【Hyper-V】移行したWindows 11が起動しない！「キーの保護機能をラップ解除できませんでした」の対処法

こんにちは！ Hyper-V環境で、あるホストサーバーから別のホストサーバーへ、エクスポート＆インポート機能を使ってWindows 11の仮想マシン（VM）をコピー・移動したことはありませんか？

「インポートも無事に完了したし、さあ起動！」と思ったら、なぜかエラーで起動しない……。

画面を見てみると、不穏なメッセージが。 「キーの保護機能をラップ解除できませんでした」

今回は、Windows 11の仮想マシンを移行する際に高確率で遭遇するこのエラーの原因と、一発で解決するための手順を分かりやすく解説します！

1. エラーの原因：仮想TPMの「暗号化キー」が引き継がれていない
2. 解決手順：TPM証明書をエクスポート＆インポートする
1. Step 1. 移行元のホストで証明書をエクスポートする
2. Step 2. 移行先のホストで証明書をインポートする
3. 証明書を入れたら、仮想マシンを起動！
まとめ

1. エラーの原因：仮想TPMの「暗号化キー」が引き継がれていない

Windows 11の仮想マシンを構築する際、必須要件である「TPM（暗号化機能）」を有効にしている方が多いと思います。

Hyper-VでTPMを有効にすると、その仮想マシンの構成情報はホストサーバーが持つ「秘密鍵（証明書）」によって暗号化されて保護されます。

問題は、普通にエクスポート＆インポートしただけでは、ホストサーバー側が持っている「暗号化を解くための証明書」まで移行先にコピーされないという点です。

そのため、移行先のホストサーバーが「鍵が足りなくて暗号化を解除できないよ！」と怒ってしまい、「キーの保護機能をラップ解除できませんでした」というエラーが発生します。

参考リンク：Hyper-V TPM有効にした仮想マシンの移動方法 | Fermata

2. 解決手順：TPM証明書をエクスポート＆インポートする

この問題を解決するには、移行元のホストサーバーから「Shielded VM Local Certificates」という証明書をエクスポートし、移行先のホストサーバーへインポートしてあげる必要があります。

手順は以下の通りです。

Step 1. 移行元のホストで証明書をエクスポートする

移行元のホストサーバーで、Windowsキー + R を押し、certlm.msc と入力して「ローカルコンピュータの証明書管理」を開きます。
「Shielded VM Local Certificates」➔「証明書」の順にフォルダを開きます。
中にある証明書を右クリックし、「すべてのタスク」 ➔ 「エクスポート」を選択します。
ウィザードに従って進め、秘密鍵をエクスポートします（パスワードの設定が必要です）。

⚠️ 割とガチでハマる罠：エクスポート先のデフォルト位置 certlm.msc（管理者権限）からエクスポートを保存する際、何も考えずにファイル名だけ入力して保存すると、デフォルトの出力先が C:\Windows\System32 になってしまいます。「保存したはずなのにファイルがない！」と焦りがちなので、必ずデスクトップやDドライブなど、分かりやすいフォルダを指定して保存しましょう。

Step 2. 移行先のホストで証明書をインポートする

エクスポートした証明書ファイル（.pfxなど）を、移行先のホストサーバーにコピーします。
移行先で再び certlm.msc を開きます。
「Shielded VM Local Certificates」➔「証明書」フォルダを右クリックし、「すべてのタスク」 ➔ 「インポート」を選択します。
コピーしてきたファイルを指定し、先ほど設定したパスワードを入力してインポートを完了させます。