App Control for Business のカスタム カーネル 署名者

2026 年 4 月以降、カーネル モード ドライバーの署名に対してクロス署名証明機関 (CA) は既定で信頼されなくなります。 カーネル ドライバー署名の標準パスは 、ハードウェア デベロッパー センター (HDC) を通じて行われます。これには、 Windows ハードウェア互換性プログラム (WHCP) 認定のために Microsoft にドライバー バイナリを提出する必要があります。 ただし、分類された環境、機密性の高い環境、またはエアギャップ環境を持つ組織は、認定のためにドライバーを Microsoft に提出できない場合があります。 さらに、内部使用のドライバーのみを記述する組織は、Windows エコシステムのドライバーを認定したくない場合があります。

カスタム カーネル署名者 は 、App Control for Business を拡張して、組織が WHCP 署名を必要とせずに、独自の公開キー インフラストラクチャ (PKI) で署名されたカーネル ドライバーを信頼できるようにすることで、この問題を解決します。 この機能では、セキュア ブート階層の署名機関によって署名されたアプリ制御ポリシーを使用して、カーネル モード コードに対して承認される署名証明書を定義します。 この機能により、カーネルの信頼境界をきめ細かく監査可能に制御でき、ドライバーを WHCP 認定する要件が削除されます。

カスタム カーネル署名者のしくみ

カスタム カーネル署名者機能では、階層化された信頼チェーンとアプリ制御ポリシーを使用して、Windows カーネルに組み込まれている既定の署名要件をオーバーライドします。 信頼チェーンのしくみを次に示します。

プラットフォーム所有者 (PK または KEK 所有者) のみがポリシーを承認できます。 この高摩擦登録プロセスは意図的です。 このプロセスにより、コンシューマー デバイスでの誤用を防ぎ、物理ファームウェア アクセスを持つ組織のみがこの機能を有効にすることができます。

セキュリティの保証

カスタム カーネル署名者は、次のセキュリティ保証を提供します。

• セキュア ブートの整合性: カスタム カーネル署名者は、セキュア ブートが有効になっている場合にのみ機能します。 ポリシーはセキュア ブート PK または KEK 所有者によって署名されている必要があり、物理ファームウェア アクセスなしではなりすましを行うことはできません。
• 改ざん防止: デプロイ後、同じ機関によって署名された代替ポリシーなしでは、署名済みポリシーを削除できません。
• きめ細かい信頼: アプリ制御ポリシーでは、証明書ごとの信頼規則とハッシュごとの信頼規則が許可されます。 カーネルで実行されるドライバーを正確に制御します。
• 否認不可: すべてのポリシーとドライバーの署名は、暗号化で検証できます。 コード整合性イベント ログは、すべての読み込みをキャプチャし、監査の決定をブロックします。

サポートされているプラットフォームとエディション

カスタム カーネル署名者機能は、2026 年 4 月のセキュリティ以外の更新プログラムを使用して、次の Windows プラットフォームで使用できます。

• Windows 11 (バージョン 24H2 以降)

この機能は、 ホームを除くすべてのエディションの Windows で使用できます。

カスタム カーネル 署名者のデプロイ

開始する前に、次の要件が満たされていることを確認してください。

• サポートされているエディションに Windows をクリーン インストールします。 カスタム カーネル署名者は、 デバイスの初期セットアップ中に有効にする必要があります。 この機能は、現在実行中のシステムでは有効になりません。
• セキュア ブートが有効になっている UEFI ファームウェア (バージョン 2.3 以降)。
• 顧客所有の PKI インフラストラクチャ。 運用環境では、HSM でサポートされるキー ストレージ ソリューションをお勧めします。
• UEFI ファームウェア変数 (PK、KEK、DB) への管理アクセス。
• Windows SDKから SignTool.exe。
• App Control for Business ポリシーの設計、署名済みポリシー、ポリシー ルールに関する知識。

手順 1: セキュア ブート キーを生成する

セキュア ブートの信頼のルートとして機能し、アプリ制御ポリシーの署名に使用される PKI キー ペアを生成します。 PK または KEK を信頼のルートとして使用して、アプリ制御ポリシーに署名できます。 Microsoft のガイダンスでは、PK 所有者が今後も KEK のサービスを継続できるように、PKI キーを KEK に追加します。

PK 証明書と KEK 証明書は、ルート証明書またはルートから直接発行された中間証明書 (PCA) である必要があります。 Windows セキュア ブート キーの作成と管理に関するガイダンスドキュメント には、セキュア ブートと互換性のある証明書の作成に関する詳細情報とガイダンスが記載されています。 キー プロパティと拡張機能の参照テンプレートとして Microsoft KEK キーを使用することもできます。

