MOK を登録した後、Ubuntu 18.04.2 LTS またはその Live USB を起動できません。この状況に至った手順は次のとおりです。
- Dell Precision T7910 ワークステーションに Ubuntu 18.04.2 LTS をクリーン インストールします。このマシンには他の OS はインストールされていません。
- OS は UEFI LiveUSB を使用してインストールされています。セキュア ブートがオンになっています。
- Nvidia Titan-X グラフィック カード用の nvidia-430 専用ドライバーをインストールしました。インストール時に、MOK に登録するためのパスワードの入力を求められました。再起動すると、MOK 管理画面でキーを登録するためのパスワードの入力を求められました。キーを正常に登録できました。その後、システムを数回再起動しましたが、すべて正常に動作しました。
- マザーボードに障害がありました。新しいマザーボードに交換しました。Dell サービス タグをリセットした後、システムは正常に起動しました。セキュア ブートをオンにして数回再起動しました。問題はありません。
- Nvidia グラフィック カードを AMD カードに交換しました。Ubuntu のデフォルト ドライバーは問題なく動作しました。しかし、最新のドライバーを使用したいと思いました。AMD Web サイトからドライバーをダウンロードしました。インストール時に、MOK でキーを登録するためのパスワードを設定するように求められました。マシンを再起動しました。同じパスワードを使用して、MOK でキーを登録しました。再起動すると、次のエラーが発生し、マシンがシャットダウンします。
tcg2 最終イベント テーブルをトリガーできません: 無効なパラメータです
重大な問題が発生しました: import_mok_state() が失敗しました
： 無効なパラメーター
Ubuntu の LiveUSB インストーラーから起動すると、同じエラー メッセージが表示され、その後マシンがシャットダウンします。セキュア ブートがオンまたはオフに設定されているかどうかに関係なく、このエラー メッセージが表示されます。
LiveUSBをレガシーモードで正常に起動できます。しかし、efibootmgrユーティリティは使用できません（2番目の回答を参照）。ここ) を使用して、EFI パーティションのローダーを修正します。efibootmgr ユーティリティを使用するには、UEFI モードで起動する必要があります。しかし、Ubuntu Live USB を UEFI モードで起動しようとすると、上記のエラー メッセージが表示され、システムがシャットダウンします。
関連する別のスレッドを見つけましたここただし、UEFI モードで LiveUSB から起動できないため、EFI 操作を実行できません。
起動できましたシステムレスキューCDセキュア ブートをオンにして、ブート ディスク上のすべてのパーティションを削除しました。LiveUSB から Ubuntu を再インストールしようとしましたが、同じエラー メッセージが表示されました。Windows 10 を正常にインストールし、セキュア モードで正常に起動しました。次に、すべてのパーティションを再度削除し、すべての BIOS 設定を詳しく調べることにしました。
TPM をオンにしました。これで、セキュア ブート モードで LiveUSB から起動できます。ただし、TPM をオフにすると、以前のエラー メッセージに戻ります。TPM をオンにして、LiveUSB から OS を再インストールしました。追加のビデオ ドライバーをインストールすることを選択しましたが、Mok でキーを登録するためのパスワードを設定するように求められました。再起動すると、Mok Manager が表示され、キーを登録するためのパスワードを求められました。私はそれに従い、ブート ディスクから Ubuntu を起動できるようになりました (TPM がオンに設定されている限り)。
質問:
- セキュア ブートを正常に動作させるには、なぜ TPM をオンにする必要があるのですか? Ubuntu を初めてインストールしたときは、TPM はオンになっていませんでしたが、セキュア ブートは正常に動作していました。
- OS へのセキュア ブートが可能になったので、TPM なしでセキュア ブートを機能させるためにできることはありますか?
答え1
いろいろ検索した結果、次のものを見つけましたここ:
EUFI には、登録済みの信頼できる機関のデータベースが含まれています。ユーザーは、Microsoft 以外のオペレーティング システムの読み込みを有効にするために、このデータベースに独自の信頼できる機関を追加できます。
ここで、Trusted Platform Modules (TPM) が使用されます。TPM は、キーを保存したり、暗号化/署名/検証ルーチンを実行したりするために使用できます。TPM と UEFI を組み合わせることで、ブートローダーの検証とオペレーティング システムの読み込みが可能になります。
したがって、独自の Nvidia および AMD ディスプレイ ドライバーは、キーを TPM に保存しようとしているようです。
TPM には、アクティブと有効という紛らわしい 2 つのモード設定があります。これらは意味が異なります。アクティブは、私の Dell Precision ワークステーションでは「TPM オン」チェックボックスとして表示されます。この状態では、TPM の一部の機能が利用できます。これには、キーの保存と検索が含まれます。「有効」は、TPM が完全に機能していることを意味します。ディスクの暗号化などに使用できます。これは、Ubuntu を起動するには (特に独自のディスプレイ ドライバーを使用する場合)、TPM を「オン」または「アクティブ」にする必要がある理由を説明していますが、セキュア ブートでは TPM を「有効」にする必要はありません。
この理解に基づいて、私はこれ古くて不要なキーを削除する記事。