[opensuse-ja] これって、パソコンがおかしいのでしょうか？
野宮です． HP workstation xw9400 がヘタって来たので、新規パソコン HP ENVY Phoenix 810-480jp を購入しました． 連休で時間が取れるので、Windows 8.1 をさっさと削除し、openSUE 12.3 の インストールに挑戦しました．が、DVD を読み込むや否や、 安全なブートの侵害 無効な署名が検出されました。 セットアップで安全なブート ポリシーを調べてください。 という警告が赤い画面で表示されます． ところが、openSUSE 13.2 のインストールは出来ました． で、早速、kernel 4.0.1 をビルドし、テストをしようとすると、vmlinuz の 署名が不正とかで、boot させて呉れませんでした．この原因は、ググって解 りましたが． ここで、YaST2 のブートの設定画面で「secure boot」のチェックを外し、再 起動したところ、また、 安全なブートの侵害 無効な署名が検出されました。 セットアップで安全なブート ポリシーを調べてください。 が表示されました．「secure boot」を外すと、こうなるものなのでしょうか？ これは、パソコンがおかしい兆候でしょうか？ 宜しくお願いします． --- ┏━━┓彡 野宮 賢 mail-to: nomiya @ galaxy.dti.ne.jp ┃＼／彡 ┗━━┛ 「eメールや携帯電話に縛られた社会は、自分自身と向き合ったり、 空想にふけったりする自由を奪う。」 -- M. Crichton -- -- To unsubscribe, e-mail: opensuse-ja+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-ja+owner@opensuse.org
On Sun, May 03, 2015 at 04:12:57PM +0900, 野宮 賢 / NOMIYA Masaru wrote:
HP ENVY Phoenix 810-480jp
を購入しました． 連休で時間が取れるので、Windows 8.1 をさっさと削除し、openSUE 12.3 の インストールに挑戦しました．が、DVD を読み込むや否や、
安全なブートの侵害 無効な署名が検出されました。 セットアップで安全なブート ポリシーを調べてください。
という警告が赤い画面で表示されます．
secure boot機能が付いているPCを使ったことはないのですが、 表示からするとsecure boot が指定されているような気がします。 BIOSでOFFにできないでしょうか? https://technet.microsoft.com/ja-jp/library/dn481258.aspx あたりかなあ。 -- To unsubscribe, e-mail: opensuse-ja+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-ja+owner@opensuse.org
さとうです。 日本語だと見慣れないのですが、英語でぐぐると結構出てきますね。 http://www.of23.com/pcrapair-qanda/1036.htm "secure boot violation" という感じですかね。BIOSから変更できるようです。 2015年5月3日 17:22 User Ribbon <opensuse@ns.ribbon.or.jp>:
On Sun, May 03, 2015 at 04:12:57PM +0900, 野宮 賢 / NOMIYA Masaru wrote:
HP ENVY Phoenix 810-480jp
を購入しました． 連休で時間が取れるので、Windows 8.1 をさっさと削除し、openSUE 12.3 の インストールに挑戦しました．が、DVD を読み込むや否や、
安全なブートの侵害 無効な署名が検出されました。 セットアップで安全なブート ポリシーを調べてください。
という警告が赤い画面で表示されます．
secure boot機能が付いているPCを使ったことはないのですが、 表示からするとsecure boot が指定されているような気がします。
BIOSでOFFにできないでしょうか?
https://technet.microsoft.com/ja-jp/library/dn481258.aspx
あたりかなあ。 -- To unsubscribe, e-mail: opensuse-ja+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-ja+owner@opensuse.org
N�����r��y隊Z)z{.�����칻 �&ޢ���� ����'��-���w�zf���^�ˬz6�� ޮ�^�ˬz��
野宮です． In the Message; Subject : [opensuse-ja] Re: [opensuse-ja] Re: [opensuse-ja] これって、パソコンがおかしいのでしょうか？ Message-ID : <CAOtin_o3LUcgjikqVBvA7R=YgbrggeMh9cQUxJ0QuBDwXTBtBg@mail.gmail.com> Date & Time: Sun, 3 May 2015 17:29:03 +0900 satoake <nekorurir2@gmail.com> has written:
日本語だと見慣れないのですが、英語でぐぐると結構出てきますね。
"secure boot violation" という感じですかね。BIOSから変更できるようです。
2015年5月3日 17:22 User Ribbon <opensuse@ns.ribbon.or.jp>:
[...]．
secure boot機能が付いているPCを使ったことはないのですが、 表示からするとsecure boot が指定されているような気がします。
BIOSでOFFにできないでしょうか?
https://technet.microsoft.com/ja-jp/library/dn481258.aspx
あたりかなあ。
スミマセン． 書き忘れましたが、BIOS での変更は不可です（BIOSメニュー画面そのものが ありません つまり、小生が購入したPCは Windows 8.1で動かす、に「特化」したPCだと思 えます． ビデオ・カードがGTX 760が初期搭載で、もっと負荷の掛からないもの (Quadro)に換装しようとしたら、蹴られ、調べましたら、GTX760 とか GTX980 にしか対応していない、ということのようです． コスト削減で、BIOSメニュー画面は省略というところだと思っています． 寧ろ、openSUSE 13.2 でインストール可能だったのが、運の良かったことだと 思えてなりません．これは、BOOTがVFAT依存ということと無関係では無い、と 考えています、 手許にある、12.1以降は、13.1に至るまで蹴られます． つまり、「買ってはいけないパソコン」だと考えています.... あと、4〜5年もつかうかな......(_ _? --- ┏━━┓彡 野宮 賢 mail-to: nomiya @ galaxy.dti.ne.jp ┃＼／彡 ┗━━┛ 「先端技術の開発は、優れた頭脳を持つ人間が集中しないと成功しない。 しかし、技術開発と、それが何をもたらすかを考えることは別だ。 一人の人間に二つは望めない。」 -- M. Crichton -- -- To unsubscribe, e-mail: opensuse-ja+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-ja+owner@opensuse.org
On Sun, May 03, 2015 at 07:49:42PM +0900, 野宮 賢 / NOMIYA Masaru wrote:
書き忘れましたが、BIOS での変更は不可です（BIOSメニュー画面そのものが ありません つまり、小生が購入したPCは Windows 8.1で動かす、に「特化」したPCだと思 えます．
たしかに。カスタマイズメニューでも8.1だけしか出てきませんね。
つまり、「買ってはいけないパソコン」だと考えています....
