Windows 11 24H2では、自動デバイス暗号化の対象となるPCの条件が広がりました。ただし、「24H2へ通常のアップデートをすると、すべてのPCでBitLockerが強制的に有効になる」と一括りにはできません。新しいPCの初期設定、クリーンインストール、既存環境の機能更新を分けて考える必要があります。
大切なのは、暗号化をあわてて解除することではなく、現在の保護状態と回復キーの保存先を確かめ、PCが起動しなくてもキーを取り出せるようにすることです。この記事では、Microsoftの公開資料をもとに、24H2での変更点と更新・修理前の確認手順を整理します。
Windows 11 24H2で変わった自動暗号化の条件
Modern Standby・HSTIなどの要件が緩和された
24H2では、自動デバイス暗号化に必要だったModern StandbyまたはHSTIへの対応と、許可されていないDMAバス・インターフェースに関する制限が取り除かれました。そのため、以前は対象外だったPCでも利用できる場合があります。TPMやUEFIセキュアブートなど、ほかの条件までなくなったわけではありません。詳細はMicrosoftのOEM向け暗号化要件を参照してください。
なお、Windows 11自体の最小システム要件と、自動デバイス暗号化の利用条件は別です。Windows 11の要件はTPM 2.0とセキュアブート対応のUEFIを含み、自動暗号化ではセキュアブートの有効化なども確認されます。TPMを搭載しているという理由だけで、自動暗号化が有効だと判断しないでください。
クリーンインストールと通常の機能更新を区別する
Microsoft Learnの説明では、対応PCでWindowsをクリーンインストールし、初期設定（OOBE）を終える際に自動暗号化の準備が行われます。この説明を、アプリやデータを引き継ぐ通常の機能更新で全PCが一律に暗号化される、という意味には読み替えられません。
一方で、既存PCなら今後も状態が変わらない、とも断定できません。Microsoftは、セキュアブートの有効化などによって後から利用条件を満たした場合にも、自動暗号化が始まることを説明しています。組織の管理ポリシーで有効になる場合もあるため、更新の前後に実際の状態を確認しましょう。
暗号化の準備と、保護の有効化は同じではない
初期設定では、ドライブの暗号化処理が準備されても、クリアキーが残り、保護が一時停止に相当する状態の場合があります。「暗号化済み」と「保護が有効」は別の状態です。
個人用PCの自動デバイス暗号化では、管理者権限のあるMicrosoftアカウントでのサインインが関係し、回復キーのバックアップとTPMによる保護の設定を経て保護が有効になります。Microsoftのサポート資料でも、自動デバイス暗号化の回復キーは保護の有効化前にアカウントへ保存されると説明されています。職場・学校のPCでは、Microsoft Entra IDへの参加やActive Directoryドメインへの参加、組織のポリシー、回復情報の保存成功などが関係します。保存先は管理者に確認してください。出典：BitLockerの概要。
ローカルアカウントだけを使う場合、自動デバイス暗号化による保護は自動では有効になりません。ただし、これは初期設定を迂回する方法の推奨ではなく、すでに有効なBitLockerがアカウントの変更だけで解除されるという意味でもありません。アカウントの種類だけで安全性や暗号化の有無を判断しないことが重要です。
「自動保存される仕組みだから大丈夫」と考えず、使っているPCの回復キーを自分で取り出せるか、元気に動いているうちに確かめておきましょう。
Windows 11 HomeとProの違い
デバイス暗号化はBitLockerの技術を使った簡易的な管理機能です。Homeでも条件を満たすPCで利用できますが、ProなどにあるBitLockerドライブ暗号化の管理機能一式と同じではありません。Microsoftのデバイス暗号化の説明に沿って整理すると、次のようになります。
| 確認項目 | Windows 11 Home | Windows 11 Pro・Enterprise・Education |
|---|---|---|
| デバイス暗号化 | 対応PCで利用可能。すべてのHome PCで使えるとは限らない | 対応PCで利用可能 |
| 主な管理方法 | 設定アプリの「デバイスの暗号化」 | デバイス暗号化に加え、「BitLockerの管理」などでドライブや保護方法を管理 |
| 暗号化する対象 | デバイス暗号化はOSドライブと固定データドライブが対象。外付け・USBドライブは対象外 | BitLockerドライブ暗号化では、固定ドライブやリムーバブルドライブも個別に管理可能 |
| 回復キーの保存先 | 自動有効化時のアカウントを確認 | 有効化方法に応じ、個人のアカウント、組織、手動で選んだ保存先を確認 |
Homeだから暗号化されていない、Proだから必ずオンになっている、という判断はできません。組織管理の端末では、個人の判断で設定を変更せず管理者の手順に従ってください。
まずPCの現在の状態を確認する
設定画面と「システム情報」を見る
- 「設定」→「システム」→「バージョン情報」で、Windowsのエディションとバージョンを確認します。
- 管理者アカウントで「設定」→「プライバシーとセキュリティ」→「デバイスの暗号化」を開き、表示された状態を確認します。ここではスイッチを変更しません。
- 項目がない場合は、利用条件を満たしていないか、標準ユーザーでサインインしている可能性があります。Proなどでは「BitLockerの管理」でもドライブごとの状態を確認できます。
