Azure仮想マシンでのLinuxのセキュア ブート証明書の更新

この資料の内容

• 概要

• アクションを必要とするシナリオを特定する

• ゲスト VM のAzureに関する考慮事項

  • 処置が必要です

    • すべてのAzureゲスト VM について

      • 検証方法

      • Linux ブート チェーンの更新

      • その他のAzure リソースに関する考慮事項

      • 更新の状態を監視する

    • 信頼できる起動 VM の場合

    • 機密 VM の場合

  • 更新プログラムを展開する

    • Linux OS ベンダーからの推奨事項

    • 機密 VM のAzure別の推奨事項

  • 代替ファームウェアの更新方法

    • 代替 1: fwupd の使用

    • 代替 2: efitools の使用

    • 代替 3: sbsigntools の使用

• ブート エラーが発生した場合の軽減手順

• ログの変更

概要

セキュア ブートは、VM のブート シーケンス中に信頼されたデジタル署名されたソフトウェアのみを確実に実行するのに役立つ UEFI ファームウェア セキュリティ機能です。 2011 年に発行された Microsoft セキュア ブート証明書は、2026 年 6 月に期限切れになります。 

セキュア ブート保護を維持し、初期ブート プロセスの継続的なサービスを維持するには、仮想 UEFI ファームウェアの Secure Boot 2023 DB 証明書と KEK 証明書を使用して、Linuxを実行Azureトラステッド起動を更新する必要があります。 古い証明書を含むAzureのLinux用の機密仮想マシンを再作成する必要があります。 

有効期限が切れた後も VM が 2011 証明書に依存し続ける場合は、引き続き起動します。 ただし、shim 更新プログラムと将来の証明書と失効の形で新しいセキュリティ保護を受け取る必要はなくなりました。 証明書が更新されていない VM をお持ちのお客様は、有効期限が切れた後でもディストリビューション ベンダーと連携して証明書を更新する必要があります。

アクションを必要とするシナリオを特定する 

アクションが必要かどうかを判断するには、次のシナリオを確認します。 

• 2024 年 4 月より前に作成された信頼された起動 VM (TVM) または機密 VM (CVM) のLinux

• 古い (2024 年 4 月より前) Linux信頼された起動または機密 VM からキャプチャされたコンピューティング ギャラリーイメージのAzure

• 2024 年 4 月より前に作成Linux信頼された起動または機密 VM のスナップショットまたはバックアップ

• 機密 VM は、セキュリティで保護されたディスクとしてインポートされた BLOB から 2024 年 4 月より前に作成されました。

2024 年 4 月以降に作成されたトラステッド起動と機密Virtual Machines、通常は仮想 UEFI ファームウェアに Secure Boot 2023 証明書が既に含まれています。

ゲスト VM のAzureに関する考慮事項 

Azure VM 上のLinuxのセキュア ブート更新プログラムには、次の 2 つのコンポーネントが含まれます。 

• 仮想ファームウェアのセキュア ブート証明書 (OS によって提供されるツールを使用して手動でインストールするか、セキュリティ更新プログラムを介して自動的にインストールされます)

• shim 更新プログラムとブートローダ更新プログラムのLinux (ディストリビューション ベンダーが管理)

更新操作はゲスト オペレーティング システム内から開始され、プラットフォームのサポートに依存して、セキュア ブート変数に認証済みの更新プログラムを適用します。 

該当するシナリオを特定したら、環境をインベントリして、更新が必要な VM を特定します。 

処置が必要です 

更新プログラムを展開する 

Azure VM 上のLinuxのセキュア ブート証明書の更新は、ゲスト オペレーティング システム内から開始されます。 これらの更新プログラムはディストリビューション ベンダーによって異なり、お客様は推奨される方法でまずディストリビューション ベンダーとチェックする必要があります。  

代替ファームウェアの更新方法 

代替 1: fwupd の使用 

VM に fwupd バージョン 2.0.8 以降がインストールされていることを確認します。 

KEK と DB の両方を更新するには、fwupdmgr で次のコマンドを実行します。

代替 2: efitools の使用 

• Azure用の DB および KEK 更新プログラム パッケージをダウンロードします。

  wget https://github.com/microsoft/secureboot_objects/raw/refs/heads/main/\

  PostSignedObjects/Optional/DB/amd64/DBUpdate3P2023.bin

  wget https://github.com/microsoft/secureboot_objects/raw/refs/heads/main/\

  PostSignedObjects/KEK/Microsoft/KEKUpdate_Microsoft_PK1.bin

• ダウンロードしたバイナリの MD5 または SHA1 を確認します。次の内容と正確に一致する必要があります。

  sha1sum *.bin

  87cc5bb2efe9b59c6ad9f717a78e190bf1a191e8 DBUpdate3P2023.bin

  d9a2fa28017653c26afc3d1b5c001adae9dc16a6 KEKUpdate_Microsoft_PK1.bin

  md5sum *.bin

  ef9fd1874610c2077f4c2476661ea4cd DBUpdate3P2023.bin

  5e67b7beafac7801fd920e40e3592611 KEKUpdate_Microsoft_PK1.bin

• efi-updatevar を使用して更新プログラム パッケージをインストールする

  sudo efi-updatevar -a -f DBUpdate3P2023.bin db

  sudo efi-updatevar -a -f KEKUpdate_Microsoft_PK1.bin KEK

  sudo reboot

代替 3: sbsigntools の使用 

• 上記の「代替 2: efitools の使用」で説明されているように、DBUpdate3P2023.binとKEKUpdate_Microsoft_PK1.binをダウンロードして確認します。

• sbsigntools の sbkeysync ユーティリティを使用して、更新プログラム パッケージをインストールします。

  sudo mkdir -p /etc/secureboot/keys/db

  sudo cp DBUpdate3P2023.bin /etc/secureboot/keys/db

  sudo mkdir -p /etc/secureboot/keys/KEK

  sudo cp KEKUpdate_Microsoft_PK1.bin /etc/secureboot/keys/KEK

  sudo chattr -i /sys/firmware/efi/efivars/db-*

  sudo chattr -i /sys/firmware/efi/efivars/KEK-*

  sudo sbkeysync --verbose

  sudo chattr +i /sys/firmware/efi/efivars/db-*

  sudo chattr +i /sys/firmware/efi/efivars/KEK-*

  sudo reboot

ブート エラーが発生した場合の軽減手順 

UEFI 変数の更新後のブート エラーなどのエラー シナリオの場合は、次のいずれかの方法を使用して UEFI 設定をリセットできます。 

1. 手動更新プロセスを開始する前に、作成したバックアップを復元します。

2. トラステッド起動 VM を Standard VM に変換し、VM にトラステッド起動セキュリティの種類を再適用します。 (詳細については、以下を参照してください: 既存の Gen2 VM で信頼された起動を有効にする - Azure Virtual Machines |Microsoft Learn)

3. OS vhd をストレージ アカウントにエクスポートし、vhd からギャラリー イメージを作成し、 ギャラリーイメージバージョンを使用して VM をデプロイします。

​​​​​​​​​​​​​​サードパーティの情報に関する免責事項

この資料に記載されているサードパーティ製品は、マイクロソフトと関連のない他社の製品です。 明示的か黙示的かにかかわらず、これらの製品のパフォーマンスや信頼性についてマイクロソフトはいかなる責任も負わないものとします。

Microsoft は、ユーザーがテクニカル サポートを見つけるため、サード パーティの連絡先を提供しています。 将来予告なしに変更されることがあります。 Microsoft は、サード パーティの連絡先情報の正確性を保証していません。

変更ログ