Microsoftは、Windows Volumeアクティベーションに使用されるオンプレミスサービス「Windows Key Management Service(KMS)」において、TPM(Trusted Platform Module)による証明(アテステーション)を必須とする方針を打ち出しました。これまでのソフトウェアのみによる信頼モデルを、ハードウェアに裏付けられた検証方式に置き換えることで、企業のアクティベーションセキュリティを強化する狙いです。
このアテステーションは、次期Windows Server LTSC(Long-Term Servicing Channel)リリースから必須化される予定です。
TPMによるKMSアテステーションの仕組み
KMSサーバーは自身のTPMを使用して、アクティベーションが完了する前に、自らの識別情報と完全性を証明するアテステーションレポートを生成します。このプロセスにより、WindowsクライアントとKMSホストの間に暗号による信頼の連鎖(チェーン・オブ・トラスト)が構築され、KMSサーバーが複製されたりなりすまされたりするリスクが低減されます。
ハードウェアベースの信頼への移行に向けたKMSの準備
Microsoftは各組織に対し、ハードウェアに裏付けられた信頼モデルへの移行に備えて、KMS環境を準備しておくよう呼びかけています。管理者は、まず自社が保有するすべてのKMSサーバーを洗い出し、物理ホストがTPMに対応しWindows Serverの認定を受けているかを確認したうえで、TPMアテステーションが利用可能であることを確かめる必要があります。仮想KMSホストに関するガイダンスについては、後日公開される予定です。
「Key Attestation」応答が成功したことで、TPMアテステーションへの対応が確認されます(出典:Microsoft)
各組織は、この新しいセキュリティモデルに対応するためにハードウェアのアップグレードが必要かどうかを見極め、移行計画をITチームと共有したうえで、Microsoftの展開スケジュールを注視していく必要があります。
MicrosoftのシニアプログラムマネージャーであるMonika Kumar氏は次のように説明しています。「2026年8月から、Windows Server 2025はKMSホストがハードウェアベースのセキュリティに対応できているかどうかを管理者が評価できるよう、準備状況を知らせるメッセージを提供します。これにより、強制適用が始まる前にアップグレードを計画する時間を、チームに確保してもらえるようになります」
翻訳元: https://www.helpnetsecurity.com/2026/07/24/microsoft-kms-tpm-security-update/
