セキュアブートモードの Linux で PAMSC/PIM を起動するとローディングが失敗する

search cancel

book

calendar_today

CA Privileged Access Manager - Server Control (PAMSC) CA Privileged Identity Management Endpoint (PIM)

セキュアブートモードで起動している Linux 上で Privileged Access Manager Server Control ( 以下、PAMSC) を起動すると、カーネルモジュールのロードで失敗する。

Privileged Access Manager Server Control: 14.1
Privileged Identity Manager: 12.8 SP1

セキュアブートでは MOK (Machine Owner Key) が利用されます。
これは認証された OS のコンポーネントとドライバーのみをロードすることで起動時の安全性を高めるためです。
デフォルトではPAMのカーネルモジュールがMOKに登録されていないため、エラーとなります。

OS カーネルには信頼チェーンの一部となるモジュールの公開キーを含む必要があります。
最初の手順は、公開キーをカーネルシステムキーデータベースに登録することです。
この手順を行うことで、PAMSC のカーネルモジュールがロードされるたびに、OS カーネルは関連する公開キーをチェックします。

以下の手順で PAMSC の公開キーを安全なカーネルキーデータベースへ登録します。

インストールディレクトリにある公開キーを MOK リストにインポートする。
# cd /opt/CA/PAMSC/bin/
# mokutil --import BroadcomInc.der
input password:
input password again:
MOK の登録中に必要な任意のパスワードが必要となります。
注: 不要なトラブルを避けるため、パスワードでは英数字のみを使用します。
キーがエラーなしで追加できたことを確認したら、マシンをリブートします。
セキュアブートで起動中に、shim.efi により MOK キーの設定画面が表示されます。
先に設定したパスワードでMOKへ公開キーがリストに登録されて、表示されていることを確認してください。
再起動が完了したら、以下のコマンドで公開キーがデータベースに登録されていることを再度確認してください。
# mokutil -l
PAMSC または Broadcom の文字列で検索してください。

公開キーがロードされていることを確認出来たら、seload コマンドで PAMSCを起動してください。

本KBは以下の英文 KB を翻訳し加筆、修正しました。

英語版のマニュアルも、ご参照ください。

thumb_up Yes

thumb_down No