手順 2: PK へのアクセス権を持つセキュア ブート UEFI 変数を構成する

デバイスで PK を所有している場合は、KEK 登録に署名して、KEK 公開キーを UEFI ファームウェアに追加できます。 PK を所有していない場合は、手順 3 に進むことができます。

KEK 登録コンテンツを生成する

# Generate KEK content file
# Replace the SignatureOwner GUID with your organization's GUID
Format-SecureBootUEFI `
    -Name KEK `
    -SignatureOwner "55555555-5555-5555-5555-555555555555" `
    -ContentFilePath C:\KEK\KEK_SigList.bin `
    -FormatWithCert `
    -Certificate C:\KEK\policy_signer.cer `
    -SignableFilePath C:\KEK\KEK_Signable_SigList.bin `
    -Time 2025-01-01T00:00:00Z `
    -AppendWrite:$true

PK を使用して KEK 登録ファイルに署名する

signtool.exe sign /fd sha256 
    /p7 .\ 
    /p7co 1.2.840.113549.1.7.1 `
    /p7ce DetachedSignedData `
    /a `
    /f PK.pfx`
    C:\KEK\KEK_Signable_SigList.bin

手順 3. PK にアクセスせずにセキュア ブート UEFI 変数を構成する

UEFI セキュア ブート変数を設定するには、最初に UEFI メニューでセキュア ブートを無効にして、ファームウェアをセットアップ モードにします。 セットアップ モードでは、署名された更新プログラムなしで変数を設定できます。

変数を次の順序で設定します。

1. DB - OEM および Windows UEFI CA 2023 証明書を追加します。
2. KEK - Microsoft KEK CA 2K 2023 と、organizationのポリシー署名者証明書を追加します。
3. PK - organizationのプラットフォーム キーを設定します (KEK 登録を使用している場合は OEM PK をそのまま使用します)。

手順 4: アプリ制御ポリシーを作成する

基本テンプレートとして既定の強制 Windows ポリシーから開始し、信頼する必要がある他の署名者をデバイスでスキャンします。

既定のポリシー テンプレートを見つける

既定のポリシー テンプレートは、次の場所で使用できます。

%WINDIR%\schemas\CodeIntegrity\ExamplePolicies\DefaultWindows_Enforced.xml

デバイスで既存のカーネル署名者をスキャンする

New-CIPolicy -ScanPath 'C:\' -UserPEs -NoScript `
    -FilePath '.\ScannedPolicy.xml' `
    -Level PCACertificate -Fallback Hash

既定のポリシーをスキャン結果とマージする

Merge-CIPolicy `
    -PolicyPaths 'C:\Windows\schemas\CodeIntegrity\ExamplePolicies\DefaultWindows_Enforced.xml', '.\ScannedPolicy.xml' `
    -OutputFilePath '.\CustomKernelSignersPolicy.xml'

署名のためのポリシーを準備する

カスタム カーネル署名者機能では、セキュア ブートと初期 Windows ブート コンポーネントによってポリシーを署名および保護する必要があります。 署名されたアプリ制御ポリシーの詳細を参照してください。 署名済みポリシーを有効にするには、オプション 6 (署名なしポリシー) を削除します。

Set-RuleOption -Option 6 -FilePath .\CustomKernelSignersPolicy.xml -Delete

(省略可能)ユーザー モード コードの整合性を削除する

ポリシーをカーネル モード ドライバーにのみ適用する場合は、オプション 0 (UMCI) を削除します。

Set-RuleOption -Option 0 -FilePath .\CustomKernelSignersPolicy.xml -Delete

基本ポリシーのベスト プラクティス

• 最初にイメージをカスタマイズします。 デバイスをスキャンする前に、承認されていないソフトウェアを削除します。
• -Level PCACertificateを使用する性とカバレッジのバランスを最大限に高める必要があります。
• このスキャンでは、デバイス上のすべての既存の署名者がキャプチャ され、Windows コンポーネントとハードウェア ドライバーが信頼されたままになります。 代わりに、機密ドライバーのみをスキャンすることを検討してください。
• 強制モードでデプロイする前に、監査モードで十分にテストします。

手順 5: カスタム カーネル署名者をポリシーに追加する

各信頼された証明書の TBS (署名対象) ハッシュを、ポリシー XML の次のセクションに追加します。 次のエントリが必要です。

# Policy signer certificate(s): 
Add-SignerRule -CertificatePath <path_to_cer> -FilePath .\CustomKernelSignersPolicy.xml -Update

