Red Hat Training

A Red Hat training course is available for RHEL 8

3.8. 公開鍵を MOK リストに追加することでターゲットシステムで公開鍵を登録する手順

カーネルまたはカーネルモジュールを認証およびロードするすべてのシステムに、公開鍵を登録する必要があります。プラットフォームキーリング(.platform)が公開鍵を使用してカーネルまたはカーネルモジュールを認証できるように、ターゲットシステムで公開鍵をさまざまな方法でインポートできます。

セキュアブートが有効になっている UEFI ベースのシステムで RHEL 8 を起動すると、カーネルは、セキュアブート db キーデータベースにある公開鍵をすべてプラットフォームキーリング(.platform)に読み込みます。同時に、カーネルは失効したキーの dbx データベース内のキーを除外します。

Machine Owner Key (MOK) 機能を使用して、UEFI セキュアブートキーデータベースを拡張できます。セキュアブートが有効な UEFI 対応システムで RHEL 8 を起動すると、鍵データベースの鍵に加えて、MOK の一覧の鍵もシステムキーリングに追加されます。MOK リストの鍵は、セキュアブートデータベースの鍵と同様に永続的かつ安全な方法で保存されますが、これらは別個の機能です。MOK 機能は、shim、MokManager、GRUB、および mokutil ユーティリティーでサポートされています。

注記

システムでカーネルモジュールの認証を実現するために、ファクトリーファームウェアイメージで公開鍵を UEFI セキュアブート鍵データベースに組み入れるようシステムベンダーに要求することを検討します。

前提条件

手順

  1. 公開鍵を sb_cert.cer ファイルにエクスポートします。 

    # certutil -d /etc/pki/pesign \
           -n 'Custom Secure Boot key' \
           -Lr \
           > sb_cert.cer

  2. 公開鍵を MOK リストにインポートします。 

    # mokutil --import sb_cert.cer
  3. この MOK 登録要求の新しいパスワードを入力してください。

  4. マシンを再起動します。

    shim ブートローダーは、保留中の MOK キー登録要求を認識し、MokManager.efi を起動して、UEFI コンソールから登録を完了できるようにします。

  5. Enroll MOK を選択し、プロンプトが表示されたら、この要求に関連付けたパスワードを入力し、登録を確認します。

    公開鍵が MOK リストに永続的に追加されます。

    キーが MOK リストに追加されると、UEFI セキュアブートが有効になっている場合は、このブートおよび後続のブートで .platform キーリングに自動的に伝達されます。