5.3. AWS Marketplace でセキュアブートを使用して RHEL インスタンスを設定する

前提条件

1. RHEL AMI のブート設定で uefi-preferred オプションが有効になっている。

   $ aws ec2 describe-images --image-id <ami-099f85fc24d27c2a7> --region <us-east-2> | grep -E '"ImageId"|"Name"|"BootMode"'
   
   "ImageId": "ami-099f85fc24d27c2a7",
   "Name": "RHEL-10.0.0_HVM_GA-20250423-x86_64-0-Hourly2-GP3",
   "BootMode": "uefi-preferred"

   Copy to Clipboard Toggle word wrap

2. RHEL インスタンスに次のパッケージがインストールされている。

   • awscli2
   • python3
   • openssl
   • efivar
   • keyutils
   • edk2-ovmf
   • python3-virt-firmware

手順

1. RHEL Marketplace AMI インスタンスのプラットフォームステータスを確認します。

   $ mokutil --sb-state
   
   SecureBoot disabled
   Platform is in Setup Mode

   Copy to Clipboard Toggle word wrap

   setup モードでは、インスタンス内のセキュアブート UEFI 変数を更新できます。

2. 新しいランダムな汎用一意識別子 (UUID) を作成し、システムによって生成されたテキストファイルに保存します。

   $ uuidgen --random > GUID.txt

   Copy to Clipboard Toggle word wrap

3. Platform Key データベース用の新しい RSA 秘密鍵 PK.key と自己署名 X.509 証明書 PK.cer を生成します。

   $ openssl req -quiet \
   -newkey rsa:3072 \
   -nodes -keyout PK.key \
   -new -x509 -sha256 \
   -days 3650 \
   -subj "/CN=Platform key/" \
   -outform DER -out PK.cer

   Copy to Clipboard Toggle word wrap

   openssl ユーティリティーは、出力形式を Distinguished Encoding Rules (DER) に設定して、証明書のコモンネーム Platform key を生成します。

4. Key Exchange Key データベース用の新しい RSA 秘密鍵 KEK.key と自己署名 X.509 証明書 KEK.cer を生成します。

   $ openssl req -quiet \
   -newkey rsa:3072 \
   -nodes -keyout KEK.key \
   -new -x509 -sha256 \
   -days 3650 \
   -subj "CN=Key Exchange Key/" \
   -outform DER -out KEK.cer

   Copy to Clipboard Toggle word wrap

5. カスタム証明書 custom_db.cer を生成します。

   $ openssl req -quiet \
   -newkey rsa:3072 \
   -nodes -keyout custom_db.key \
   -new -x509 -sha256 \
   -days 3650 \
   -subj "/CN=Signature Database key/" \
   --outform DER -out custom_db.cer

   Copy to Clipboard Toggle word wrap

6. Microsoft Corporation UEFI CA 2011 証明書をダウンロードします。

   $ wget https://go.microsoft.com/fwlink/p/?linkid=321194 --user-agent="Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/51.0.2704.103 Safari/537.36" -O MicCorUEFCA2011_2011-06-27.crt

   Copy to Clipboard Toggle word wrap

7. x64 ビットシステム用の更新された禁止署名 (dbx) の UEFI 失効リストファイルをダウンロードします。

   $ wget https://uefi.org/sites/default/files/resources/x64_DBXUpdate.bin

   Copy to Clipboard Toggle word wrap

8. virt-fw-vars ユーティリティーを使用して UEFI 変数ファイルを生成します。

   $ virt-fw-vars --set-pk "$(< GUID.txt)" PK.cer \
   --add-kek "$(< GUID.txt)" KEK.cer \
   --add-db "$(< GUID.txt)" custom_db.cer \
   --add-db 77fa9abd-0359-4d32-bd60-28f4e78f784b MicCorUEFCA2011_2011-06-27.crt \
   --set-dbx DBXUpdate.bin -i /usr/share/edk2/ovmf/OVMF_VARS.secboot.fd \
   --output VARS

   Copy to Clipboard Toggle word wrap

   詳細は、システム上の virt-fw-vars(1) man ページを参照してください。

9. UEFI 変数を Extensible Firmware Interface (EFI) Signature List (ESL) 形式に変換します。

   $ python3 /usr/share/doc/python3-virt-firmware/experimental/authfiles.py \
   --input VARS \
   --outdir .
   $ for f in PK KEK db dbx; do tail -c +41 $f.auth > $f.esl; done

   Copy to Clipboard Toggle word wrap
   注記

   GUID はそれぞれ割り当てられた値であり、EFI パラメーターを表します。

   • 8be4df61-93ca-11d2-aa0d-00e098032b8c: EFI_GLOBAL_VARIABLE_GUID
   • d719b2cb-3d3a-4596-a3bc-dad00e67656f: EFI_IMAGE_SECURITY_DATABASE_GUID

   EFI_GLOBAL_VARIABLE_GUID パラメーターは、ブート可能なデバイスとブートマネージャーの設定を保持します。一方、EFI_IMAGE_SECURITY_DATABASE_GUID パラメーターは、セキュアブート変数である db、dbx、および必要な鍵と証明書を保存するためのイメージセキュリティーデータベースを表します。

10. データベース証明書をターゲットインスタンスに転送し、efivar ユーティリティーを使用して UEFI 環境変数を管理します。

    1. PK.esl を転送するには、次のように入力します。

       # efivar -w -n 8be4df61-93ca-11d2-aa0d-00e098032b8c-PK -f PK.esl

       Copy to Clipboard Toggle word wrap

    2. KEK.esl を転送するには、次のように入力します。

       # efivar -w -n 8be4df61-93ca-11d2-aa0d-00e098032b8c-KEK -f KEK.esl

       Copy to Clipboard Toggle word wrap

    3. db.esl を転送するには、次のように入力します。

       # efivar -w -n d719b2cb-3d3a-4596-a3bc-dad00e67656f-db -f db.esl

       Copy to Clipboard Toggle word wrap

    4. x64 アーキテクチャー用の dbx.esl UEFI 失効リストファイルを転送するには、次のように入力します。

       # efivar -w -n d719b2cb-3d3a-4596-a3bc-dad00e67656f-dbx -f dbx.esl

       Copy to Clipboard Toggle word wrap
11. AWS コンソールからインスタンスを再起動します。

検証

1. セキュアブートが有効になっているかどうかを確認します。

   $ mokutil --sb-state
   
   SecureBoot enabled

   Copy to Clipboard Toggle word wrap

2. keyctl ユーティリティーを使用して、カスタム証明書のカーネルキーリングを確認します。

   $ sudo keyctl list %:.platform
   
   4 keys in keyring:
   786569360: ---lswrv     0     0 asymmetric: Signature Database key: 5856827178d376838611787277dc1d090c575759
   ...

   Copy to Clipboard Toggle word wrap