知識マップ: Secure Bootの証明書期限が過ぎたあとの点検 ── Windows UEFI CA 2023への移行を確かめる
記事「Secure Bootの証明書期限が過ぎたあとの点検 ── Windows UEFI CA 2023への移行を確かめる」の主張を、概念と関係(エッジ)に分解した知識グラフの全体です。各関係には根拠・確認日・確度が付いています。
Secure BootはKEK、db、DBXの3つの領域を使う。2011年版の3つの証明書は2026年に期限を迎え、Windows UEFI CA 2023などの2023年版が後継になる。Windowsブートマネージャーの今後の修正を受け取るには、dbにWindows UEFI CA 2023が要る。証明書はSecure-Boot-Updateタスクが書き込み、AvailableUpdates、グループポリシー、Intuneで指示できる。移行済みかはConfirm-SecureBootUEFI、Get-SecureBootUEFI、UEFICA2023Status、イベントログで確かめる。
flowchart LR
accTitle: Secure Bootの証明書期限後の点検の知識マップ
accDescr: 2011年版の証明書と2023年版の後継、それが入るKEKとdb、証明書を書き込むSecure-Boot-Updateタスクと、その確認手段の関係図。
uefi_secure_boot["UEFIセキュアブート"]
windows_uefi_ca_2023["Windows UEFI CA 2023"]
windows_production_pca_2011["Microsoft Windows Production PCA 2011"]
secure_boot_kek["KEK(Key Exchange Key)"]
secure_boot_db["db(Secure Bootの許可署名データベース)"]
secure_boot_dbx["DBX(Secure Bootの禁止署名データベース)"]
microsoft_kek_2k_ca_2023["Microsoft Corporation KEK 2K CA 2023"]
microsoft_kek_ca_2011["Microsoft Corporation KEK CA 2011"]
microsoft_uefi_ca_2023["Microsoft UEFI CA 2023"]
microsoft_uefi_ca_2011["Microsoft UEFI CA 2011"]
microsoft_option_rom_uefi_ca_2023["Microsoft Option ROM UEFI CA 2023"]
windows_boot_manager["Windowsブートマネージャー"]
pxe_boot["PXEブート"]
confirm_securebootuefi["Confirm-SecureBootUEFI"]
get_securebootuefi["Get-SecureBootUEFI"]
secure_boot_update_task["Secure-Boot-Updateタスク"]
uefica2023status["UEFICA2023Statusレジストリ値"]
windows_event_log["Windowsイベントログ"]
task_scheduler["タスクスケジューラ"]
availableupdates_registry["AvailableUpdatesレジストリ値"]
group_policy["グループポリシー"]
intune["Microsoft Intune"]
windows_update["Windows Update"]
recovery_mode["BitLocker回復モード"]
recovery_key["回復キー(回復パスワード)"]
manage_bde["manage-bde"]
audit_mode["監査モード"]
app_control_for_business["App Control for Business(旧WDAC)"]
uefi_secure_boot -->|"利用する"| secure_boot_kek
uefi_secure_boot -->|"利用する"| secure_boot_db
uefi_secure_boot -->|"利用する"| secure_boot_dbx
microsoft_kek_2k_ca_2023 -->|"の後継"| microsoft_kek_ca_2011
microsoft_uefi_ca_2023 -->|"の後継"| microsoft_uefi_ca_2011
microsoft_option_rom_uefi_ca_2023 -->|"の後継"| microsoft_uefi_ca_2011
windows_uefi_ca_2023 -->|"の後継"| windows_production_pca_2011
microsoft_kek_2k_ca_2023 -->|"に保存される"| secure_boot_kek
windows_uefi_ca_2023 -->|"に保存される"| secure_boot_db
windows_production_pca_2011 -->|"に保存される"| secure_boot_db
windows_boot_manager -->|"前提とする"| windows_uefi_ca_2023
pxe_boot -.->|"前提とする"| microsoft_uefi_ca_2011