コンシュマー向けのものはどうしてもこうなっちゃうんじゃないかな。 法人向けのものだと、あまり変な事していないと思います。 #ただ、割高ですけど。 ribbon -- To unsubscribe, e-mail: opensuse-ja+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-ja+owner@opensuse.org
野宮です． In the Message; Subject : Re: [opensuse-ja] Re: これって、パソコンがおかしいのでしょうか？ Message-ID : <20150503105636.GA44755@ns.ribbon.or.jp> Date & Time: Sun, 3 May 2015 19:56:36 +0900 User Ribbon <opensuse@ns.ribbon.or.jp> has written:
On Sun, May 03, 2015 at 07:49:42PM +0900, 野宮 賢 / NOMIYA Masaru wrote:
書き忘れましたが、BIOS での変更は不可です（BIOSメニュー画面そのものが ありません つまり、小生が購入したPCは Windows 8.1で動かす、に「特化」したPCだと思 えます．
たしかに。カスタマイズメニューでも8.1だけしか出てきませんね。
ここまで調べてから買え、ということなんでしょうか？
つまり、「買ってはいけないパソコン」だと考えています....
コンシュマー向けのものはどうしてもこうなっちゃうんじゃないかな。 法人向けのものだと、あまり変な事していないと思います。 #ただ、割高ですけど。
事情があって小生の勤務先では毎年「法人向け」をかなりの数を購入していま す．これ、ハッキリ言ってボッタクリの商売ですね． 知人の娘さんが F 社に就職し、パソコンの原価を聞いて「もう買わない」と 言った由．これ、分解すると直ぐ解るんですが...... --- ┏━━┓彡 野宮 賢 mail-to: nomiya @ galaxy.dti.ne.jp ┃＼／彡 ┗━━┛ 「決して，道具になりさえすればよいから，理論的なことはどうでもよい， ということにはならない．」 -- 森 毅 -- -- To unsubscribe, e-mail: opensuse-ja+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-ja+owner@opensuse.org
正木です。 hpのラップトップはBIOSメニュー行けるはずですよ。 起動したら、何も表示されませんが、黒い画面の間にESCです。 連打したほうがいいかも。 You wrote:
野宮です．
In the Message;
Subject : Re: [opensuse-ja] Re: これって、パソコンがおかしいのでしょうか？ Message-ID : <20150503105636.GA44755@ns.ribbon.or.jp> Date & Time: Sun, 3 May 2015 19:56:36 +0900
User Ribbon <opensuse@ns.ribbon.or.jp> has written:
On Sun, May 03, 2015 at 07:49:42PM +0900, 野宮 賢 / NOMIYA Masaru wrote:
書き忘れましたが、BIOS での変更は不可です（BIOSメニュー画面そのものがありません つまり、小生が購入したPCは Windows 8.1で動かす、に「特化」したPCだと思えます．
たしかに。カスタマイズメニューでも8.1だけしか出てきませんね。
ここまで調べてから買え、ということなんでしょうか？
つまり、「買ってはいけないパソコン」だと考えています....
コンシュマー向けのものはどうしてもこうなっちゃうんじゃないかな。 法人向けのものだと、あまり変な事していないと思います。 #ただ、割高ですけど。
事情があって小生の勤務先では毎年「法人向け」をかなりの数を購入していま す．これ、ハッキリ言ってボッタクリの商売ですね．
知人の娘さんが F 社に就職し、パソコンの原価を聞いて「もう買わない」と 言った由．これ、分解すると直ぐ解るんですが......
--- ┏━━┓彡 野宮 賢 mail-to: nomiya @ galaxy.dti.ne.jp ┃＼／彡 ┗━━┛ 「決して，道具になりさえすればよいから，理論的なことはどうでもよい，ということにはならない．」 -- 森 毅 -- -- To unsubscribe, e-mail: opensuse-ja+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-ja+owner@opensuse.org
****************************** * The Rider, Hacker and Musician. * +++ ENABLE YOUR HEART +++ ****************************** * MASAKI Yuhsuke. * hydrangea@reasonset.net * Website: http://reasonset.net/ * GitHub : https://github.com/reasonset/ * Twitter: @reasonset ****************************** -- To unsubscribe, e-mail: opensuse-ja+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-ja+owner@opensuse.org
野宮です． In the Message; Subject : Re: [opensuse-ja] Re: これって、パソコンがおかしいのでしょうか？ Message-ID : <20150503213415.04816440@hydrangea> Date & Time: Sun, 3 May 2015 21:34:15 +0900 MASAKI Yuhsuke <hydrangea@reasonset.net> has written:
正木です。
hpのラップトップはBIOSメニュー行けるはずですよ。
いえ、デスクトップです．
起動したら、何も表示されませんが、黒い画面の間にESCです。 連打したほうがいいかも。
これを含め、色んなことをやりました．が、BIOS のメニューらしきものは、 1. 現在の状態をデフォルトに設定する 2. 工場出荷時の設定に戻す の2つしかありません．(;_;) --- ┏━━┓彡 野宮 賢 mail-to: nomiya @ galaxy.dti.ne.jp ┃＼／彡 ┗━━┛ 「先端技術の開発は、優れた頭脳を持つ人間が集中しないと成功しない。 しかし、技術開発と、それが何をもたらすかを考えることは別だ。 一人の人間に二つは望めない。」 -- M. Crichton -- -- To unsubscribe, e-mail: opensuse-ja+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-ja+owner@opensuse.org
鎌田＠翻訳人です。
これを含め、色んなことをやりました．が、BIOS のメニューらしきものは、
1. 現在の状態をデフォルトに設定する 2. 工場出荷時の設定に戻す
起動時にESCとかF2とかを押しまくることで http://h30434.www3.hp.com/t5/Desktop-Hardware/Turn-off-secure-boot-on-my-HP-... のスクリーンショットのような画面に入れないでしょうか？ 現時点の設定によっては、「工場出荷時の設定に戻す」をしてからでないと 現われないかもしれません。 以上です。 On Mon, 04 May 2015 06:28:23 +0900 野宮 賢 / NOMIYA Masaru <nomiya@galaxy.dti.ne.jp> wrote:
野宮です．
In the Message;
Subject : Re: [opensuse-ja] Re: これって、パソコンがおかしいので しょうか？ Message-ID : <20150503213415.04816440@hydrangea> Date & Time: Sun, 3 May 2015 21:34:15 +0900
MASAKI Yuhsuke <hydrangea@reasonset.net> has written:
正木です。
hpのラップトップはBIOSメニュー行けるはずですよ。
いえ、デスクトップです．
起動したら、何も表示されませんが、黒い画面の間にESCです。 連打したほうがいいかも。
これを含め、色んなことをやりました．が、BIOS のメニューらしきものは、
1. 現在の状態をデフォルトに設定する 2. 工場出荷時の設定に戻す
の2つしかありません．(;_;)
