ここでは、プラットフォームキー(以下、PK）、及び鍵交換キー(以下、KEK)を更新する方法を説明します。

1. 仮想マシンをパワーオフします。

対象の仮想マシンがパワーオンの場合は、パワーオフします。

本作業は仮想ディスクの追加、またはUEFIの設定が含まれています。また、切り戻し用のスナップショットを用意することから、安全に作業を実施するために仮想マシンをパワーオフする必要があります。

仮想マシンをパワーオフする方法は「仮想マシンの電源を操作する」をご覧ください。

2. 仮想マシンのスナップショットを作成します。

PKまたはKEKの更新に失敗した際の切り戻し用に、作業前の仮想マシンのスナップショットを作成します。

仮想マシンの「スナップショット」をクリックし、「スナップショットを作成」をクリックします。

「スナップショットの作成」画面が表示されます。

「名前」へ、任意のスナップショットの名前を入力し、「作成」をクリックします。

スナップショットが作成されます。

最初の画面で、入力した名前のスナップショットが作成されていることを確認します。

3. 仮想マシンの「起動ファームウェア」が「EFI」であることを確認します。

フレキシブルサーバリソースのコントロールパネルで、対象の仮想マシンの「全般」で「起動ファームウェア」に「EFI」が表示されていることを確認します。

セキュアブートはEFIの機能であるため、起動ファームウェアが「BIOS」の場合は設定することができません。

起動ファームウェアについては「仮想マシンの詳細画面の各項目」をご覧ください。

4. 仮想マシンの「起動セットアップの開始」が「有効」であることを確認します。

フレキシブルサーバリソースコントロールパネルにて、対象の仮想マシンの「全般」で「起動セットアップの開始」を確認します。起動セットアップについては「仮想マシンの詳細画面の各項目」をご覧ください。

• 「起動セットアップの開始」に「有効」が表示されている場合、手順4は不要です。「6. セキュアブート認証バイパス設定 画面から、「セキュアブート認証バイパス有効/無効」を有効化します。」へ進みます。
• 「起動セットアップの開始」に「無効」が表示されている場合、セキュアブートの設定を行うUEFI Setup画面が表示できません。手順4を実施してください。

「全般」の「編集」をクリックしたあと、「起動セットアップの開始」を「ON」に設定し、「保存」をクリックします。

起動セットアップが「OFF」の状態

起動セットアップが「ON」の状態

5. セキュアブート認証バイパス設定 画面に遷移します。

フレキシブルサーバリソース画面のタブから「セキュアブート認証バイパス設定」画面に遷移します。

セキュアブート認証バイパス設定画面の詳細については「フレキシブルサーバリソース画面」をご覧ください。

6. 「セキュアブート認証バイパス設定」画面で、「セキュアブート認証バイパス有効/無効」を有効化します。

表示されている仮想マシンの一覧から、対象の仮想マシンのセキュアブート認証バイパスを有効にします。

「セキュアブート認証バイパス有効/無効」の「有効化」をクリックします。

「有効化」の左側に表示されている「無効」は、現在の状態を表示しています。

「セキュアブート認証バイパスの有効化」画面が表示されます。

「OK」をクリックします。

「セキュアブート認証バイパス有効/無効」の、現在の状態に「有効」が表示されていることを確認します。

7. 名前付きディスクを対象の仮想マシンに接続します。

「証明書ファイルが保存された名前付きディスクの作成」で作成したディスクを、対象の仮想マシンに接続します。

名前付きディスクを、任意の仮想マシンに接続する方法は「名前付きディスクを仮想マシンに接続する」をご覧ください。

8. 仮想マシンをパワーオンします。Webコンソールから「UEFI」の設定画面を開きます。

対象の仮想マシンをパワーオンの状態にしてください。

仮想マシンのパワーオン後、仮想マシン画面から「Webコンソール」をクリックし、起動したWebコンソール内でUEFI画面を開きます。

仮想マシンのパワーオンにする方法は「仮想マシンの電源を操作する」をご覧ください。

9. PKを更新します。

KEKのみを更新する場合は、この手順9をスキップして手順10へ進みます。

「Enter setup」を選択します。

「Secure Boot Configuration」を選択します。

「PK Option」を選択し、「Enroll PK Using File」を選択します。

適切なディレクトリまで移動し「WindowsOEMDevicesPK.der」を選択します。

「Enroll PK」まで画面を戻します。

先ほど選択した「WindowsOEMDevicesPK.der」が表示されていることを確認し、「Commit Changes and Exit」を選択します。

「Boot Manager」画面まで戻り、「Shutdown the system」を選択します。

10.KEKを更新する

「Enter setup」を選択します。

「Secure Boot Configuration」を選択します。

「KEK Options」を選択し「Enroll KEK」を選択します。

「Enroll KEK Using File」を選択します。

適切なディレクトリまで移動します。「microsoft corporation kek 2k ca 2023.der」を選択します。

「Enroll KEK Using File」を選択した画面に戻ります。「microsoft corporation kek 2k ca 2023.der」が表示されていることを確認し「Commit Changes and Exit」を選択します。

「Boot Manager」画面まで戻り、「Shutdown the system」を選択します。

11. 「セキュアブート認証バイパス設定」画面で、「セキュアブート認証バイパス有効/無効」を無効化します。

フレキシブルサーバリソース画面のタブから「セキュアブート認証バイパス設定」画面に遷移します。

セキュアブート認証バイパス設定画面の詳細については「フレキシブルサーバリソース画面」をご覧ください。

表示されている仮想マシンの一覧で、対象の仮想マシンのセキュアブート認証バイパスを無効にします。

「セキュアブート有効/無効」に「有効」が表示されていることを確認します。

「セキュアブート認証バイパス有効/無効」で「無効化」をクリックします。

「セキュアブート認証バイパス無効化」画面が表示されます。

「OK」をクリックし、無効化にします。

「セキュアブート認証バイパス有効/無効」の現在の状態に「無効」が表示され、ボタンが「有効化」になっていることを確認します。

12. 仮想マシンに接続されている名前付きディスクの接続を解除します。

手順6で対象の仮想マシンに接続していた名前付きディスクの接続を解除します。

仮想マシンに接続している名前付きディスクの接続を解除する方法は「名前付きディスクを仮想マシンから分離する」をご覧ください。

13. PKとKEKの設定を確認します。

設定したPKとKEKは、以下のコマンドで確認することができます。

RedHat Enterprise LinuxやAlma LinuxなどLinux系のOSで確認する際のコマンドは、以下のとおりです。

出力された内容で、以下の項目に期待値が表示されている場合は、PKとKEKの更新が完了しています。

PKを確認する場合

$ mokutil --pk

KEKを確認する場合

$ mokutil --kek

Windows Serverで確認する際のコマンドは、以下のとおりです。

PKを確認する場合、以下を実行してTrueになることを確認します。

PS C:\Users\Administrator> ([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI PK).Bytes) -match 'Microsoft RSA Third Party PCA 2023')

KEKを確認する場合、以下を実行してTrueになることを確認します。

PS C:\Users\Administrator> ([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).Bytes) -match 'Microsoft Corporation KEK 2K CA 2023')

14. スナップショットを削除します。

手順13を実施し、更新が完了していることが確認できた場合は、手順2で作成した切り戻し用のスナップショットを削除します。

作成したスナップショットを選択し、「削除」をクリックします。

「スナップショットの削除」画面が表示されます。

「削除」をクリックして、スナップショットを削除します。

作成したスナップショットが表示されていないことを確認します。