はじめに
Windows 10 の Trusted Platform Module（TPM）をクリアすると、BitLocker の回復キー入力が繰り返し求められる問題、Windows Hello の失敗、デバイス アテステーション エラーの解消に役立ち、PC を再販や再配備に備えることもできます。この操作は TPM をクリーンな状態にリセットしますが、同時にログイン、VPN、Wi‑Fi、暗号化を保護するキーも削除します。計画なしに実行すると、データにアクセスできなくなるおそれがあります。本ガイドでは、Windows 10 で TPM を安全にクリアする方法を、明確な手順で説明します。クリアが有効なタイミング、準備方法、最も安全な実行手順を学べます。さらに、実行前後の BitLocker の扱い方、機能の復元方法、一般的なエラーの対処法も紹介します。この体系的なアプローチに従うことで、ファイルやアクセスを危険にさらすことなく TPM の健全性を回復できます。
TPM が何で、クリアによって実際に何が起きるのかを理解すると、自信を持って行動するための文脈が得られます。まず TPM の定義と、リセット時に何が変わるかから始めましょう。
TPM とは何か、Windows 10 の「TPM のクリア」とは何を意味するのか
TPM は暗号鍵を生成・保存・保護するセキュアな暗号プロセッサです。Windows 10 は起動の信頼測定に秘密情報をバインドするために TPM を使用します。これに依存する機能には、BitLocker、Windows Hello、証明書ベースの VPN と Wi‑Fi、デバイス健全性アテステーションなどがあります。多くの PC では、TPM は Intel PTT または AMD fTPM としてファームウェアに実装されています。マザーボードに離散型ハードウェア TPM を実装して出荷される機種もあります。いずれの場合も、Windows は、デバイスが信頼された状態で起動したときにのみ OS に鍵を解放できるよう、準備完了かつ健全な TPM を期待します。
Windows 10 で TPM をクリアすると、TPM は工場出荷時に近い状態にリセットされます。クリアにより、TPM で保護された鍵が削除され、所有権情報がリセットされます。個人ファイル、アプリ、Windows 自体は変更されません。しかし、TPM にシールされていた鍵を使っていたものは再登録や再シールが必要になります。これには BitLocker の TPM プロテクター、Windows Hello の PIN と生体認証、特定のユーザー／デバイス証明書が含まれます。クリアは以前の所有権も解除するため、新しい所有者が管理権を取得できます。だからこそ、これはセキュリティ変更として臨む必要があります。回復キーのバックアップ、重要な証明書のエクスポート、再起動後にどのようにサインインするかの把握が不可欠です。
クリアで何が起きるかを理解したら、次は実行すべきかどうかの判断です。すべてのエラーに TPM のリセットが必要なわけではなく、不要なクリアを避けることでリスクを減らせます。
Windows 10 で TPM をクリアすべき場合／すべきでない場合
TPM の状態破損や古い鍵が原因と強く示唆される場合は TPM をクリアすべきです。典型例は、ファームウェア変更、マザーボード交換、起動設定変更の後に BitLocker の回復キー入力が繰り返し求められる、Windows Hello の 0x80090016 や 0x80090034 といったエラー、セキュア サインインを阻害するデバイス アテステーション／健全性の失敗、または再販・RMA・社内再割り当てのためにデバイス所有権を移転する場合です。PCR 測定値を変更する起動コンポーネントを切り替え、TPM が鍵を解放できなくなった後にも、クリアが有効です。
すべての暗号化ボリュームの BitLocker 回復キーを確認できない場合は、クリアを避けてください。MDM やグループ ポリシーが TPM 操作をブロック／監査する可能性があり、組織に特定の手順が求められるため、職場や学校のデバイスでは承認なしに実行しないでください。また、クリア前により簡単な対処も検討しましょう。BitLocker の再開、OEM の BIOS／ファームウェア更新の適用、セキュア ブートの確認、Windows Hello の再登録です。これらで解決しない場合に、計画したクリアに進みます。
安全なクリアは準備から始まります。以下の確認はデータを保護し、プロセスを予測可能にします。TPM に触れる前に完了させてください。
Windows 10 で TPM をクリアする前の事前チェック
入念な準備によりロックアウトの可能性が下がり、復元が速くなります。BitLocker キーの検証、資格情報のエクスポート、デバイスの所有／管理者の確認を行いましょう。これらが終われば、TPM の状態確認とクリア方法の選定に進めます。
BitLocker の状態確認と回復キーのバックアップ
- 管理者権限のコマンド プロンプトを開き、manage-bde -status を実行します。どのボリュームが暗号化され、保護状態がどうかを確認します。