--- ┏━━┓彡 野宮 賢 mail-to: nomiya @ galaxy.dti.ne.jp ┃＼／彡 ┗━━┛ 「先端技術の開発は、優れた頭脳を持つ人間が集中しないと成功しな い。しかし、技術開発と、それが何をもたらすかを考えることは別だ。 一人の人間に二つは望めない。」 -- M. Crichton -- -- To unsubscribe, e-mail: opensuse-ja+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-ja+owner@opensuse.org
-- Yasuhiko Kamata E-mail: belphegor@belbel.or.jp -- To unsubscribe, e-mail: opensuse-ja+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-ja+owner@opensuse.org
野宮です． 松崎さん、鎌田さん、RESを有難うございます． In the Message; Subject : Re: [opensuse-ja] Re: これって、パソコンがおかしいのでしょうか？ Message-ID : <20150504080901.417c49f1e73cb6a9262c263c@belbel.or.jp> Date & Time: Mon, 4 May 2015 08:09:01 +0900 Yasuhiko Kamata <belphegor@belbel.or.jp> has written:
これを含め、色んなことをやりました．が、BIOS のメニューらしきものは、
1. 現在の状態をデフォルトに設定する 2. 工場出荷時の設定に戻す
起動時にESCとかF2とかを押しまくることで http://h30434.www3.hp.com/t5/Desktop-Hardware/Turn-off-secure-boot-on-my-HP-... のスクリーンショットのような画面に入れないでしょうか？
現時点の設定によっては、「工場出荷時の設定に戻す」をしてからでないと 現われないかもしれません。
松崎さんの仰る通り、F10キーでした． Secure Boot を外すと、「Windows 8に向けて云々」という凄い脅し文句が現 れ、構わず外しました． すると、openSUSE 12.3 のインストールも可能になりました． それにしても、何故 13.2 をインストール出来たのか、不思議です... --- ┏━━┓彡 野宮 賢 mail-to: nomiya @ galaxy.dti.ne.jp ┃＼／彡 ┗━━┛ 「ゲームに関わっている人たちは、子どものために家にはけっしてゲーム機は 置かない、ということで・・・・・。 それなら、どうしてそんなものを作るんでしょうね。 」 -- 三沢直子 -- -- To unsubscribe, e-mail: opensuse-ja+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-ja+owner@opensuse.org
野宮です． In the Message; Subject : Re: [opensuse-ja] Re: これって、パソコンがおかしいのでしょうか？ Message-ID : <87r3qx7ww7.wl%nomiya@galaxy.dti.ne.jp> Date & Time: Mon, 04 May 2015 14:08:08 +0900 野宮 賢 / NOMIYA Masaru <nomiya@galaxy.dti.ne.jp> has written:
それにしても、何故 13.2 をインストール出来たのか、不思議です...
Secure Boot 対応のDVDメディアということですね． --- ┏━━┓彡 野宮 賢 mail-to: nomiya @ galaxy.dti.ne.jp ┃＼／彡 ┗━━┛ 「私たちが今日直面している化学物質の危険性に関する疑問に対し、通常の 科学的な正確さをもって答えようとすれば、たぶんさらに数十年を要するで あろう。」 -- J. V. Rodricks -- -- To unsubscribe, e-mail: opensuse-ja+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-ja+owner@opensuse.org
武山です 今後、セキュアブートを無効にできない PC が増えてくると思いますので、 セキュアブートを正攻法で乗り越える方法で答えてみます。
で、早速、kernel 4.0.1 をビルドし、テストをしようとすると、vmlinuz の 署名が不正とかで、boot させて呉れませんでした．この原因は、ググって解 りましたが．
ということですので、解決済みかもしれませんが…。 セキュアブートは証明書で署名された（ただし、ルート証明書はMSのしかない） ブートローダーやカーネル以外を起動できなくする仕組みですが、 openSUSE では Shim という署名済のプリブートローダーを使い起動できるようにしています。 Shim を通して起動する場合も、カーネルとブートローダーが *Shim が知っている鍵* で 署名されている必要があります。 openSUSE から提供される Grub やカーネルは Shim に登録されている鍵で署名されています。 # 正確に言うと Shim の鍵で署名されている openSUSE の鍵だと思いますが Shim には PC 所有者の鍵 (MOK: Machine owner's key) を登録することもでき、 自分でビルドしたカーネル（や Grub）を起動できます。 セキュアブート(Shim)下で起動するには、次の作業をすればブートできます。 1. ビルドした machine owner key (自分の鍵) で署名する 2. 鍵を shim に取り込む 署名は手作業でもできますし、カーネルのビルドを OBS に任せていれば、 OBS に自分の秘密鍵を取り込んでおくことで、自動で署名してくれるそうです。 昨年の openSUSE.Asia Summit で丁寧な解説がありましたが、 残念ながら、スライドが見当たりません。 この辺を参考にしてみて下さい: https://www.suse.com/ja-jp/documentation/sles11/book_sle_admin/data/sec_uefi... https://en.opensuse.org/openSUSE:UEFI On 2015/05/03 16:12, 野宮 賢 / NOMIYA Masaru wrote:
野宮です．
HP workstation xw9400 がヘタって来たので、新規パソコン
HP ENVY Phoenix 810-480jp
を購入しました． 連休で時間が取れるので、Windows 8.1 をさっさと削除し、openSUE 12.3 の インストールに挑戦しました．が、DVD を読み込むや否や、
安全なブートの侵害 無効な署名が検出されました。 セットアップで安全なブート ポリシーを調べてください。
という警告が赤い画面で表示されます． ところが、openSUSE 13.2 のインストールは出来ました． で、早速、kernel 4.0.1 をビルドし、テストをしようとすると、vmlinuz の 署名が不正とかで、boot させて呉れませんでした．この原因は、ググって解 りましたが．
ここで、YaST2 のブートの設定画面で「secure boot」のチェックを外し、再 起動したところ、また、
安全なブートの侵害 無効な署名が検出されました。 セットアップで安全なブート ポリシーを調べてください。
が表示されました．「secure boot」を外すと、こうなるものなのでしょうか？
これは、パソコンがおかしい兆候でしょうか？
宜しくお願いします．
--- ┏━━┓彡 野宮 賢 mail-to: nomiya @ galaxy.dti.ne.jp ┃＼／彡 ┗━━┛ 「eメールや携帯電話に縛られた社会は、自分自身と向き合ったり、 空想にふけったりする自由を奪う。」 -- M. Crichton --
-- To unsubscribe, e-mail: opensuse-ja+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-ja+owner@opensuse.org
正木です。 このShimとMOKによるセキュアブートへの対応ですが、 記事はカーネルをMOKで署名することについてしか書かれていないように見えます。 デフォルトでShimを使っているので、カーネルを署名したものにすればOKだよ、 ということなのでしょうか。 インストールイメージを対応させるのは容易ならざるを予感がします… まぁ、うちで躓いてるマシンは32bit UEFIのCDブート不可(USBdiskのみ) という仕様で対応を諦めているのですが(^^; You wrote:
武山です
今後、セキュアブートを無効にできない PC が増えてくると思いますので、 セキュアブートを正攻法で乗り越える方法で答えてみます。
