Windows 11 24H2でVBSを完全無効化する方法｜Credential GuardとUEFI Lockを解除してVMwareネスト仮想化を実現

Windows 11 Pro 24H2 をクリーンインストールした直後、「Hyper‑V を切ったはずなのに VBS（Virtualization‑based Security）が残っていて VMware Workstation Pro のネスト仮想化が動かない」──そんな声がコミュニティで激増しています。本記事では原因となる LSA ISO ＆ UEFI Lock の自動有効化 を踏まえ、24H2 環境でも VBS・Credential Guard を完全に停止する具体的な手順とポイントを網羅的に解説します。企業の検証環境から個人のラボ用途まで、「ホスト OS でハイパーバイザーを使えず作業が止まった」場面の決定版リファレンスとしてご活用ください。

目次

1. Windows 11 24H2 で起きる VBS 無効化不能問題とは
2. 従来バージョンとの違いと発生条件
3. 原因：UEFI Lock 付き LSA ISO 既定有効化
4. 事前チェックリスト
5. VBS を完全に停止する 6 ステップ
6. トラブルシューティング
7. セキュリティリスクと代替策
8. 元に戻す方法
9. よくある質問
10. まとめ

1. Windows 11 24H2 で起きる VBS 無効化不能問題とは

Windows 10 22H2／Windows 11 23H2 までは、以下を実行するだけで VBS と Credential Guard を停止できました。

• bcdedit /set hypervisorlaunchtype off
• 設定 > プライバシーとセキュリティ > Windows セキュリティ > Core Isolation（メモリ整合性）をオフ

ところが 24H2 では同じ手順を踏んでも sysinfo.exe（System Information）に 「Virtualization-based Security : Running」 と表示され、VMware Workstation Pro は “Hyper‑V is installed” エラーでネスト仮想化を拒否します。

2. 従来バージョンとの違いと発生条件

24H2 世代のイメージは、次の仕様変更を含んでいます。

• LSA ISO（Local Security Authority – Isolated）が既定で有効
• LSA ISO と VBS をUEFI Lock で保護（起動前に解除承認が必要）
• クリーンインストール時、プラットフォームセキュリティ機能が満たされていれば自動的に上記を適用

結果として、従来のレジストリ変更・グループポリシー変更・hypervisorlaunchtype off だけでは VBS が残存します。

3. 原因：UEFI Lock 付き LSA ISO 既定有効化

LSA ISO は LSASS を保護コンテナーで実行し、資格情報の抜き取りをブロックする Windows 11 の新セキュリティフレームワークです。24H2 では UEFI の変数領域に SecConfig.efi を登録し、ブートフェーズでOS より先にセキュリティを固める仕様が追加されました。

この UEFI Lock を外さない限り、GUI でも CLI でも VBS を無効化できません。つまり「VBS が無効化できない」のではなく「起動時に再度強制的に有効化されている」というのが真相です。

4. 事前チェックリスト

操作ミスやポリシー違反を避けるため、以下を確認してから作業を始めてください。

確認項目	推奨値 / 状態	補足
バックアップ	System Image + レジストリ エクスポート	LSA ISO を戻せなくなる事態に備える
組織ポリシー	承認済み	セキュリティ標準で Credential Guard 強制の場合は要稟議
UEFI パスワード	把握している	Secure Boot 切替が必要な場合あり
VMware バージョン	17.x 以上	Intel on Windows なら 17.5.2 以降推奨

5. VBS を完全に停止する 6 ステップ

Step 1：Tamper Protection & Core Isolation を一時オフ

1. 設定 > プライバシーとセキュリティ > Windows セキュリティ
2. 「デバイス セキュリティ」>「Core Isolation の詳細」を開く
3. 「メモリ整合性」をオフ
4. Windows セキュリティ > ウイルスと脅威の防止 > 設定の管理 > Tamper Protection をオフ

再起動はまだ不要です。

Step 2：レジストリで Device Guard / Credential Guard を無効化

以下を管理者権限で .reg として保存し、取り込みます。

Windows Registry Editor Version 5.00

\[HKEY\LOCAL\MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard]
"EnableVirtualizationBasedSecurity"=dword:00000000
"RequirePlatformSecurityFeatures"=-

\[HKEY\LOCAL\MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]
"LsaCfgFlags"=dword:00000000 

RequirePlatformSecurityFeatures を削除しないと UEFI Lock による強制復活ループが残るので注意。

Step 3：グループポリシーを変更

1. gpedit.msc を起動
2. コンピューターの構成 > 管理用テンプレート > システム > Device Guard
3. 「Virtualization‑based Security を有効にする」 = 無効
4. ポリシー更新：gpupdate /force

Step 4：UEFI Lock を外す一時ブートエントリを作成

コマンド プロンプト（管理者）で次を実行します。

mountvol X: /s
copy %windir%\System32\SecConfig.efi X:\EFI\Microsoft\Boot\SecConfig.efi /Y
bcdedit /create {guid} /d "Disable VBS" /application osloader
bcdedit /set {guid} path \EFI\Microsoft\Boot\SecConfig.efi
bcdedit /set {guid} device partition=X:
bcdedit /set {guid} loadoptions DISABLE-LSA-ISO,DISABLE-VBS
bcdedit /set {bootmgr} bootsequence {guid}
bcdedit /set vsmlaunchtype off
mountvol X: /d

