Ubuntu 26.10 Secure Boot 変更と /boot レイアウトのチェック

Ubuntu 26.10 は、Secure Boot の署名付き GRUB に含まれる機能を削減します。 互換性は、単にルート パーティションが使用するファイル システムではなく、GRUB がブート ファイルを読み取る方法によって決まります。 カスタマイズされたインストールをアップグレードする前に、/boot を含むファイル システムと基盤となるストレージ レイヤーを確認してください。

Canonical は、10 月 6 日のセキュリティ概要  の変更を確認しました。提案としての以前の説明は、現在の状況を説明するものではなくなりました。

影響を受けるレイアウト

これらの制限はブート パスに関するものです。 Btrfs、ZFS、LVM、LUKS、および RAID は起動後も使用可能なままです。暗号化されたルート ファイルシステムと暗号化された /boot は別のケースです。 Secure Boot を無効にしても、GRUB の完全な機能は引き続き使用できますが、セキュリティ設定を変更するには、ブートおよび暗号化構成全体を評価する必要があります。 正式な変更点 。

ステップ 1 Secure Boot を確認します

次のコマンドは、構成を変更せずにステータスを読み取ります。

mokutil --sb-state

SecureBoot enabled はアクティブであることを意味します。ツールが使用できない場合は、まず UEFI 設定を調べてください。 EFI 変数がサポートされていない場合は、マシンが UEFI モードで起動したかどうかを確認します。エラーは、Secure Boot が無効であることを証明しません。

ステップ 2 /boot を含むファイルシステムを見つけます。

findmnt --target /boot --output TARGET,SOURCE,FSTYPE,OPTIONS
lsblk --output NAME,TYPE,FSTYPE,MOUNTPOINTS

別の /boot パーティションがなくても、findmnt はそのディレクトリを含むファイルシステム (通常はルート ファイルシステム) を返します。 lsblk に別の /boot マウントが表示されないからといって、チェックをスキップしないでください。

通常の ext4 パーティションでは、次のものが生成される可能性があります。

TARGET SOURCE         FSTYPE OPTIONS
/boot  /dev/nvme0n1p2  ext4   rw,relatime

FSTYPE が Btrfs、XFS、または ZFS の場合は、上の表を参照してください。 ext4 であるが、SOURCE が /dev/mapper/... または /dev/md... を指している場合は、lsblk のストレージ階層を調べます: ext4 のサポートは、基礎となるストレージのサポートを確立しません。 LVM、暗号化層または RAID 層。 ソフトウェア RAID のレベルも確認する必要があります。

/boot/efi にある FAT EFI システム パーティションは、カーネルを含むファイル システムと /boot にある initramfs との互換性を確立しません。これらのコマンドは初期検査を提供します。異常なブート チェーンの場合は、実際の構成を確認する必要があります。

ステップ 3 アップグレードする時期を決定する

• 互換性のない /boot レイアウトで Secure Boot が有効になっています: バックアップおよび移行計画の準備中は、26.04 LTS を維持します。
• 通常のパーティションでサポートされているファイルシステム: この検査では、ここで説明されている制限は見つかりませんでしたが、ドライバーと その他の互換性の問題 を確認してください。
• Secure Boot が無効になっています: これらの削減は、現在の完全な GRUB パスには適用されません。後で Secure Boot を有効にする前に、チェックを繰り返します。

/boot の移動には、パーティション、マウント、initramfs、およびブート構成が含まれます。ユニバーサル コマンドはすべてのマシンを安全にカバーできるわけではありません。 バックアップ チェックリスト を完了し、ストレージ レイアウトを記録し、最初にブータブル リカバリ メディアを準備します。

TPM ベースのロック解除の場合は、ファームウェアまたはブート設定を変更する前に回復キーを準備します。ブート状態とディスクのロック解除の関係については、ハードウェアによる暗号化の説明 を参照してください。

よくある質問

暗号化されたルート ファイルシステムは常にアップグレードを妨げますか?

いいえ。GRUB が読み取る必要があるファイルが暗号化されているかどうかを確認してください。通常の別個の ext4 /boot は、暗号化されたルート ファイルシステムからの異なるストレージ パスをたどることができます。

RAID1 は常に互換性がありますか?

公式の変更には RAID1 例外が残っていますが、ファイル システムとネストされたストレージ レイヤーを確認する必要があります。

別の GRUB テーマでファイルシステムのサポートを復元できますか?

いいえ。テーマと背景は、署名された GRUB のコンパイルされた機能を変更しません。検証をバイパスしたり、ブート コンポーネントを任意に置き換えたりして互換性を解決しないでください。

詳細情報: 初期の公式設計ディスカッション 、26.10 のダウンロードとアップグレードのアドバイス。