で、早速、kernel 4.0.1 をビルドし、テストをしようとすると、vmlinuz の署名が不正とかで、boot させて呉れませんでした．この原因は、ググって解りましたが．
ということですので、解決済みかもしれませんが…。
セキュアブートは証明書で署名された（ただし、ルート証明書はMSのしかない） ブートローダーやカーネル以外を起動できなくする仕組みですが、 openSUSE では Shim という署名済のプリブートローダーを使い起動できるようにしています。
Shim を通して起動する場合も、カーネルとブートローダーが *Shim が知っている鍵* で署名されている必要があります。
openSUSE から提供される Grub やカーネルは Shim に登録されている鍵で署名されています。 # 正確に言うと Shim の鍵で署名されている openSUSE の鍵だと思いますが
Shim には PC 所有者の鍵 (MOK: Machine owner's key) を登録することもでき、自分でビルドしたカーネル（や Grub）を起動できます。
セキュアブート(Shim)下で起動するには、次の作業をすればブートできます。 1. ビルドした machine owner key (自分の鍵) で署名する 2. 鍵を shim に取り込む
署名は手作業でもできますし、カーネルのビルドを OBS に任せていれば、 OBS に自分の秘密鍵を取り込んでおくことで、自動で署名してくれるそうです。
昨年の openSUSE.Asia Summit で丁寧な解説がありましたが、 残念ながら、スライドが見当たりません。
この辺を参考にしてみて下さい: https://www.suse.com/ja-jp/documentation/sles11/book_sle_admin/data/sec_uefi... https://en.opensuse.org/openSUSE:UEFI
On 2015/05/03 16:12, 野宮 賢 / NOMIYA Masaru wrote:
野宮です．
HP workstation xw9400 がヘタって来たので、新規パソコン
HP ENVY Phoenix 810-480jp
を購入しました． 連休で時間が取れるので、Windows 8.1 をさっさと削除し、openSUE 12.3 のインストールに挑戦しました．が、DVD を読み込むや否や、
安全なブートの侵害 無効な署名が検出されました。 セットアップで安全なブート ポリシーを調べてください。
という警告が赤い画面で表示されます． ところが、openSUSE 13.2 のインストールは出来ました． で、早速、kernel 4.0.1 をビルドし、テストをしようとすると、vmlinuz の署名が不正とかで、boot させて呉れませんでした．この原因は、ググって解りましたが．
ここで、YaST2 のブートの設定画面で「secure boot」のチェックを外し、再起動したところ、また、
安全なブートの侵害 無効な署名が検出されました。 セットアップで安全なブート ポリシーを調べてください。
が表示されました．「secure boot」を外すと、こうなるものなのでしょうか？
これは、パソコンがおかしい兆候でしょうか？
宜しくお願いします．
--- ┏━━┓彡 野宮 賢 mail-to: nomiya @ galaxy.dti.ne.jp ┃＼／彡 ┗━━┛ 「eメールや携帯電話に縛られた社会は、自分自身と向き合ったり、 空想にふけったりする自由を奪う。」 -- M. Crichton --
-- To unsubscribe, e-mail: opensuse-ja+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-ja+owner@opensuse.org
****************************** * The Rider, Hacker and Musician. * +++ ENABLE YOUR HEART +++ ****************************** * MASAKI Yuhsuke. * hydrangea@reasonset.net * Website: http://reasonset.net/ * GitHub : https://github.com/reasonset/ * Twitter: @reasonset ****************************** -- To unsubscribe, e-mail: opensuse-ja+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-ja+owner@opensuse.org
武山です
デフォルトでShimを使っているので、カーネルを署名したものにすればOKだよ、 ということなのでしょうか。
いいえ、どの鍵で署名されていても OK であれば、どんな改ざんされたカーネルでも 起動できてしまいます。 先ほどの記事には次のように書かれています:
登録プロセスでは、まずマシンを起動し、shimのロードで(キーを押すなどして) ブートプロセスを中断します。これによってshimが登録モードに移行するので、 ユーザは、デフォルトのSUSEキーをブートパーティションのファイルに含まれる キーに置換できます。 https://www.suse.com/ja-jp/documentation/sles11/book_sle_admin/data/sec_uefi...
ちょっと分かりにくいのですが、ブートパーティションのファイルに含まれる キーというのが、MOK のはずです。 # すみません、セキュアブートな PC を所持していないため、試したことがありません
まぁ、うちで躓いてるマシンは32bit UEFIのCDブート不可(USBdiskのみ) という仕様で対応を諦めているのですが(^^;
USB Live イメージからブートしてインストールではダメでしょうか？ ■以下おまけ Asia summit のときのメモによると: $ mokutil --import 鍵？ で Shim に MOK を登録できそうな感じです。 OBS でビルドするときは $ osc signkey --create project で、鍵の生成から署名まで全部やってくれるみたいです。 On 2015/05/04 14:29, MASAKI Yuhsuke wrote:
正木です。
このShimとMOKによるセキュアブートへの対応ですが、 記事はカーネルをMOKで署名することについてしか書かれていないように見えます。 デフォルトでShimを使っているので、カーネルを署名したものにすればOKだよ、 ということなのでしょうか。
インストールイメージを対応させるのは容易ならざるを予感がします…
まぁ、うちで躓いてるマシンは32bit UEFIのCDブート不可(USBdiskのみ) という仕様で対応を諦めているのですが(^^;
You wrote:
武山です
今後、セキュアブートを無効にできない PC が増えてくると思いますので、 セキュアブートを正攻法で乗り越える方法で答えてみます。
で、早速、kernel 4.0.1 をビルドし、テストをしようとすると、vmlinuz の署名が不正とかで、boot させて呉れませんでした．この原因は、ググって解りましたが．
ということですので、解決済みかもしれませんが…。
セキュアブートは証明書で署名された（ただし、ルート証明書はMSのしかない） ブートローダーやカーネル以外を起動できなくする仕組みですが、 openSUSE では Shim という署名済のプリブートローダーを使い起動できるようにしています。
Shim を通して起動する場合も、カーネルとブートローダーが *Shim が知っている鍵* で署名されている必要があります。
openSUSE から提供される Grub やカーネルは Shim に登録されている鍵で署名されています。 # 正確に言うと Shim の鍵で署名されている openSUSE の鍵だと思いますが
Shim には PC 所有者の鍵 (MOK: Machine owner's key) を登録することもでき、自分でビルドしたカーネル（や Grub）を起動できます。
セキュアブート(Shim)下で起動するには、次の作業をすればブートできます。 1. ビルドした machine owner key (自分の鍵) で署名する 2. 鍵を shim に取り込む
署名は手作業でもできますし、カーネルのビルドを OBS に任せていれば、 OBS に自分の秘密鍵を取り込んでおくことで、自動で署名してくれるそうです。
昨年の openSUSE.Asia Summit で丁寧な解説がありましたが、 残念ながら、スライドが見当たりません。
この辺を参考にしてみて下さい: https://www.suse.com/ja-jp/documentation/sles11/book_sle_admin/data/sec_uefi... https://en.opensuse.org/openSUSE:UEFI
On 2015/05/03 16:12, 野宮 賢 / NOMIYA Masaru wrote:
野宮です．
