このサイトを正しく表示するには、最新のブラウザを使用し、Javascriptを有効化してください。

Surface Pro 8でDevice Guard/Credential Guardを有効にすると「仮想化Intel VT-x/EPTはこのプラットフォームでサポートされていません」というエラーが表示される

前川連

Surface Pro 8でVMware Workstation Proを使用しようとすると、標題のエラーに遭遇し困っています。

環境:

デバイス: Surface Pro 8
OS: Windows 11 Pro 24H2 (ビルド 26100.3194)
ソフトウェア: VMware® Workstation 17 Pro (17.6.2 build-24409262)

試したこと:

1. Windowsの機能からHyper-V、Windowsハイパーバイザープラットフォーム、仮想マシンプラットフォームを無効化しました。

2. 管理者権限のコマンドプロンプトで以下のコマンドを実行しました。

bcdedit /set hypervisorlaunchtype off

Disable-WindowsOptionalFeature -Online -FeatureName Microsoft-Hyper-V-All

3. 「コア分離」の「メモリ整合性」をオフにしました。

これらの対策の後、Microsoftが提供しているDevice Guard and Credential Guard hardware readiness toolを使い、以下のコマンドでDevice GuardとCredential Guardを無効化しました。

.\DG_Readiness_Tool_v3.6.ps1 -Disable

この結果、VMwareでVT-xが有効になり仮想マシンは起動できましたが、代わりにWindows Helloの顔認証とPINでのサインインができなくなりました。

質問:

VMwareで仮想マシンを利用しつつ、Windows Helloの顔認証とPINでのサインインも両立させる方法はないでしょうか？

また、Windows Helloの顔認証とPINログインは、Device GuardとCredential Guardのどちらによって管理されているのでしょうか？

注意: Surfaceユーザーの方へ。上記スクリプトで無効化すると、顔認証とPINが機能しなくなるため、実行前に必ずパスワードを確認してください。

ミサト

こんにちは。

Windows Helloの顔認証やPINでのサインインを維持したまま、VMwareでVT-x/EPTを使用することは可能です。

問題の直接的な原因は、Device Guard/Credential Guardがキープロセスを仮想化環境で分離することにあり、これによりVMwareがVT-xにアクセスできなくなります。Windows Hello自体は、必ずしもDevice Guard/Credential Guardを必要としません（TPMとWindows Hello for Businessに依存しています）。

したがって、仮想化ベースのセキュリティ（VBS）を無効にすれば（「Windowsの機能の有効化または無効化」で関連機能をオフにし、hypervisorlaunchtypeがOffに設定されていることを確認）、VMwareでのネストされた仮想化が可能になり、顔認証やPINサインインも壊れません。

もしVBSを無効化した後にサインイン方法が利用できなくなった場合は、「サインインオプション」でWindows Helloを再設定すれば、Device Guard/Credential Guardとは独立して再び機能するはずです。

これが助けになれば幸いです。

前川連

ミサト

ミサトさん、ありがとうございます。

ご指摘の通り、Device GuardとCredential Guardを無効化したところ、一度Windows Helloが機能しなくなりました。

しかし、Windows Helloを一度オフにしてから再度有効にしたところ、顔認証とPINでサインインできるようになり、VMwareも正常に動作するようになりました。

何度か試す必要がありましたが、最終的に両立できています。大変助かりました！

ミサト

ご報告ありがとうございます。その現象は正しいです。

Windows Hello自体が直接VT-x/EPTの利用を制限するわけではありません。しかし、お使いのSurface Pro 8では、Device GuardとCredential Guardを無効にした後でWindows Helloを再有効化すると、システムが仮想化ベースのセキュリティ（VBS）の一部コンポーネントを再アクティブ化してしまうようです。このVBSの再アクティブ化が、VMwareによるVT-x/EPTへのアクセスを再び妨げる原因となります。

Windows Hello（顔認証とPIN）は、Device GuardやCredential Guardではなく、TPMとWindows Helloのインフラストラクチャによって独立して管理されています。しかし、一部のプラットフォーム、特にSurfaceのようなデバイスでは、Windows Helloを再設定するプロセスが、意図せず特定のVBS機能を再初期化するトリガーとなることがあります。

