ（C:）は BitLocker で暗号化
開発用リポジトリや SSH 鍵などは VeraCrypt コンテナ内や、暗号化済み外付け SSD に置く
Linux からは dislocker / cryptsetup で必要なときだけ S: を開く

といったように、方式 A + 方式 C を組み合わせる 構成がバランスが取れています。

作業前・作業中の安全チェックリスト

最後に、どの方式を選ぶにしても共通する「安全に作業するためのチェックリスト」をまとめます。

バックアップは取ったか？
- 重要なデータは別ディスクやクラウドにコピー済みか
- BitLocker 関連の操作（復号・再フォーマット）は失敗すると致命的なデータ損失につながる
BitLocker 回復キーを控えたか？
- 48 桁の回復キーを紙・パスワードマネージャーなど複数箇所に保管したか
- 保管場所は第三者から見られない安全な場所か
Windows を完全シャットダウンしてから Linux を起動しているか？
- 高速スタートアップや休止状態を有効にしたまま共有パーティションを書き換えていないか
職場・学校のポリシーを確認したか？
- 勝手にデバイスの暗号化をオフにしていないか
- Linux インストール自体が禁止されていないか
操作手順をメモしておいたか？
- 後から同じ環境を再構築するときのために、実行したコマンドや設定変更を記録しておく

よくある疑問と補足

Home 版でもレジストリなどをいじれば S: だけ暗号化を止められる？

インターネット上には、レジストリやローカルグループポリシーを駆使して、部分的に暗号化を止める裏技的な情報が散見されます。しかし、

将来の Windows アップデートで挙動が変わる可能性が高い
公式にサポートされていない組み合わせになり、トラブルシューティングが難しくなる
企業環境ではセキュリティ監査の観点から問題になることがある

といった理由から、本記事ではおすすめしません。確実かつ再現性の高い手段としては、方式 A・B・C のいずれかを選ぶのが安全 です。

BitLocker を完全にオフにすると何が起きる？

BitLocker（デバイスの暗号化）を完全にオフにすると、ディスクは平文になります。つまり、

OS やデータの読み書きは高速でシンプルになる
しかし、PC を盗まれた場合、ディスクを取り出されると中身を自由に読まれてしまう

自宅から持ち出さないデスクトップ PC ならリスクは比較的小さいですが、ノート PC を外に持ち出す場合はよく検討してください。

TPM や Secure Boot がない古い PC ではどうなる？

そもそも「デバイスの暗号化」が有効になる条件を満たしていない PC では、今回のような「勝手にサブパーティションまで暗号化される」問題は発生しにくいです。その場合でも、手動で BitLocker を有効化することはできますが、本記事のメインテーマである「自動再暗号化」の問題とは切り離して考えることができます。

まとめ：自分の優先順位に合わせて現実的な落としどころを選ぶ

Windows 11 Home と Linux をデュアルブートし、共有用パーティションを S: として運用する場合、

「デバイスの暗号化」によって S: まで自動で BitLocker が有効になる
Linux からはそのままだと NTFS をマウントできず、「BitLocker ロック済み」として扱われる
S: を復号しても、Home 版では端末単位のポリシーの影響で再暗号化されてしまうことがある

といった問題が起こりがちです。

この状況に対して、

方式 A：暗号化は維持したまま、Linux 側で dislocker / cryptsetup を使う
方式 B：共有用を平文で使いたい場合は、デバイスの暗号化をオフにするか、Windows 11 Pro にアップグレードしてドライブ単位で BitLocker を制御する
方式 C：外付けドライブや VeraCrypt コンテナなど、構成自体を変える

という 3 つの現実的な選択肢があり、どれが最適かは セキュリティ・使い勝手・組織ポリシー・予算 のバランスで決まります。

まずは、

自分の環境が「自宅 PC」なのか「管理された端末」なのか
暗号化をどこまで維持したいのか
外付けデバイスや Pro へのアップグレードが許容できるか

を整理し、本記事で紹介した方式 A～C の中から、現実的に採用できるものを選んでみてください。

適切な方法を選び、注意点さえ押さえておけば、「Windows のセキュリティを保ちつつ、Linux からも快適に共有ドライブを使う」という欲張りな構成も十分に実現可能です。

この記事を書いた人

佐藤健司

実務の現場で詰まりがちなポイントを地図にするITブログ「IT trip」を運営。Windows／Office（Teams・Excel）からSQL、サーバ運用、ガジェットまで、再現性のある手順と“なぜそうなるか”を丁寧に解説します。読んだらすぐ試せること、そして迷った人の次の一歩が見えることを大切にしています。