uefi_secure_boot -->|"で確認できる"| confirm_securebootuefi
windows_uefi_ca_2023 -->|"で確認できる"| get_securebootuefi
secure_boot_update_task -->|"で確認できる"| uefica2023status
secure_boot_update_task -->|"で確認できる"| windows_event_log
secure_boot_update_task -->|"前提とする"| task_scheduler
secure_boot_db -->|"で構成できる"| secure_boot_update_task
secure_boot_kek -->|"で構成できる"| secure_boot_update_task
secure_boot_update_task -->|"で構成できる"| availableupdates_registry
secure_boot_update_task -->|"で構成できる"| group_policy
secure_boot_update_task -->|"で構成できる"| intune
windows_update -->|"利用する"| secure_boot_update_task
secure_boot_update_task -.->|"原因になり得る"| recovery_mode
pxe_boot -.->|"原因になり得る"| recovery_mode
recovery_key -->|"で確認できる"| manage_bde
audit_mode -->|"推奨される対応"| app_control_for_business
概念間の関係(全27件)
図と同じ関係を文章でも列挙します。表示している文と機械可読な意味データ(RDFa)は同じ要素に載っています。確度が「確立した関係」のものは直接の関係として、「条件付きの関係」のものは成立条件つきの言明(rdf:Statement)として表現しています。
- UEFIセキュアブートはKEK(Key Exchange Key)を利用します。
- UEFIセキュアブートはdb(Secure Bootの許可署名データベース)を利用します。
- UEFIセキュアブートはDBX(Secure Bootの禁止署名データベース)を利用します。
- Microsoft Corporation KEK 2K CA 2023はMicrosoft Corporation KEK CA 2011の後継に当たります。
- Microsoft UEFI CA 2023はMicrosoft UEFI CA 2011の後継に当たります。
- Microsoft Option ROM UEFI CA 2023はMicrosoft UEFI CA 2011の後継に当たります。
- Windows UEFI CA 2023はMicrosoft Windows Production PCA 2011の後継に当たります。
- Microsoft Corporation KEK 2K CA 2023はKEK(Key Exchange Key)に保存されます。
- Windows UEFI CA 2023はdb(Secure Bootの許可署名データベース)に保存されます。
- Microsoft Windows Production PCA 2011はdb(Secure Bootの許可署名データベース)に保存されます。
- WindowsブートマネージャーはWindows UEFI CA 2023を前提とします。
- PXEブートはMicrosoft UEFI CA 2011を前提とします。
- UEFIセキュアブートはConfirm-SecureBootUEFIで確認できます。
- Windows UEFI CA 2023はGet-SecureBootUEFIで確認できます。
- Secure-Boot-UpdateタスクはUEFICA2023Statusレジストリ値で確認できます。
- Secure-Boot-UpdateタスクはWindowsイベントログで確認できます。
- Secure-Boot-Updateタスクはタスクスケジューラを前提とします。
- db(Secure Bootの許可署名データベース)はSecure-Boot-Updateタスクで構成できます。
- KEK(Key Exchange Key)はSecure-Boot-Updateタスクで構成できます。
- Secure-Boot-UpdateタスクはAvailableUpdatesレジストリ値で構成できます。
- Secure-Boot-Updateタスクはグループポリシーで構成できます。
- Secure-Boot-UpdateタスクはMicrosoft Intuneで構成できます。
- Windows UpdateはSecure-Boot-Updateタスクを利用します。
- Secure-Boot-UpdateタスクはBitLocker回復モードの原因になることがあります。
- PXEブートはBitLocker回復モードの原因になることがあります。
- 回復キー(回復パスワード)はmanage-bdeで確認できます。
- 監査モードはApp Control for Business(旧WDAC)に対する本記事の推奨です。
主要概念の定義
機械可読データ
このデータセットについて
このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。