現時点では、VMware Workstationでネストされた仮想化を実行するためのサポートされている構成は、VBS（Device Guard/Credential Guardを含む）をオフのままにすることです。もしWindows Helloの顔認証とPINの使用が業務フローに不可欠である場合、一つの解決策は、VMware Workstationの代わりにHyper-Vを使用することです。Hyper-VはVBSが有効な状態でも動作するように設計されており、Windows Helloを通常通り使用しながら仮想化をサポートします。

前川連

ミサト

残念ながら、Hyper-VはVMwareに比べて機能が不足しているため、解決策にはなりません。だからこそ、今日ここに投稿しているのです。

前川連

ミサト

サインインしようとするとWindowsの顔認証が機能しないのは、明らかに問題であり、修正されるべきです。Microsoftにサポートチケットを起票するにはどうすればよいですか？

ミサト

さらに調査しましたが、これはSurfaceモデル固有の問題のようです。ここは私のような一般ユーザーが参加する公開フォーラムですが、必要であれば、以下のリンクからMicrosoftのサポートに連絡することができます。

https://support.microsoft.com/ja-jp

カナイルル

ミサト

さらに調査しましたが、これはSurfaceモデル固有の問題のようです...

ミサトさん、こんにちは。

私も質問者さんと同様に、この問題を解決するために何日も費やしています。Windows Helloはどうでもいいので、とにかくVMware Workstation Pro 17を使いたいのですが、コア分離の無効化、Windowsの機能の無効化、Device Guardの無効化など、考えられるすべてのことを試しましたが、うまくいきません。どうか助けていただけないでしょうか...

Assistant

この問題は、VMware Workstationのようなタイプ2ハイパーバイザーと、Windowsのセキュリティ機能である仮想化ベースのセキュリティ（VBS）との間で、CPUの仮想化支援機能（Intel VT-x）の制御権をめぐる競合が原因で発生します。

VBS（Device Guard、Credential Guard、コア分離など）は、Windows標準のHyper-Vと同じ基盤上で動作します。このVBSが有効になっていると、OSレベルでVT-xが占有されてしまい、VMwareがアクセスできなくなるため、「サポートされていません」というエラーが表示されます。

解決策は、VBSを完全に無効化することです。以下に手順をまとめます。

手順1: VBS関連機能の無効化

コア分離（メモリ整合性）:設定 > プライバシーとセキュリティ > Windows セキュリティ > デバイスセキュリティ > コア分離の詳細を開き、「メモリ整合性」をオフにします。
Windowsの機能:コントロールパネル > プログラム > Windows の機能の有効化または無効化を開き、以下の項目のチェックを外します。 - Hyper-V - 仮想マシンプラットフォーム - Windows ハイパーバイザープラットフォーム
グループポリシー（Pro版以上）:ローカルグループポリシーエディター（gpedit.msc）を起動し、[コンピューターの構成] > [管理用テンプレート] > [システム] > [Device Guard] に移動します。「仮想化ベースのセキュリティを有効にする」を「無効」に設定します。
コマンドプロンプト:管理者としてコマンドプロンプトを開き、以下のコマンドを実行して、ハイパーバイザーが起動しないように設定します。bcdedit /set hypervisorlaunchtype off

手順2: 再起動

上記の設定変更をすべて適用するために、必ずPCを完全に再起動してください（「高速スタートアップ」を一時的に無効にしてからの再起動が確実です）。

SurfaceでのWindows Helloの問題について

Surfaceデバイスでは、セキュリティ機能がハードウェアと密接に統合されているため、VBSを無効にするとWindows Helloの登録情報が一時的に無効になることがあります。この場合、他のユーザーが報告しているように、VBSを完全に無効化した後で、設定 > アカウント > サインインオプションから顔認証やPINを一度削除し、再登録することで問題が解決する場合があります。

代替案

どうしてもVBSのセキュリティ機能と仮想マシンの両立が必要な場合は、VMwareの代わりにWindows標準のHyper-Vを利用することが唯一の確実な方法となります。