Users Guide

相互運用性を促進するためにこの仕様に協力しています。UEFI の仕様の一部として、セキュアブートはプレブート環境のセキュリ
ティに関する業界標準を表しています。
有効にすると、UEFI セキュアブートにより、署名されていない UEFI デバイスのドライバのロードが阻止されてエラーメッセージが
表示され、そのデバイスの動作は拒否されます。署名されていないデバイスのドライバをロードするときは、セキュアブートを無
効にする必要があります。
Dell 第 14 世代以降の PowerEdge サーバでは、異なるインタフェース（RACADM、WSMAN、REDFISH、LC-UI）を使用して、セキュ
アブート機能を有効または無効にすることができます。
使用可能なファイルフォーマット
セキュアブートポリシーには PK に 1 つのキーだけが含まれていますが、複数のキーが KEK に存在する場合があります。プラットフ
ォームの製造元またはプラットフォームの所有者のどちらかが、パブリック PK に対応する秘密キーを保持するのが理想的です。
サードパーティ（OS プロバイダやデバイスプロバイダなど）は、KEK の公開キーに対応する秘密キーを保持します。この方法では、
プラットフォームの所有者またはサードパーティが、特定のシステムの db または dbx のエントリを追加または削除することができ
ます。
セキュアブートポリシーは、db と dbx を使用して、プレブートイメージファイルの実行を許可します。イメージファイルを実行する
には、db ではキーまたはハッシュ値を関連付ける必要があり、dbx ではキーまたはハッシュ値を関連付けません。db または dbx の
内容をアップデートする際は、プライベート PK または KEK による署名が必要です。PK または KEK の内容をアップデートする際
は、プライベート PK による署名が必要です。
表 14. 使用可能なファイルフォーマット
ポリシーコンポーネント 使用可能なファイルフォーマ
ット
使用可能なファイル拡張子 最大レコード数
PK X.509 証明書（バイナリ DER 形
式のみ）
1. .cer
2. .der
3. .crt
1 回
KEK
X.509 証明書（バイナリ DER 形
式のみ）
公開キーストア
1. .cer
2. .der
3. .crt
4. .pbk
1 回以上
DB および DBX
X.509 証明書（バイナリ DER 形
式のみ）
EFI イメージ（システム BIOS が
イメージダイジェストを計算
してインポートします）
1. .cer
2. .der
3. .crt
4. .efi
1 回以上
セキュアブート設定機能にアクセスするには、システム BIOS 設定 の下にある システムセキュリティ をクリックします。システム
BIOS 設定に移動するには、POST 中に会社のロゴが表示されたら、F2 キーを押します。
● デフォルトでは、セキュアブートは 無効、セキュアブートポリシーは 標準 に設定されています。セキュアブートポリシーを設定
するには、セキュアブートを有効にする必要があります。
● セキュアブートモードが 標準 に設定されている場合、システムにはデフォルトの証明書、イメージダイジェスト、または工場
出荷時のハッシュがあることを示しています。これは、標準のファームウェア、ドライバ、オプション ROM、ブートローダの
セキュリティに対応しています。
● サーバに新しいドライバまたはファームウェアをサポートするには、セキュアブート証明書ストアの DB にそれぞれの証明書を
登録する必要があります。したがって、セキュアブートポリシーをカスタムに設定する必要があります。
セキュアブートポリシーがカスタムに設定されている場合は、デフォルトでシステムにロードされている、変更可能な標準の証明書
とイメージダイジェストを継承しています。カスタムに設定されているセキュアブートポリシーでは、表示、エクスポート、イン
92 管理下システムのセットアップ