HP workstation xw9400 がヘタって来たので、新規パソコン
HP ENVY Phoenix 810-480jp
を購入しました． 連休で時間が取れるので、Windows 8.1 をさっさと削除し、openSUE 12.3 のインストールに挑戦しました．が、DVD を読み込むや否や、
安全なブートの侵害 無効な署名が検出されました。 セットアップで安全なブート ポリシーを調べてください。
という警告が赤い画面で表示されます． ところが、openSUSE 13.2 のインストールは出来ました． で、早速、kernel 4.0.1 をビルドし、テストをしようとすると、vmlinuz の署名が不正とかで、boot させて呉れませんでした．この原因は、ググって解りましたが．
ここで、YaST2 のブートの設定画面で「secure boot」のチェックを外し、再起動したところ、また、
安全なブートの侵害 無効な署名が検出されました。 セットアップで安全なブート ポリシーを調べてください。
が表示されました．「secure boot」を外すと、こうなるものなのでしょうか？
これは、パソコンがおかしい兆候でしょうか？
宜しくお願いします．
--- ┏━━┓彡 野宮 賢 mail-to: nomiya @ galaxy.dti.ne.jp ┃＼／彡 ┗━━┛ 「eメールや携帯電話に縛られた社会は、自分自身と向き合ったり、 空想にふけったりする自由を奪う。」 -- M. Crichton --
-- To unsubscribe, e-mail: opensuse-ja+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-ja+owner@opensuse.org
****************************** * The Rider, Hacker and Musician. * +++ ENABLE YOUR HEART +++ ****************************** * MASAKI Yuhsuke. * hydrangea@reasonset.net * Website: http://reasonset.net/ * GitHub : https://github.com/reasonset/ * Twitter: @reasonset ******************************
-- To unsubscribe, e-mail: opensuse-ja+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-ja+owner@opensuse.org
正木です。
ちょっと分かりにくいのですが、ブートパーティションのファイルに含まれる キーというのが、MOK のはずです。
UEFIブートの場合はDVDイメージからのブートであれ、インストール後であれ、 shim->Grub->kernelの順にロードしているということなのでしょうか。
まぁ、うちで躓いてるマシンは32bit UEFIのCDブート不可(USBdiskのみ) という仕様で対応を諦めているのですが(^^;
USB Live イメージからブートしてインストールではダメでしょうか？ 32bit UEFIのみ対応、というのが壁のようです。 13.2 x86_64（プロセッサ自体は64bitなので）で試した限りではダメでした。 13.3及びx86は試していません。
■以下おまけ Asia summit のときのメモによると: $ mokutil --import 鍵？ で Shim に MOK を登録できそうな感じです。
OBS でビルドするときは $ osc signkey --create project で、鍵の生成から署名まで全部やってくれるみたいです。
うーん、アップデートにおける対応は分かるのですが、 インストール時はどうするんでしょう。 一回展開して、chrootして作業したものをもう一度ISOにするような感じでしょうか。
On 2015/05/04 14:29, MASAKI Yuhsuke wrote:
正木です。
このShimとMOKによるセキュアブートへの対応ですが、 記事はカーネルをMOKで署名することについてしか書かれていないように見えます。 デフォルトでShimを使っているので、カーネルを署名したものにすればOKだよ、 ということなのでしょうか。
インストールイメージを対応させるのは容易ならざるを予感がします…
まぁ、うちで躓いてるマシンは32bit UEFIのCDブート不可(USBdiskのみ) という仕様で対応を諦めているのですが(^^;
You wrote:
武山です
今後、セキュアブートを無効にできない PC が増えてくると思いますので、セキュアブートを正攻法で乗り越える方法で答えてみます。
で、早速、kernel 4.0.1 をビルドし、テストをしようとすると、vmlinuz の署名が不正とかで、boot させて呉れませんでした．この原因は、ググって解りましたが．
ということですので、解決済みかもしれませんが…。
セキュアブートは証明書で署名された（ただし、ルート証明書はMSのしかない） ブートローダーやカーネル以外を起動できなくする仕組みですが、 openSUSE では Shim という署名済のプリブートローダーを使い起動できるようにしています。
Shim を通して起動する場合も、カーネルとブートローダーが *Shim が知っている鍵* で署名されている必要があります。
openSUSE から提供される Grub やカーネルは Shim に登録されている鍵で署名されています。 # 正確に言うと Shim の鍵で署名されている openSUSE の鍵だと思いますが
Shim には PC 所有者の鍵 (MOK: Machine owner's key) を登録することもでき、自分でビルドしたカーネル（や Grub）を起動できます。
セキュアブート(Shim)下で起動するには、次の作業をすればブートできます。 1. ビルドした machine owner key (自分の鍵) で署名する 2. 鍵を shim に取り込む
署名は手作業でもできますし、カーネルのビルドを OBS に任せていれば、 OBS に自分の秘密鍵を取り込んでおくことで、自動で署名してくれるそうです。
昨年の openSUSE.Asia Summit で丁寧な解説がありましたが、 残念ながら、スライドが見当たりません。
この辺を参考にしてみて下さい: https://www.suse.com/ja-jp/documentation/sles11/book_sle_admin/data/sec_uefi... https://en.opensuse.org/openSUSE:UEFI
On 2015/05/03 16:12, 野宮 賢 / NOMIYA Masaru wrote:
野宮です．
HP workstation xw9400 がヘタって来たので、新規パソコン
HP ENVY Phoenix 810-480jp
を購入しました． 連休で時間が取れるので、Windows 8.1 をさっさと削除し、openSUE 12.3 のインストールに挑戦しました．が、DVD を読み込むや否や、
安全なブートの侵害 無効な署名が検出されました。 セットアップで安全なブート ポリシーを調べてください。
という警告が赤い画面で表示されます． ところが、openSUSE 13.2 のインストールは出来ました． で、早速、kernel 4.0.1 をビルドし、テストをしようとすると、vmlinuz の署名が不正とかで、boot させて呉れませんでした．この原因は、ググって解りましたが．
ここで、YaST2 のブートの設定画面で「secure boot」のチェックを外し、再起動したところ、また、
安全なブートの侵害 無効な署名が検出されました。 セットアップで安全なブート ポリシーを調べてください。
が表示されました．「secure boot」を外すと、こうなるものなのでしょうか？
これは、パソコンがおかしい兆候でしょうか？
宜しくお願いします．
--- ┏━━┓彡 野宮 賢 mail-to: nomiya @ galaxy.dti.ne.jp ┃＼／彡 ┗━━┛ 「eメールや携帯電話に縛られた社会は、自分自身と向き合ったり、 空想にふけったりする自由を奪う。」 -- M. Crichton --
-- To unsubscribe, e-mail: opensuse-ja+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-ja+owner@opensuse.org
****************************** * The Rider, Hacker and Musician. * +++ ENABLE YOUR HEART +++ ****************************** * MASAKI Yuhsuke. * hydrangea@reasonset.net * Website: http://reasonset.net/ * GitHub : https://github.com/reasonset/ * Twitter: @reasonset ******************************
-- To unsubscribe, e-mail: opensuse-ja+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-ja+owner@opensuse.org