- 各回復キーをバックアップします。組織が Azure AD や MBAM にキーをエスクローしている場合は、存在を確認します。Azure AD 参加 PC の場合は、デバイスの所有アカウントで aka.ms/myrecoverykey を確認します。
- キーがエスクローされていない場合は、USB ドライブに保存するか、BitLocker コントロール パネルから印刷します。起動時にアクセスできるオフラインの場所に保管してください。
- この手順を省略しないでください。TPM の変更により、次回起動時に回復のプロンプトが表示される可能性があります。
アプリ、VPN、Wi‑Fi の証明書のエクスポートと Windows Hello のサインイン情報の確認
- certmgr.msc を開き、個人 > 証明書 で VPN、Wi‑Fi、メール、アプリに使用している個人証明書をエクスポートします。
- アカウントのパスワードを把握していることを確認してください。クリア後に Windows Hello の PIN と生体認証を再登録します。
- 職場のサインインに FIDO セキュリティ キーを使っている場合は、必要に応じて再登録できるよう手元に用意しておきます。
デバイスの所有形態と管理ポリシー（ローカル、Azure AD、ドメイン）の確認
- PC がローカル、Azure AD 参加、またはドメイン参加のどれかを確認します。管理対象デバイスでは TPM のクリアがブロック／記録されることがあります。
- 管理対象デバイスの場合は IT に承認を求めます。BitLocker キーのエスクロー先と必要手順を確認します。
- 管理者権限、AC 電源、ポリシー同期が必要な場合の安定したインターネット接続、ファームウェアの承認に必要な BIOS／UEFI パスワードがあることを確認します。
準備が整ったら、TPM が存在し使用可能かを確認します。このチェックにより最適なクリア方法を選び、ファームウェアの問題を早期に検出できます。
Windows 10 で TPM の状態を確認する方法
クリア前に、Windows が TPM を認識しており、健全な状態を報告しているかを確認します。ここでファームウェアの問題を見つければ、リセット前に対処できます。
Windows セキュリティ > デバイス セキュリティ
- スタート > Windows セキュリティ > デバイス セキュリティ を開きます。
- セキュリティ プロセッサの下で、セキュリティ プロセッサの詳細 を選びます。
- 仕様バージョン、製造元、状態を確認します。「使用可能」が理想です。「使用準備ができていません」は初期化やファームウェア対応が必要な可能性を示します。
TPM 管理コンソール（tpm.msc）
- Win+R を押し、tpm.msc と入力して Enter を押します。
- 状態ウィンドウで「TPM は使用可能です」と表示されるか確認します。製造元、バージョン、所有権の有無も確認します。
- 操作ウィンドウで「TPM のクリア」が利用可能か確認します。利用可能ならこの方法が使えます。
PowerShell：Get-Tpm と状態の見方
- 管理者として PowerShell を開き、Get-Tpm を実行します。
- TpmPresent、TpmReady、Owned、ManagedAuthLevel を確認します。
- TpmReady が False かエラーが表示される場合は、クリア前に OEM のファームウェアやチップセットの更新をインストールします。
TPM が存在して健全であるか、またはファームウェア更新の計画ができたら、クリア方法を 1 つ選びます。選択肢はいくつかあり、いずれも手順通りに行えば有効です。
Windows 10 で TPM をクリアする方法（ステップバイステップ）
方法は 1 つだけ使用してください。ポリシーやファームウェアのプロンプトで失敗する場合は、別の方法を試すか先にファームウェアを更新します。再起動時は常に回復キーを手元に用意してください。
Windows セキュリティから TPM をクリア
1) Windows セキュリティ > デバイス セキュリティ > セキュリティ プロセッサの詳細 > セキュリティ プロセッサのトラブルシューティング を開きます。
2) 「TPM のクリア」を選び、キー喪失に関する警告を読み、確認します。
3) PC が再起動します。TPM のクリアやリセットを求めるファームウェアのプロンプトが表示されたら承認します。
4) Windows 起動後、TPM は自動的に初期化されます。
TPM.msc から TPM をクリア
1) Win+R を押して tpm.msc を実行します。
2) 操作ウィンドウで「TPM のクリア」を選び、警告を承認します。
3) PC を再起動し、ファームウェアの確認を承認します。
4) サインインして、Windows に TPM の初期化を完了させます。
UEFI または BIOS（Intel PTT または AMD fTPM）で TPM をクリア
1) 再起動して、F2、F10、Del、Esc などでファームウェア設定に入ります。
2) Security または Advanced 設定を探します。TPM、Intel PTT、AMD fTPM を見つけます。
