24.10. 秘密鍵で GRUB ビルドに署名する

前提条件

• 公開鍵と秘密鍵のペアを生成し、公開鍵の有効期限を知っています。詳細は、公開鍵と秘密鍵のペアの生成 を参照してください。
• ターゲットシステムに公開鍵を登録しています。詳細は、公開鍵を MOK リストに追加してターゲットシステムに公開鍵を登録する を参照してください。
• 署名に使用できる GRUB EFI バイナリーがあります。

手順

• x64 アーキテクチャーの場合:

  1. 署名済み GRUB EFI バイナリーを作成します。

     # pesign --in /boot/efi/EFI/redhat/grubx64.efi \
              --out /boot/efi/EFI/redhat/grubx64.efi.signed \
              --certificate 'Custom Secure Boot key' \
              --sign

     Custom Secure Boot key を以前に選択した名前に置き換えます。

  2. オプション: 署名を確認します。

     # pesign --in /boot/efi/EFI/redhat/grubx64.efi.signed \
              --show-signature

  3. 署名されていないバイナリーを署名済みバイナリーで上書きします。

     # mv /boot/efi/EFI/redhat/grubx64.efi.signed \
          /boot/efi/EFI/redhat/grubx64.efi

     警告

     GRUB バイナリーを上書きすると、システムが正常に起動しなくなり、システムイメージから GRUB を再インストールする必要がある場合があります。

• 64 ビット ARM アーキテクチャーの場合:

  1. 署名済み GRUB EFI バイナリーを作成します。

     # pesign --in /boot/efi/EFI/redhat/grubaa64.efi \
              --out /boot/efi/EFI/redhat/grubaa64.efi.signed \
              --certificate 'Custom Secure Boot key' \
              --sign

     Custom Secure Boot key を以前に選択した名前に置き換えます。

  2. オプション: 署名を確認します。

     # pesign --in /boot/efi/EFI/redhat/grubaa64.efi.signed \
              --show-signature

  3. 署名されていないバイナリーを署名済みバイナリーで上書きします。

     # mv /boot/efi/EFI/redhat/grubaa64.efi.signed \
          /boot/efi/EFI/redhat/grubaa64.efi