****************************** * The Rider, Hacker and Musician. * +++ ENABLE YOUR HEART +++ ****************************** * MASAKI Yuhsuke. * hydrangea@reasonset.net * Website: http://reasonset.net/ * GitHub : https://github.com/reasonset/ * Twitter: @reasonset ****************************** -- To unsubscribe, e-mail: opensuse-ja+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-ja+owner@opensuse.org
武山です
UEFIブートの場合はDVDイメージからのブートであれ、インストール後であれ、 shim->Grub->kernelの順にロードしているということなのでしょうか。
そうだと思います。（が DVD の場合の確信がありません）
うーん、アップデートにおける対応は分かるのですが、 インストール時はどうするんでしょう。
openSUSE の公開鍵は Shim が最初から持っていますので、 # Shim の鍵で openSUSE の鍵が署名してあるのかどちらでしょう？ openSUSE から提供されるカーネルやブートローダー（もちろんインストーラーも）は 特に鍵を登録せずとも Shim から起動できます。 素の openSUSE をインストールしたあと、自分でビルドしたカーネルを起動したいときには、 カスタムカーネルを MOK で署名して、その MOK の Shim への登録作業が必要になります。
一回展開して、chrootして作業したものをもう一度ISOにするような感じでしょうか。
chroot して何を変更するのでしょうか？ おそらく気になっていることは、MOK をどこにどうやって保存するのか？という ことではないかと思います。 Shim への鍵の登録は EFI の boot var （値は HDD ではなく、ボード上に保存されるはず） に記録することになります。 インストーラーもカスタムカーネルであるならば、事前に素の openSUSE などで起動しておいて、 MOK を登録しておく必要がありますね。 もちろん Shim は MS の鍵で署名されているので、変更することはできません。
32bit UEFIのみ対応、というのが壁のようです。 13.2 x86_64（プロセッサ自体は64bitなので）で試した限りではダメでした。 13.3及びx86は試していません。
# オフトピになりますが ASUS のタブレットがこんな仕様らしいですね。 OSC 浜名湖でおーぷんここんの島田さんに openSUSE は対応しているかと聞かれて、 32bit 版の Live USB ならどうでしょう？と答えて、結局調べていません。 詳しくはこちらを http://www.slideshare.net/shimadah/201501-uefililotokaidopub Debian など何かで一度ブートしてしまえば、あとはルートパーティションに ディスクイメージを書き込んでしまうなど、色々方法はありそうです。 On 2015/05/04 15:58, MASAKI Yuhsuke wrote:
正木です。
ちょっと分かりにくいのですが、ブートパーティションのファイルに含まれる キーというのが、MOK のはずです。
UEFIブートの場合はDVDイメージからのブートであれ、インストール後であれ、 shim->Grub->kernelの順にロードしているということなのでしょうか。
まぁ、うちで躓いてるマシンは32bit UEFIのCDブート不可(USBdiskのみ) という仕様で対応を諦めているのですが(^^;
USB Live イメージからブートしてインストールではダメでしょうか？ 32bit UEFIのみ対応、というのが壁のようです。 13.2 x86_64（プロセッサ自体は64bitなので）で試した限りではダメでした。 13.3及びx86は試していません。
■以下おまけ Asia summit のときのメモによると: $ mokutil --import 鍵？ で Shim に MOK を登録できそうな感じです。
OBS でビルドするときは $ osc signkey --create project で、鍵の生成から署名まで全部やってくれるみたいです。
うーん、アップデートにおける対応は分かるのですが、 インストール時はどうするんでしょう。 一回展開して、chrootして作業したものをもう一度ISOにするような感じでしょうか。
On 2015/05/04 14:29, MASAKI Yuhsuke wrote:
正木です。
このShimとMOKによるセキュアブートへの対応ですが、 記事はカーネルをMOKで署名することについてしか書かれていないように見えます。 デフォルトでShimを使っているので、カーネルを署名したものにすればOKだよ、 ということなのでしょうか。
インストールイメージを対応させるのは容易ならざるを予感がします…
まぁ、うちで躓いてるマシンは32bit UEFIのCDブート不可(USBdiskのみ) という仕様で対応を諦めているのですが(^^;
You wrote:
武山です
今後、セキュアブートを無効にできない PC が増えてくると思いますので、セキュアブートを正攻法で乗り越える方法で答えてみます。
で、早速、kernel 4.0.1 をビルドし、テストをしようとすると、vmlinuz の署名が不正とかで、boot させて呉れませんでした．この原因は、ググって解りましたが．
ということですので、解決済みかもしれませんが…。
セキュアブートは証明書で署名された（ただし、ルート証明書はMSのしかない） ブートローダーやカーネル以外を起動できなくする仕組みですが、 openSUSE では Shim という署名済のプリブートローダーを使い起動できるようにしています。
Shim を通して起動する場合も、カーネルとブートローダーが *Shim が知っている鍵* で署名されている必要があります。
openSUSE から提供される Grub やカーネルは Shim に登録されている鍵で署名されています。 # 正確に言うと Shim の鍵で署名されている openSUSE の鍵だと思いますが
Shim には PC 所有者の鍵 (MOK: Machine owner's key) を登録することもでき、自分でビルドしたカーネル（や Grub）を起動できます。
セキュアブート(Shim)下で起動するには、次の作業をすればブートできます。 1. ビルドした machine owner key (自分の鍵) で署名する 2. 鍵を shim に取り込む
署名は手作業でもできますし、カーネルのビルドを OBS に任せていれば、 OBS に自分の秘密鍵を取り込んでおくことで、自動で署名してくれるそうです。
昨年の openSUSE.Asia Summit で丁寧な解説がありましたが、 残念ながら、スライドが見当たりません。
この辺を参考にしてみて下さい: https://www.suse.com/ja-jp/documentation/sles11/book_sle_admin/data/sec_uefi... https://en.opensuse.org/openSUSE:UEFI
On 2015/05/03 16:12, 野宮 賢 / NOMIYA Masaru wrote:
野宮です．
HP workstation xw9400 がヘタって来たので、新規パソコン
HP ENVY Phoenix 810-480jp
を購入しました． 連休で時間が取れるので、Windows 8.1 をさっさと削除し、openSUE 12.3 のインストールに挑戦しました．が、DVD を読み込むや否や、
安全なブートの侵害 無効な署名が検出されました。 セットアップで安全なブート ポリシーを調べてください。
という警告が赤い画面で表示されます． ところが、openSUSE 13.2 のインストールは出来ました． で、早速、kernel 4.0.1 をビルドし、テストをしようとすると、vmlinuz の署名が不正とかで、boot させて呉れませんでした．この原因は、ググって解りましたが．
ここで、YaST2 のブートの設定画面で「secure boot」のチェックを外し、再起動したところ、また、
安全なブートの侵害 無効な署名が検出されました。 セットアップで安全なブート ポリシーを調べてください。
が表示されました．「secure boot」を外すと、こうなるものなのでしょうか？