3) TPM の Clear、Reset、Restore Factory Defaults を選択し、保存して終了します。
4) 次回起動時に物理的プレゼンスの確認が表示されたら、承認してクリアを完了します。
PowerShell：Clear-Tpm と Initialize-Tpm
1) 管理者として PowerShell を開き、Clear-Tpm を実行します。
2) 指示があれば所有者認証を提供するか、ファームウェアの要求を承認します。
3) 再起動後、必要に応じて Initialize-Tpm を実行し、所有権と使用準備を完了させます。
TPM のクリアは BitLocker に影響するため、実行前後の対応を計画しておく必要があります。次で説明します。
BitLocker が有効な場合—TPM クリアの前後に実施すること
BitLocker は TPM と起動測定に依存して鍵を解放します。クリアにより一時的にその結びつきが切れます。回復画面で立ち往生しないよう注意深く扱ってください。
BitLocker の一時中断とプロテクターの確認
- 各暗号化ボリュームで BitLocker を一時中断します。PowerShell：Suspend-BitLocker -MountPoint C: -RebootCount 1
- または、コントロール パネル > BitLocker ドライブ暗号化 を開き、保護の一時中断 を各保護ボリュームで選びます。
- manage-bde -protectors -get C: でプロテクターを確認します。回復キー ID と TPM プロテクターの存在をメモします。
- 外付けドライブが暗号化されている場合は、クリア前に取り外し、キーを手元に置いてください。
再起動、BitLocker の再開、暗号化の確認
- クリア後、サインインし、Windows に TPM 初期化を完了させます。
- BitLocker を再開します：manage-bde -protectors -enable C: またはコントロール パネルで 保護の再開 を選びます。
- manage-bde -status で状態を確認します。保護は On で、Percentage Encrypted はポリシー（通常 100%）に一致しているはずです。
回復の繰り返しプロンプトの修正と PCR バインディングの更新
- 毎回の起動で回復キーが求められる場合は、TPM プロテクターを再作成します。
- TPM プロテクターを削除して追加します：manage-bde -protectors -delete C: -Type TPM、次に manage-bde -protectors -add C: -tpm
- セキュア ブートが有効で、起動順序が安定していることを確認し、PCR 測定値が再起動ごとに一貫するようにします。
BitLocker が安定したら、サインイン機能やアプリ アクセスを復元します。次のセクションでクリア後のタスクを説明します。
クリア後のタスク：再初期化とアクセスの復元
クリア後は、Windows による TPM の再初期化と、TPM にシールされた鍵を使っていた機能の再登録が必要です。これらのステップで、デバイスは完全に機能し安全な状態に戻ります。
TPM の所有権確立と Windows Hello の再登録を完了する
- Windows セキュリティ > デバイス セキュリティ を開き、TPM が「使用可能」と表示されることを確認します。
- Windows Hello を再登録します：設定 > アカウント > サインイン オプション で、PIN、指紋、顔認証を再設定します。
- Windows Hello のエラーが解消しない場合は、サインイン オプションから古い Hello コンテナーを削除し、再作成します。
証明書、VPN、Wi‑Fi 資格情報の再発行
- 事前にエクスポートした個人証明書をインポートします。証明書や EAP‑TLS サインインが必要なセキュア Wi‑Fi に再接続します。
- ユーザーまたはデバイス証明書に依存する VPN プロファイルを再登録し、認証をテストします。
- TPM バックアップ鍵を使用していたアプリを開き、トークンを更新するために再サインインします。
セキュア ブート、VBS、Credential Guard などのセキュリティ機能を再有効化
- ファームウェア変更後も UEFI／BIOS でセキュア ブートが有効のままであることを確認します。
- 組織で仮想化ベースのセキュリティ（VBS）や Credential Guard を使っている場合は、デバイス セキュリティ設定で有効かつ健全であることを確認します。
- コア分離とメモリ整合性を確認します。ドライバーが VBS をブロックする場合は更新または置換し、機能を再有効化します。
問題が残る場合は、焦点を絞ったトラブルシューティングが時間の節約になります。次のセクションでは一般的な失敗と実績のある対処をまとめます。
TPM クリア後の一般的なエラーのトラブルシューティング
ほとんどの問題は、無効なファームウェア設定、古い BIOS、破損した Windows Hello コンテナー、BitLocker プロテクターの不一致に起因します。以下の確認事項を実施して原因を切り分けてください。
