5.2. セキュアブートを使用して AWS Marketplace で RHEL インスタンスを設定する

手順

1. RHEL Marketplace AMI インスタンスのプラットフォームステータスを確認します。

   $ sudo mokutil --sb-state

   SecureBoot disabled
   Platform is in Setup Mode

   setup モードでは、インスタンス内のセキュアブート UEFI 変数を更新できます。

2. カスタム証明書 custom_db.cer を生成します。

   $ openssl req -quiet \
   -newkey rsa:3072 \
   -nodes -keyout custom_db.key \
   -new -x509 -sha256 \
   -days 3650 \
   -subj "/CN=Signature Database key/" \
   --outform DER -out custom_db.cer

3. virt-fw-vars ユーティリティーを使用して UEFI 変数ファイルを生成します。

   $ virt-fw-vars --enroll-redhat \
   --add-db-cert OvmfEnrollDefaultKeys custom_db.cer \
   --set-dbx /usr/share/edk2/ovmf/DBX* \
   --output-auth

   詳細は、システム上の virt-fw-vars(1) man ページを参照してください。

4. UEFI 変数を Extensible Firmware Interface (EFI) Signature List (ESL) 形式に変換します。

   $ for f in PK KEK db dbx; do tail -c +41 $f.auth > $f.esl; done

   注記

   GUID はそれぞれ割り当てられた値であり、EFI パラメーターを表します。

   • 8be4df61-93ca-11d2-aa0d-00e098032b8c: EFI_GLOBAL_VARIABLE_GUID
   • d719b2cb-3d3a-4596-a3bc-dad00e67656f: EFI_IMAGE_SECURITY_DATABASE_GUID

   EFI_GLOBAL_VARIABLE_GUID パラメーターは、ブート可能なデバイスとブートマネージャーの設定を保持します。一方、EFI_IMAGE_SECURITY_DATABASE_GUID パラメーターは、セキュアブート変数である db、dbx、および必要な鍵と証明書を保存するためのイメージセキュリティーデータベースを表します。

5. データベース証明書をターゲットインスタンスに転送し、efivar ユーティリティーを使用して UEFI 環境変数を管理します。

   1. PK.esl を転送するには、次のように入力します。

      $ sudo efivar -w -n 8be4df61-93ca-11d2-aa0d-00e098032b8c-PK -f PK.esl

   2. KEK.esl を転送するには、次のように入力します。

      $ sudo efivar -w -n 8be4df61-93ca-11d2-aa0d-00e098032b8c-KEK -f KEK.esl

   3. db.esl を転送するには、次のように入力します。

      $ sudo efivar -w -n d719b2cb-3d3a-4596-a3bc-dad00e67656f-db -f db.esl

   4. x64 アーキテクチャー用の dbx.esl UEFI 失効リストファイルを転送するには、次のように入力します。

      $ sudo efivar -w -n d719b2cb-3d3a-4596-a3bc-dad00e67656f-dbx -f dbx.esl

6. AWS コンソールからインスタンスを再起動します。