これは、パソコンがおかしい兆候でしょうか？
宜しくお願いします．
--- ┏━━┓彡 野宮 賢 mail-to: nomiya @ galaxy.dti.ne.jp ┃＼／彡 ┗━━┛ 「eメールや携帯電話に縛られた社会は、自分自身と向き合ったり、 空想にふけったりする自由を奪う。」 -- M. Crichton --
-- To unsubscribe, e-mail: opensuse-ja+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-ja+owner@opensuse.org
****************************** * The Rider, Hacker and Musician. * +++ ENABLE YOUR HEART +++ ****************************** * MASAKI Yuhsuke. * hydrangea@reasonset.net * Website: http://reasonset.net/ * GitHub : https://github.com/reasonset/ * Twitter: @reasonset ******************************
-- To unsubscribe, e-mail: opensuse-ja+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-ja+owner@opensuse.org
****************************** * The Rider, Hacker and Musician. * +++ ENABLE YOUR HEART +++ ****************************** * MASAKI Yuhsuke. * hydrangea@reasonset.net * Website: http://reasonset.net/ * GitHub : https://github.com/reasonset/ * Twitter: @reasonset ******************************
-- To unsubscribe, e-mail: opensuse-ja+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-ja+owner@opensuse.org
正木です。
openSUSE の公開鍵は Shim が最初から持っていますので、 # Shim の鍵で openSUSE の鍵が署名してあるのかどちらでしょう？ openSUSE から提供されるカーネルやブートローダー（もちろんインストーラーも）は特に鍵を登録せずとも Shim から起動できます。
ということは、openSUSEはインストールメディアからセキュアブート対応ですよ、ということになるのですね。 元の（Securebootをoffにする必要があったという）話から対応していないのだと思いました。 後の話もその誤解に基づくのですが、
chroot して何を変更するのでしょうか？
11.1.3-6で/bootへのvmlinuzの導入（できる、という話ですが）、 11.1.3-8でderをUEFIディレクトリへのコピーとしているので、 標準カーネルの起動自体にそれが必要な手順だと理解しました。 11.1.3-9に関してはそのような理由で「そもそも登録前の状態でどうやってGrubを起動するのか」 という疑問があり、起動イメージに起動可能にするためのmodifyを加えるのだろう、と推測しました。 元のインストールメディアから起動できるのならその問題はありませんし、 登録がファームウェアに対して行われるものならイメージ編集を必要とするものではありませんね。 MOKがマシンあるいはユーザーに固有のものであるなら、 「SecureBootにMOKを用いた対応が必須」ならば配布するイメージはそのまま起動できないのかな、 というのもありましたし… とりあえず、かなり混乱します。
ASUS のタブレットがこんな仕様らしいですね。 hp Pavilion x2-10です… BayTrailなWindowsタブレットで、SecureBootはオフにできるのですが、 legacy非対応、32bit UEFIの64bitプロセッサでタッチ端末です。
情報も少ないので、実用しているものだけにやめといたよさそうな感じですね。 32bit UEFIというのは一時的なものだろうと思っていますが、 Windows10でSecureBootを切れなくする話もあるようですし、 しばらく混沌としそうな気もしますね。 実際、デスクトップのほうでUEFIメニューがおかしくなり、起動できなくなったこともあります。 You wrote:
武山です
UEFIブートの場合はDVDイメージからのブートであれ、インストール後であれ、 shim->Grub->kernelの順にロードしているということなのでしょうか。
そうだと思います。（が DVD の場合の確信がありません）
うーん、アップデートにおける対応は分かるのですが、 インストール時はどうするんでしょう。
openSUSE の公開鍵は Shim が最初から持っていますので、 # Shim の鍵で openSUSE の鍵が署名してあるのかどちらでしょう？ openSUSE から提供されるカーネルやブートローダー（もちろんインストーラーも）は特に鍵を登録せずとも Shim から起動できます。
素の openSUSE をインストールしたあと、自分でビルドしたカーネルを起動したいときには、カスタムカーネルを MOK で署名して、その MOK の Shim への登録作業が必要になります。
一回展開して、chrootして作業したものをもう一度ISOにするような感じでしょうか。
chroot して何を変更するのでしょうか？
おそらく気になっていることは、MOK をどこにどうやって保存するのか？ということではないかと思います。
Shim への鍵の登録は EFI の boot var （値は HDD ではなく、ボード上に保存されるはず）に記録することになります。
インストーラーもカスタムカーネルであるならば、事前に素の openSUSE などで起動しておいて、 MOK を登録しておく必要がありますね。
もちろん Shim は MS の鍵で署名されているので、変更することはできません。
32bit UEFIのみ対応、というのが壁のようです。 13.2 x86_64（プロセッサ自体は64bitなので）で試した限りではダメでした。 13.3及びx86は試していません。
# オフトピになりますが
ASUS のタブレットがこんな仕様らしいですね。 OSC 浜名湖でおーぷんここんの島田さんに openSUSE は対応しているかと聞かれて、 32bit 版の Live USB ならどうでしょう？と答えて、結局調べていません。
詳しくはこちらを http://www.slideshare.net/shimadah/201501-uefililotokaidopub
Debian など何かで一度ブートしてしまえば、あとはルートパーティションに ディスクイメージを書き込んでしまうなど、色々方法はありそうです。
On 2015/05/04 15:58, MASAKI Yuhsuke wrote:
正木です。
ちょっと分かりにくいのですが、ブートパーティションのファイルに含まれる キーというのが、MOK のはずです。
UEFIブートの場合はDVDイメージからのブートであれ、インストール後であれ、 shim->Grub->kernelの順にロードしているということなのでしょうか。
まぁ、うちで躓いてるマシンは32bit UEFIのCDブート不可(USBdiskのみ) という仕様で対応を諦めているのですが(^^;
USB Live イメージからブートしてインストールではダメでしょうか？ 32bit UEFIのみ対応、というのが壁のようです。 13.2 x86_64（プロセッサ自体は64bitなので）で試した限りではダメでした。 13.3及びx86は試していません。
■以下おまけ Asia summit のときのメモによると: $ mokutil --import 鍵？ で Shim に MOK を登録できそうな感じです。
OBS でビルドするときは $ osc signkey --create project で、鍵の生成から署名まで全部やってくれるみたいです。
うーん、アップデートにおける対応は分かるのですが、 インストール時はどうするんでしょう。 一回展開して、chrootして作業したものをもう一度ISOにするような感じでしょうか。
On 2015/05/04 14:29, MASAKI Yuhsuke wrote:
正木です。
このShimとMOKによるセキュアブートへの対応ですが、 記事はカーネルをMOKで署名することについてしか書かれていないように見えます。 デフォルトでShimを使っているので、カーネルを署名したものにすればOKだよ、 ということなのでしょうか。
インストールイメージを対応させるのは容易ならざるを予感がします…
