VCD テナント仮想マシンのセキュアブートプラットフォームキーを更新する方法

Products

VMware Cloud Director

Issue/Introduction

免責事項: これは英文の記事「How to update Secure Boot Platform Key for VCD tenant VMs」の日本語訳です。記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。最新情報は英語版の記事を参照してください。

VMware Cloud Director (VCD) 環境において、仮想マシンのセキュアブートプラットフォームキー (PK: Platform Key) の手動更新が必要な場合、テナントユーザーは単独でこれを実行することができません。テナントポータルおよび VCD API からは仮想マシンの詳細オプションを変更することができないため、テナントユーザーは下記の KB 423919 に記載の更新手順を完了することができません。

Manual Update of the Secure Boot Platform Key in Virtual Machines(423919)

Note: 仮想マシンが VMware ESXi 8.0 U3j (P09) 上で稼働しており、vTPM が無効化されている場合、ゲスト OS を再起動するだけで PK を更新可能です。詳細については、KB 423893 を参照してください。

Secure Boot Certificate Expirations and Update Failures in VMware Virtual Machines(423893)

Environment

VMware Cloud DIrector 10.6.x

Resolution

VCD は、テナントユーザーに対して仮想マシンの詳細構成パラメータを直接変更する機能を提供していません。そのため、uefi.allowAuthBypass = "TRUE" 設定の有効化および無効化は、プロバイダ管理者が vSphere Client 経由で実行する必要があります。スナップショットの作成、OEM PK 配置用のディスクの接続、UEFI からのキーの登録など、PK の更新に必要なその他の操作についてはテナントポータルから直接実行できます。

Note: 名前付きディスクを任意の仮想マシンに割り当て、ゲスト OS 側から FAT32 形式でフォーマットした上で PK を配置しておくことで、他の仮想マシンでもこの名前付きディスク上の PK を再利用できます。

以下は、名前付きディスクを使用して VCD テナントの仮想マシンに PK を追加する手順の例です：

[テナントユーザー (テナントポータル経由)]: 名前付きディスクを作成し、任意の仮想マシンに割り当てます。ゲスト OS 上で名前付きディスクを FAT32 ファイルシステムでフォーマットし、ディスク上に WindowsOEMDevicesPK.der ファイルを保存します。
[テナントユーザー (テナントポータル経由)]: PK の更新対象の仮想マシンをシャットダウンします。
[テナントユーザー (テナントポータル経由)]: PK の更新対象の仮想マシンのスナップショットを取得します。
[プロバイダ管理者 (vSphere Client 経由)]: PK の更新対象の仮想マシンの詳細オプションへ uefi.allowAuthBypass = "TRUE" を追加します。
[テナントユーザー (テナントポータル経由)]: 手順 1 で作成した名前付きディスクを対象の仮想マシンに追加し、仮想マシンの [全般] のメニューより「EFI セキュアブート」を有効にします。
[テナントユーザー (VM コンソール経由)]: 仮想マシンをパワーオンし、UEFI 画面から PK の登録手順を進めます。
[プロバイダ管理者 (vSphere Client 経由)]: 必要に応じて、手順 4 で追加した詳細オプションの値を "FALSE" とするか、オプションを削除します。

Note: WindowsOEMDevicesPK.der ファイルの取得方法や、UEFI から PK を登録する手順の詳細については、KB 423919 を参照してください。

他の仮想マシンに PK を追加する場合は、対象の仮想マシンごとに手順 2 以降を繰り返し実施します。