23.6. 公開鍵と秘密鍵の生成

前提条件

• システムの root 権限がある。

手順

• X.509 の公開鍵と秘密鍵のペアを作成します。

  • カスタムカーネル モジュール に署名するだけの場合:

    # efikeygen --dbdir /etc/pki/pesign \
                --self-sign \
                --module \
                --common-name 'CN=Organization signing key' \
                --nickname 'Custom Secure Boot key'

  • カスタム カーネル に署名する場合:

    # efikeygen --dbdir /etc/pki/pesign \
                --self-sign \
                --kernel \
                --common-name 'CN=Organization signing key' \
                --nickname 'Custom Secure Boot key'

  • RHEL システムが FIPS モードを実行している場合:

    # efikeygen --dbdir /etc/pki/pesign \
                --self-sign \
                --kernel \
                --common-name 'CN=Organization signing key' \
                --nickname 'Custom Secure Boot key' \
                --token 'NSS FIPS 140-2 Certificate DB'

    注記

    FIPS モードでは、efikeygen が PKI データベース内でデフォルトの "NSS Certificate DB" トークンを検索できるように、--token オプションを使用する必要があります。

    公開鍵と秘密鍵は /etc/pki/pesign/ ディレクトリーに保存されます。詳細は、システム上の openssl(1) man ページを参照してください。

    重要

    セキュリティー上、署名鍵の有効期間内にカーネルとカーネルモジュールに署名することが推奨されます。ただし、sign-file ユーティリティーは警告を発しません。また、鍵は有効期限に関係なく Red Hat Enterprise Linux 10 で使用できます。