まぁ、うちで躓いてるマシンは32bit UEFIのCDブート不可(USBdiskのみ) という仕様で対応を諦めているのですが(^^;
You wrote:
武山です
今後、セキュアブートを無効にできない PC が増えてくると思いますので、セキュアブートを正攻法で乗り越える方法で答えてみます。
で、早速、kernel 4.0.1 をビルドし、テストをしようとすると、vmlinuz の署名が不正とかで、boot させて呉れませんでした．この原因は、ググって解りましたが．
ということですので、解決済みかもしれませんが…。
セキュアブートは証明書で署名された（ただし、ルート証明書はMSのしかない） ブートローダーやカーネル以外を起動できなくする仕組みですが、 openSUSE では Shim という署名済のプリブートローダーを使い起動できるようにしています。
Shim を通して起動する場合も、カーネルとブートローダーが *Shim が知っている鍵* で署名されている必要があります。
openSUSE から提供される Grub やカーネルは Shim に登録されている鍵で署名されています。 # 正確に言うと Shim の鍵で署名されている openSUSE の鍵だと思いますが
Shim には PC 所有者の鍵 (MOK: Machine owner's key) を登録することもでき、自分でビルドしたカーネル（や Grub）を起動できます。
セキュアブート(Shim)下で起動するには、次の作業をすればブートできます。 1. ビルドした machine owner key (自分の鍵) で署名する 2. 鍵を shim に取り込む
署名は手作業でもできますし、カーネルのビルドを OBS に任せていれば、 OBS に自分の秘密鍵を取り込んでおくことで、自動で署名してくれるそうです。
昨年の openSUSE.Asia Summit で丁寧な解説がありましたが、 残念ながら、スライドが見当たりません。
この辺を参考にしてみて下さい: https://www.suse.com/ja-jp/documentation/sles11/book_sle_admin/data/sec_uefi... https://en.opensuse.org/openSUSE:UEFI
On 2015/05/03 16:12, 野宮 賢 / NOMIYA Masaru wrote:
野宮です．
HP workstation xw9400 がヘタって来たので、新規パソコン
HP ENVY Phoenix 810-480jp
を購入しました． 連休で時間が取れるので、Windows 8.1 をさっさと削除し、openSUE 12.3 のインストールに挑戦しました．が、DVD を読み込むや否や、
安全なブートの侵害 無効な署名が検出されました。 セットアップで安全なブート ポリシーを調べてください。
という警告が赤い画面で表示されます． ところが、openSUSE 13.2 のインストールは出来ました． で、早速、kernel 4.0.1 をビルドし、テストをしようとすると、vmlinuz の署名が不正とかで、boot させて呉れませんでした．この原因は、ググって解りましたが．
ここで、YaST2 のブートの設定画面で「secure boot」のチェックを外し、再起動したところ、また、
安全なブートの侵害 無効な署名が検出されました。 セットアップで安全なブート ポリシーを調べてください。
が表示されました．「secure boot」を外すと、こうなるものなのでしょうか？
これは、パソコンがおかしい兆候でしょうか？
宜しくお願いします．
--- ┏━━┓彡 野宮 賢 mail-to: nomiya @ galaxy.dti.ne.jp ┃＼／彡 ┗━━┛ 「eメールや携帯電話に縛られた社会は、自分自身と向き合ったり、空想にふけったりする自由を奪う。」 -- M. Crichton --
-- To unsubscribe, e-mail: opensuse-ja+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-ja+owner@opensuse.org
****************************** * The Rider, Hacker and Musician. * +++ ENABLE YOUR HEART +++ ****************************** * MASAKI Yuhsuke. * hydrangea@reasonset.net * Website: http://reasonset.net/ * GitHub : https://github.com/reasonset/ * Twitter: @reasonset ******************************
-- To unsubscribe, e-mail: opensuse-ja+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-ja+owner@opensuse.org
****************************** * The Rider, Hacker and Musician. * +++ ENABLE YOUR HEART +++ ****************************** * MASAKI Yuhsuke. * hydrangea@reasonset.net * Website: http://reasonset.net/ * GitHub : https://github.com/reasonset/ * Twitter: @reasonset ******************************
-- To unsubscribe, e-mail: opensuse-ja+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-ja+owner@opensuse.org
****************************** * The Rider, Hacker and Musician. * +++ ENABLE YOUR HEART +++ ****************************** * MASAKI Yuhsuke. * hydrangea@reasonset.net * Website: http://reasonset.net/ * GitHub : https://github.com/reasonset/ * Twitter: @reasonset ****************************** -- To unsubscribe, e-mail: opensuse-ja+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-ja+owner@opensuse.org
ci5kymです。 スレッドからはずれてしまうかもしれませんが・・・・ 先日、ようやく macbook pro(retina)で、openSUSE13.2をdual bootにて使えるようになりました。 面白いことに、suseのインストール自体は完全に失敗するのですが、bootはできてしまいます。（ｗ） rEFIndというbootloaderが素晴らしく、kernelのイメージさえあれば、適当なあんばいでbootしてくれるのです。 インストール段階では、最終のgrubのインストールでこけてしまいますが、いっさい無視したままで再起動 すれば、rEFInd経由で、boot対象のOSリストにsuseを上げてくれます。 kernelパラメータを正常に渡せてはいないので、あとで、rEFIndの設定ファイルをテキストエディタで ちょこっと編集するだけでOKです。これでもう、grubは要りません。 kernelアップデートでも、/boot にvmlinuz イメージさえあれば、問題なくリストアップしてくれますが、 手動編集の必要があるのが欠点です。 secureboot は試していませんが、対応はしているようなので、windows8とopensuseとかもできるのでは ないかと思います。 インストール後に問題が起きたことといえば、ＫＤＥのHiDPI環境が貧弱なことです。 （こいつのせいで、日本語変換窓の文字が読めなくて、勘での入力です 汗） これから4Kが普及しようというのに、ちょっとさびしい限りです。（Ｔ＿Ｔ） GnomeやXfce4だとちゃんと対応できているようなので、4Kでも大丈夫なようです。 -- To unsubscribe, e-mail: opensuse-ja+unsubscribe@opensuse.org To contact the owner, e-mail: opensuse-ja+owner@opensuse.org
participants (7)
-
Fuminobu TAKEYAMA -
MASAKI Yuhsuke -
mlus -
satoake -
User Ribbon -
Yasuhiko Kamata -
野宮 賢 / NOMIYA Masaru