vSphere Auto Deploy での UEFI セキュアブート

Products

VMware vSphere ESXi

Issue/Introduction

免責事項：これは英文の記事「UEFI Secure Boot with vSphere Auto Deploy」の日本語訳です。記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。最新情報は英語版の記事で参照してください。

セキュアブートは UEFI ファームウェア標準の一部です。セキュアブートが有効な場合、オペレーティングシステムのブートローダーが暗号化によって署名されていない限り、マシンは UEFI ドライバやアプリケーションの読み込みを拒否します。vSphere 6.5 以降では、ハードウェア側でセキュアブートが有効になっていれば、ESXi でもセキュアブートがサポートされます。
一部の古いハードウェアプラットフォーム、または古いファームウェアを搭載したハードウェアの場合、UEFI セキュアモードを有効にして最新の ESXi をステートレスで起動しようとすると、以下のエラーが表示されます。これは、iPXE バイナリ証明書である vmware_esx40.der が 2019年12月31日に期限切れになったためです。

“UEFI0073: Unable to boot PXE device”.

Environment

VMware vSphere 7.0.x
VMware vSphere 8.0.x
VMware vSphere 9.0.x

Resolution

UEFI セキュアブートの概要

Auto Deploy を使用せずにセキュアブートを使用する場合、UEFI-CA 証明書または VMware 証明書のいずれか（あるいはその両方）が UEFI ファームウェアの許可リスト（db 変数）に登録されていれば十分です。ほとんどのマシンでは、ハードウェアベンダーによってデフォルトの db に UEFI-CA 証明書が事前にロードされています。

vSphere Auto Deploy でセキュアブートを使用する手順

vSphere Auto Deploy で UEFI セキュアブートを使用するには、VMware 証明書を UEFI ファームウェアの許可リスト（db 変数）に登録する必要があります。

1. 英語版 KB 315413 に添付されている 2 つの VMware 証明書を vmware_sb2017.zip としてダウンロードします。
2. 適切な VMware 証明書を UEFI ファームウェアに登録します。
  - ESXi 6.7.x 以降の場合は、vmware_sb2017.der を使用します。
3. VMware 証明書を UEFI ファームウェアに手動で登録します。
  - 許可リスト（db 変数）への登録手順は、マシンのハードウェアベンダーによって異なります。
    登録の具体的な操作方法については、ご利用のハードウェアベンダーのドキュメントを参照してください。
4. DHCP オプションのブートファイル名には、snponly64.efi.vmw-hardwired の代わりに、VMware 公式キーである snponly64.efi.vmw-hardwired.officialkey を使用します。

注： VMware 証明書を登録する際、SignatureOwner GUID の入力を求められる場合があります。セキュアブートはどの GUID を使用しても正常に機能しますが、VMware を証明書の所有者として識別できるようにするため、VMware では GUID a3d5e95b-0a8f-4753-8735-445afb708f62 の使用を推奨しています。

必ず TechDocs の『vSphere のインストールおよびセットアップの概要』に記載されている Auto Deploy のベストプラクティスに従ってください。

Additional Information

免責事項： VMware は、サードパーティの Web サイトで提供されているデータ、意見、アドバイス、または記述の信頼性について一切の責任を負いません。
そのようなリンクが含まれていることは、VMware が当該サイトのコンテンツを推奨または責任を引き受けることを意味するものではありません。

vmware_sb2017.zip は英語版 KB UEFI Secure Boot with vSphere Auto Deploy に添付されているファイルをご利用ください。