Une VM sans Secure Boot ou sans TPM 2.0 ne répond pas aux exigences de Windows 11. Sur AHV, mieux vaut les poser dès la création de la VM.
Ce que Microsoft exige
La page d’exigences de Windows 11, mise à jour en juillet 2026, donne deux listes. Pour le matériel : firmware UEFI compatible Secure Boot et TPM 2.0. Pour une VM : génération 2 (terme Hyper-V), Secure Boot et TPM virtuel activés, 64 Go de disque, 4 Go de mémoire, deux processeurs virtuels au moins. Le processeur de l’hôte doit lui-même être compatible. Une VM de génération 1 ne peut pas être mise à niveau sur place vers Windows 11.
Le vTPM d’AHV
Un TPM physique ne se partage pas entre VM : la Nutanix Bible rappelle qu’il ne stocke qu’environ trois clés transitoires et n’isole pas plusieurs systèmes invités. AHV fournit donc un vTPM logiciel, conforme à la spécification du Trusted Computing Group, qui n’utilise pas la puce du serveur. Ses données sont chiffrées par Mantle, le service de secrets distribué d’AHV.
Côté firmware, nutanix.dev précise deux choses : le Secure Boot d’une VM n’exige pas le Secure Boot sur le matériel, et l’UEFI d’AHV n’exige pas l’UEFI sur le matériel.
Pour dater une doc : le vTPM n’existait pas sur AHV en janvier 2022 (forum Nutanix). Les billets de fin 2022 l’activent sur AOS 6.5.1 et AHV 20220304.242, avec les pilotes VirtIO 1.2.1. Le blog Nutanix d’août 2023 présente, lui, le vTPM comme introduit en AOS 6.6. Contrôlez la matrice de compatibilité de votre version.
Créer la VM : UEFI, Secure Boot, SATA
Dans Prism, choisissez le mode UEFI et cochez Secure Boot. Selon un billet de 2022, la case reste grisée tant que le CD-ROM IDE par défaut est présent : supprimez-le et montez l’ISO Windows 11 et celle des pilotes VirtIO sur des CD-ROM SATA (pilotes VirtIO).
Selon les billets de 2022, le vTPM s’active ensuite en aCLI depuis une CVM, avant l’installation, car Prism Central ne proposait pas encore l’option :
acli vm.update <VM> virtual_tpm=true
acli vm.get <VM>Le statut de la première commande passe de pending à complete. Dans la sortie de vm.get, le bloc vtpm_config doit afficher is_enabled: True et version: "2.0".
Convertir une VM existante
Selon un billet de 2025 (Jeroen Tielen), une VM Windows 10 en BIOS ne passe pas en UEFI depuis Prism. Sa méthode : convertir le disque en GPT dans l’invité, passer la VM en UEFI, recréer le disque système en SCSI, remplacer le CD-ROM IDE par un SATA, activer le vTPM. Les pilotes VirtIO doivent être installés avant (VirtIO sous Windows).
mbr2gpt /validate /allowfullos
mbr2gpt /convert /allowfullosacli vm.update <VM> uefi_boot=true
acli vm.disk_create <VM> clone_from_vmdisk=vm:<VM>:ide.1 bus=scsi
acli vm.disk_delete <VM> disk_addr=ide.1
acli vm.disk_delete <VM> disk_addr=ide.0
acli vm.disk_create <VM> cdrom=true bus=sata empty=true
acli vm.update <VM> machine_type=q35
acli vm.update <VM> secure_boot=true
acli vm.update <VM> virtual_tpm=trueSa séquence active l’UEFI et le vTPM, pas le Secure Boot. Les deux lignes machine_type=q35 et secure_boot=true viennent d’ailleurs : un fil du forum Nutanix (2021) passe une VM éteinte en q35 après retrait du CD-ROM IDE, et ce billet recrée une VM Windows Secure Boot, NVRAM et vTPM compris. Relevez vos adresses ide.x avec vm.get. Pour une VM UEFI qui ne démarre plus après une migration (cas Debian), voir UEFI après Move.
DR et sauvegarde
Fin 2022, un blogueur notait que l’Async DR ne protégeait pas les VM vTPM. Le blog Nutanix d’août 2023 annonce qu’AOS 6.7 ajoute le support DR du vTPM, conservé après une bascule (PD ou protection policies).
La sauvegarde tierce est moins claire : un fil Commvault de 2023 (AHV 20220304.423) rapporte des snapshots en échec, contournés en retirant le vTPM, et une question de février 2024 sur le forum Nutanix est restée sans réponse. Validez votre outil de sauvegarde sur une VM vTPM avant de généraliser Windows 11.
Ce qu’il faut retenir
- VM Windows 11 : UEFI, Secure Boot, vTPM, 64 Go, 4 Go, deux vCPU.
- Le vTPM d’AHV, logiciel et chiffré par Mantle, s’active par
virtual_tpm=true. - Pas d’IDE : CD-ROM en SATA, sinon Secure Boot reste grisé.
- Conversion BIOS : BitLocker suspendu, VirtIO d’abord, puis q35 et
secure_boot=trueà part. - DR du vTPM annoncée en AOS 6.7 ; sauvegarde tierce à valider.
In English
Windows 11 requires UEFI, Secure Boot and TPM 2.0, including in a VM. The AHV software vTPM, the acli command that enables it, the IDE CD-ROM pitfall, and the effects on DR and backup. The vTPM does not use the physical TPM and is enabled with acli vm.update <VM> virtual_tpm=true, and the Secure Boot option stays greyed out while an IDE CD-ROM is attached.
Sources & vérification
Relevé sur : Documentation publique Nutanix (Nutanix Bible, nutanix.dev, Nutanix Community, blog Nutanix), Microsoft Learn et blogs d'ingénieurs, relevé 2026-10
- Microsoft Learn, Windows 11 requirements (mise à jour 2026) learn.microsoft.com
- Microsoft Learn, BitLocker recovery overview learn.microsoft.com
- Nutanix Bible, AHV Architecture (vTPM, Mantle) nutanixbible.com
- nutanix.dev, Securing VM Guests in Virtual Environments (2022) nutanix.dev
- Nutanix Community, Windows 11 Installation config (2022) next.nutanix.com
- Nutanix Community, Windows 11 support (2022-2023) next.nutanix.com
- Nutanix Community, Vendor image that needs the machine type to be Q35 (2021) next.nutanix.com
- Nutanix Community, vTPM Backup (2024) next.nutanix.com
- Nutanix blog, Nutanix AOS 6.7 Delivers Expanded Functionality (2023) nutanix.com
- Artur Krzywdzinski, Install Windows 11 on Nutanix AHV (2022) vmwaremine.com
- hmlab, Nutanix AHV上にWindows 11 仮想マシンを作成する (2022) x-journey.hatenablog.com
- Jeroen Tielen, Upgrading Windows machine from BIOS to UEFI on Nutanix AHV (2025) jeroentielen.nl
- Commvault Community, Nutanix VM Backup for a Windows 11 VM (2023) community.commvault.com