利用条件の確認には、スタートで「システム情報」を検索し、「管理者として実行」して「デバイス暗号化のサポート」などの項目を確認します。「要件を満たしています」は利用できる条件を満たすという意味で、現在の保護がオンであることの証明ではありません。TPM、Windows回復環境（WinRE）、PCR7やセキュアブートに関する理由が表示された場合は、むやみにファームウェア設定を変更せず、メーカーや管理者の案内を確認してください。出典：デバイス暗号化を利用できない理由。
必要に応じて読み取り専用コマンドで確認する
コマンドを利用できる環境では、管理者として開いたターミナルで次の状態確認コマンドを使えます。Cドライブの例であり、暗号化の開始・解除や設定変更は行いません。
manage-bde -status C:「変換状態」「暗号化された割合」と「保護の状態」を分けて確認します。暗号化率が100%でも、保護がオフなら保護の有効化待ちや一時停止などの可能性があります。また、Windows起動中の「ロック解除」は、その時点で読み書きできる状態を示すもので、暗号化の解除とは異なります。ほかの対象ドライブも個別に確認してください。コマンドの項目・構文はMicrosoft Learnで確認できます。
回復キーの所在とバックアップを確認する
回復画面で入力するBitLocker回復キーは48桁の数字です。Windowsのサインイン用パスワードやPIN、回復キーを識別する「キーID」とは異なります。ハードウェアやファームウェアなどの変更を検出した際、本人の操作でもキーを求められる場合があります。
保存先を実際に開き、対象のキーを確かめる
- 個人のMicrosoftアカウント：Microsoft公式の回復キー検索手順から回復キーのページを開きます。別の人がPCを設定した場合、その人のアカウントに保存されている可能性もあります。
- 職場・学校のアカウント：組織の端末情報から参照できる場合と、IT管理者への問い合わせが必要な場合があります。個人アカウントへ勝手にコピーせず、組織の取り扱い規定に従ってください。
- 手動のバックアップ：保存したファイル、USBメモリ、印刷物を確認します。回復画面が出ている場合は、表示されたキーIDと一致するキーを選びます。似たPC名だけで判断しないでください。
MicrosoftアカウントにPCが登録されていることと、必要な回復キーが保存されていることは別です。別の端末からも保存先へサインインでき、対象キーを確認できるかを確かめてください。24H2以降の回復画面には、キーに関連するMicrosoftアカウントのヒントが表示される場合もあります。
PCと別の安全な場所にも保管する
「BitLockerの管理」で対象ドライブの「回復キーのバックアップ」を利用できる場合は、保存や印刷の選択肢を確認します。Homeなどで同じ管理画面が使えない場合も、アカウントに保存されたキーを確認し、安全な印刷物などを別途保管できます。保管方法はMicrosoftのバックアップ手順を参照してください。
回復キーの唯一のコピーを、ロックされる可能性のある同じPCの中だけに置かないでください。印刷物やUSBメモリはPCと一緒に持ち歩かず、安全な別の場所へ保管します。キーを保存した媒体を読むために、同じ回復キーが必要になるような保管方法も避けます。ファイルのバックアップと回復キーの保管は役割が違うため、重要なデータも別途バックアップしておきましょう。
「キーが保存されているはず」ではなく、「このPCが起動しなくても取り出せる」まで確認するのがポイントです。アカウントへ入れない場合の備えも考えておきましょう。
更新や修理のために、暗号化を常にオフにする必要はない
更新前の基本は、保護状態、回復キー、重要データのバックアップ、対象PCの公式作業手順を確認することです。「念のためBitLockerをオフ」「回復キーがないのでTPMをクリア」といった操作を先に行わないでください。
「保護の中断（一時停止）」と「BitLockerを無効にして復号すること」は異なります。一時停止ではデータは暗号化されたままですが、保護は一時的に弱まります。メーカーや管理者が特定のファームウェア更新などで中断を指示している場合に、キーを確保したうえでその手順に従い、作業後に保護が再開したことを確認します。通常の更新の準備として一律に中断・復号することは勧めません。回復と一時停止の説明とBitLocker操作ガイドも参照してください。
自動暗号化を抑止するレジストリ設定や初期設定の迂回は、一般利用者向けの更新準備には含めません。抑止設定を入れても、すでに暗号化されたデータを復号したり、紛失したキーを取り戻したりできるわけではありません。暗号化を不要と判断して解除する場合は、盗難・紛失時の保護を失う点と組織の規定を確認し、通常のトラブル対策とは分けて検討してください。
すでに回復キーを求められ、キーが見つからない場合
キーIDを手元に控え、保存先と、セットアップを担当した人や組織の管理者を確認します。データを残したい場合は、原因が不明なままTPMのクリア、初期化、再インストールを進めないでください。Microsoftサポートも紛失したキーを再作成できません。回復手段がない場合のリセットではファイルが失われるため、公式の案内を読み、必要なデータとバックアップの有無を確認してから判断します。
まとめ
24H2の変更点は、自動デバイス暗号化を利用できるPCの条件が広がったことです。通常の機能更新と新規セットアップを混同せず、Home・Proの名称やアカウントの種類だけで状態を決めつけないようにしましょう。
暗号化を避けることよりも、何が保護されていて、いざというときにどう戻れるかを把握することが大切です。更新や修理の前に一度確認しておくと安心です。
確認日：2026年10月20日。Microsoftの公開資料に基づく解説です。画面の名称や利用できる機能は、Windowsのエディション、端末構成、組織の管理設定によって異なります。
コメント