初回再起動時に青い「UEFI 変更を承認しますか？」画面が表示されます。F3 > Enter で確定してください。

Step 5：VBS を呼び出す Windows 機能をオフ

• 「Windows の機能の有効化または無効化」で Hyper‑V、Virtual Machine Platform、Windows Hypervisor Platform、WSL をオフ
• 使わない場合は Windows Subsystem for Android™ もオフ

Step 6：追加チェック

• BIOS で Secure Boot を一時的に無効化（機種によって必須）
• systeminfo で VM Monitor Mode Extensions: Yes を確認
• VMware Workstation Pro で仮想マシン設定 > プロセッサ > 「Intel VT‑x / AMD‑V を仮想化」がオン
• 警告「Hyper‑V が有効」が表示されないことを確認

これでホスト OS の VBS は Not enabled になります。

6. トラブルシューティング

• UEFI Lock を外しても VBS が戻る
   レジストリの RequirePlatformSecurityFeatures が残っていないか確認。値が 1 または 3 なら 0 に修正し再起動。
• Secure Boot 無効でブルースクリーン
   Intel 11 世代以降の一部機種は Secure Boot 経由で Platform Key を要求。Secure Boot を有効のまま「カスタムキー」に切替えて対処。
• VMware が VT‑x を捕捉できない
   Windows Features で Virtual Machine Platform をオフにしても OptionalFeatures.exe から消えない場合、Dism /Online /Disable-Feature /FeatureName:VirtualMachinePlatform を実行。

7. セキュリティリスクと代替策

項目	無効化の影響	代替防御策
Credential Guard	LSASS への Pass‑the‑Hash 攻撃成功率が向上	オフライン攻撃を防ぐ物理セキュリティ、BitLocker、管理者権限の最小化
LSA ISO	デバイス認証証明書や TPM シークレットが保護されない	多要素認証(MFA)、特権アクセスワークステーション(PAW) を分離
Hyper‑V 無効化	Application Guard など Windows 11 の仮想化サンドボックス機能が失われる	ブラウザ隔離は VMware の仮想マシンや Sandboxie Plus で代替

8. 元に戻す方法

1. bcdedit /delete {guid} でブートエントリを削除
2. レジストリ EnableVirtualizationBasedSecurity、LsaCfgFlags を 1 または 2 に変更
3. Windows Features で Hyper‑V 系機能を再度オン
4. Secure Boot を有効に戻す

再起動後、System Information に 「Virtualization‑based Security : Running」 が復活すれば完了です。

9. よくある質問

Q1. Windows Update 後に VBS がまたオンになりますか？

A. UEFI Lock を解除した状態であれば、通常の品質更新プログラムで再ロックはかかりません。ただし大規模な機能更新や In‑place Upgrade では SecConfig.efi が書き戻される可能性があるため、アップグレード直後に bcdedit /enum all で確認してください。

Q2. Intune や SCCM のセキュリティベースラインと衝突しませんか？

A. デフォルトのセキュリティベースラインは Credential Guard を推奨設定しているだけで、強制ではありません。構成プロファイルで DeviceGuard/EnableVirtualizationBasedSecurity を 1 にしている場合は競合します。

Q3. Hyper-V ベースの Docker Desktop は使えますか？

A. ホスト Hyper‑V を無効化すると Docker Desktop (Hyper‑V backend) は動作しません。WSL2 backend や VMware 環境で Kind/K3s を動かす方法が代替になります。

Q4. BIOS で Intel VT‑d をオフにすれば解決しませんか？

A. VT‑d をオフにすると LSA ISO 起動要件を満たさず VBS が停止するケースもありますが、IOMMU を無効化すると PCIe パススルーや DMA 保護も失われます。UEFI Lock 解除のほうが副作用が少ないため推奨しません。

10. まとめ

Windows 11 Pro 24H2 では LSA ISO と VBS が UEFI Lock で堅牢化されており、従来の bcdedit /set hypervisorlaunchtype off だけでは無効化できません。本記事で紹介した「Tamper Protection と Core Isolation をオフ → レジストリ変更 → GPO 無効 → UEFI Lock 解除ブートエントリ → 機能と BIOS の追加調整」の 6 ステップを実行すれば、System Information に Virtualization‑based Security : Not enabled と表示され、VMware Workstation Pro 上で ESXi や Nested Hyper‑V がエラーなく動きます。

ただし Credential Guard を外すことは 攻撃面を広げるリスクも伴います。検証が終わり次第ロールバックしたり、隔離ネットワークで運用するなど、用途とリスクを秤にかけた運用設計が重要です。

---

以上で Windows 11 24H2 でも VBS を完全に停止し、VMware Workstation Pro のネスト仮想化を取り戻す方法の解説は完了です。ぜひブックマークしてトラブル時のリファレンスとしてお役立てください。