# Custom kernel signer certificate(s): 
Add-SignerRule -CertificatePath <path_to_cer> -FilePath .\CustomKernelSignersPolicy.xml -Kernel

手順 6: ポリシーを変換して署名する

XML ポリシーをバイナリ形式に変換する

Set-CIPolicyIdInfo -ResetPolicyID -FilePath .\CustomKernelSignersPolicy.xml
$PolicyId = ([xml](Get-Content .\CustomKernelSignersPolicy.xml)).SiPolicy.PolicyId
ConvertFrom-CIPolicy .\CustomKernelSignersPolicy.xml -BinaryFilePath ("./" + $PolicyId + ".cip")

ポリシー署名証明書を使用してポリシーに署名する

signtool.exe sign /fd sha256 `
    /p7 .\ `
    /p7co 1.3.6.1.4.1.311.79.1 `
    /p7ce Embedded`
    /a `
    /f policy_signer.pfx `
    ("./" + $PolicyId + ".cip")

手順 7: ポリシーをデプロイする

署名済みポリシー バイナリは、次のいずれかの方法を使用してデプロイできます。

• Microsoft Intuneなどの MDM ソリューション
• CiTool (Windows 11で利用可能)
• グループ ポリシー (GPO 経由で展開)
• スクリプト ベースのデプロイ (スクリプトを使用したデプロイ)

EFI システム パーティションへのスクリプト ベースのデプロイ

上記のすべてのソリューションでは、スクリプト ベースのデプロイに加えて、ポリシー バイナリを EFI システム パーティション (ESP) に自動的にデプロイします。 スクリプトを使用してデプロイする場合は、署名されたポリシー バイナリを EFI パーティションに手動でコピーする必要があります。

# Mount the EFI System Partition
mountvol s: /s

# Copy the signed policy to the active policies directory
copy ("./" + $PolicyId + ".cip") s:\EFI\Microsoft\Boot\CiPolicies\Active\

手順 8: Windows をリセットする

この機能を有効にするには、Windows のリセットが必要です。 EFI パーティションにポリシーが存在する場合は、プッシュ ボタンのリセットなどのリセット方法を使用してデバイス をリセットする必要があります。 リセットが実行されていない場合、ポリシーは Windows によって信頼されません。

手順 9: Windows ドライバー ポリシーを無効にする

2026 年 4 月のセキュリティ以外の更新プログラム以降、Windows 11 (24H2 以降) と Windows Server 2025 では、クロス署名ドライバー プログラムの信頼を制限するカーネル ポリシーが適用されます。 ポリシーがアクティブな場合は無効にする必要があります。それ以外の場合、ドライバー ポリシーによってカスタム PKI 署名されたドライバーがブロックされます。

# Mount the EFI System Partition
mountvol s: /s

# Remove the default Windows kernel policy if present
del s:\EFI\Microsoft\Boot\CiPolicies\Active\{8F9CB695-5D48-48D6-A329-7202B44607E3}.cip

手順 10: デプロイを検証する

最初に監査モードでテストする

ポリシーを適用する前に、ドライバーをブロックせずにポリシー違反をログに記録するために監査モードを有効にして展開します。

1. [ポリシー <Rules>] セクションでEnabled:Audit Modeが設定されていることを確認します。
2. ポリシーを展開し、デバイスを再起動します。
3. Applications and Services Logs>Microsoft>Windows>CodeIntegrity のコード整合性イベント ログを確認します。

検証チェックリスト

• カスタム署名されたドライバーが正常に読み込まれます。
• 署名されていないドライバーまたは未承認のドライバーはブロックされます (強制モード)。
• Windows Updateおよび OS サービス フローは引き続き機能します。
• コード整合性イベント ログには、予期されるブロック イベントのみが表示されます。
• このポリシーは、フリート全体のデプロイの前にすべてのターゲット ハードウェア構成で検証されます。

検証が完了したら、ポリシーから Enabled:Audit Mode ルール オプションを削除し、再署名し、実稼働デバイスに展開します。 ポリシーの更新には、Windows のクリーンインストールは必要ありません。

関連するコンテンツ

• App Control for Business の設計ガイド
• アプリコントロールポリシールールとファイルルール
• スクリプトを使用してアプリ制御ポリシーをデプロイする
• 署名付きポリシーを使用して改ざんからアプリ制御を保護する
• WHCP リリース署名
• セキュア ブートの概要