互換 TPM が見つからない／クリア オプションがグレーアウト
- UEFI／BIOS で TPM、Intel PTT、AMD fTPM を有効にします。一部のシステムは無効で出荷されます。
- PC メーカー提供の BIOS／UEFI とチップセットのファームウェアを更新します。更新で TPM の可視性と安定性が回復することがあります。
- デバイス マネージャーで非表示のデバイスを表示し、古い Trusted Platform Module のエントリをアンインストールして、ハードウェア変更のスキャンを実行します。
- マザーボードを交換した場合は、ファームウェアのセキュリティ設定をリセットし、セキュア ブートと TPM の機能を再有効化します。
Windows Hello または BitLocker の 0x80090016／0x80090034
- Windows Hello の PIN と生体認証を削除して再登録します。これにより TPM に保存されるユーザー キーが再作成されます。
- BitLocker の TPM プロテクターを再構築し、鍵を現在の PCR に再シールします：前述の手順で TPM プロテクターを削除して再追加します。
- 必要に応じて Windows コンポーネントを修復します：sfc /scannow の後に DISM /Online /Cleanup-Image /RestoreHealth を実行します。
AMD fTPM または Intel PTT のファームウェア問題と更新方法
- OEM 提供の最新 BIOS をインストールします。多くの場合、TPM のファームウェア修正や Intel ME／AMD AGESA の更新が含まれます。
- ファームウェア更新後、Windows がクリーンな状態で初期化できるよう、もう一度 TPM をクリアします。
- 起動構成を安定化します：セキュア ブートを有効化、レガシー CSM を無効化、起動順序を固定して PCR のドリフトを防止します。
ここまでで TPM は健全、BitLocker は安定し、サインインとアプリ アクセスも復元できたはずです。最後に、プロセスと重要な安全策を簡単に振り返りましょう。
結論
適切な準備と一貫した手順により、Windows 10 で TPM を安全にクリアできます。まず BitLocker 回復キーの確認、証明書のエクスポート、デバイス ポリシーの確認から始めます。TPM の状態を確認したら、Windows セキュリティ、TPM 管理コンソール、ファームウェア設定、PowerShell のいずれか 1 つの方法でクリアします。BitLocker が有効な場合は、クリア前に一時中断し、クリア後に再開、毎回回復を求められる場合はプロテクターを再作成します。最後に、Windows Hello を再登録し、証明書をインポートし、セキュア ブート、仮想化ベースのセキュリティ、Credential Guard などのセキュリティ機能を確認します。エラーが続く場合は、ファームウェアの更新、Windows コンポーネントの修復、BitLocker プロテクターの再シールを行います。これらの手順により、TPM のクリアは危険な当てずっぽうではなくセキュリティ ハードウェアのクリーン リセットとなり、Windows 10 の安定した信頼できるコンピューティング基盤を取り戻せます。
よくある質問
Windows 10 で TPM をクリアすると、ファイルが消えたり BitLocker の暗号化が解除されたりしますか？
TPM のクリアは、ファイルを削除したり BitLocker をオフにしたりしません。TPM のキーと所有権を消去します。BitLocker が TPM に依存している場合、次回の起動時に回復キーの入力を求められることがあります。クリアする前にキーをバックアップし、BitLocker を一時停止してから実行し、完了後は再開して保護機能を再シールしてください。
Intune やグループ ポリシーで管理されている職場や学校のノート PC で TPM をクリアしても安全ですか？
ポリシーに従えば安全に行える場合があります。管理対象デバイスでは、BitLocker のキーがエスクローされていたり、TPM の操作が制限されていることがあります。エスクローの有無を確認し、MDM や GPO の規則を確認して、IT の承認を得てください。組織によっては、BitLocker を一時停止し、ログを伴って TPM をクリアし、Windows Hello と証明書を再登録するというワークフローを義務付けています。
ハードウェアや BIOS をアップグレードする場合、またはドライブを新しい PC に移すときに TPM をクリアする必要がありますか？
必ずしも必要ではありません。多くの更新はクリアなしで問題なく動作します。変更後に BitLocker が起動のたびに回復を要求するようになったり、Windows Hello が機能しなくなった場合は、クリアが有効なことがあります。システム ドライブを移動する場合は、少なくとも一度は回復のプロンプトが表示されると想定してください。データと回復キーをバックアップしたうえで、新しいホストで TPM をクリアし、必要に応じて BitLocker の保護を再シールしてください。