Users Guide

BIOS 設定または F2 からのセキュアなブート設定
UEFI セキュアブートは、UEFI ファームウェアと UEFI オペレーティングシステム（OS）間のハンドオフ中に発生する可能性
がある、重大なセキュリティの無効を排除するテクノロジです。UEFI セキュアブートでは、特定の証明書に対してチェーン
内の各コンポーネントの検証と承認が行われてから、ロードまたは実行が許可されます。セキュアブートでは、ブートプラッ
トフォームのファームウェア、オプションカード、および OS BootLoader のすべての起動ステップを確認し、脅威を排除し
てソフトウェア ID を提供します。
Unified Extensible Firmware Interface（UEFI）フォーラム：プレブートソフトウェアの基準を整備する業界団体で、UEFI 仕様
にセキュアブートを定義します。コンピュータシステムベンダー、拡張カードベンダー、およびオペレーティングシステムプ
ロバイダが、相互運用性を促進するためにこの仕様に協力しています。UEFI の仕様の一部として、セキュアブートはプレブ
ート環境のセキュリティに関する業界標準を表しています。
有効にすると、UEFI セキュアブートにより、署名されていない UEFI デバイスのドライバのロードが阻止されてエラーメッセ
ージが表示され、そのデバイスの動作は拒否されます。署名されていないデバイスのドライバをロードするときは、セキュア
ブートを無効にする必要があります。
Dell 第 14 世代以降の PowerEdge サーバでは、異なるインタフェース（RACADM、WSMAN、REDFISH、LC-UI）を使用して、
セキュアブート機能を有効または無効にすることができます。
使用可能なファイルフォーマット
セキュアブートポリシーには PK に 1 つのキーだけが含まれていますが、複数のキーが KEK に存在する場合があります。プ
ラットフォームの製造元またはプラットフォームの所有者のどちらかが、パブリック PK に対応する秘密キーを保持するのが
理想的です。サードパーティ（OS プロバイダやデバイスプロバイダなど）は、KEK の公開キーに対応する秘密キーを保持し
ます。この方法では、プラットフォームの所有者またはサードパーティが、特定のシステムの db または dbx のエントリを追
加または削除することができます。
セキュアブートポリシーは、db と dbx を使用して、プレブートイメージファイルの実行を許可します。イメージファイルを
実行するには、db ではキーまたはハッシュ値を関連付ける必要があり、dbx ではキーまたはハッシュ値を関連付けません。
db または dbx の内容をアップデートする際は、プライベート PK または KEK による署名が必要です。PK または KEK の内容
をアップデートする際は、プライベート PK による署名が必要です。
表 14. 使用可能なファイルフォーマット
ポリシーコンポーネント 使用可能なファイルフォーマ
ット
使用可能なファイル拡張子 最大レコード数
PK X.509 証明書（バイナリ DER
形式のみ）
1. .cer
2. .der
3. .crt
1 回
KEK
X.509 証明書（バイナリ DER
形式のみ）
公開キーストア
1. .cer
2. .der
3. .crt
4. .pbk
1 回以上
DB および DBX
X.509 証明書（バイナリ DER
形式のみ）
EFI イメージ（システム BIOS
がイメージダイジェストを計
算してインポートします）
1. .cer
2. .der
3. .crt
4. .efi
1 回以上
セキュアブート設定機能にアクセスするには、システム BIOS 設定 の下にある システムセキュリティ をクリックします。シ
ステム BIOS 設定に移動するには、POST 中に会社のロゴが表示されたら、F2 キーを押します。
管理下
システムのセットアップ 93