Hyper-VでLinux起動時に「イメージのハッシュと証明書が許可されていません(DB)」エラーが出たときの対処法

Hyper-Vサーバー上の仮想マシンにLinux（CentOS）をインストールしようとした際、興味深い問題に遭遇しました。この仮想マシンはUEFIに対応した「第2世代（Generation 2）」タイプです。

CentOS 7のインストールイメージ（ISO）をダウンロードし、Hyper-Vで新しい第2世代VMを作成してISOファイルをマウントし、そこからブートを試みました。しかし、VMを起動すると、Hyper-Vコンソールに以下のエラーメッセージが表示されました。

SCSI DVD (0,0). The image's hash and certificate are not allowed (DB).

No UEFI-compatible file system was found.

No operating system was loaded. Press a key to retry the boot sequence…

エラーの原因：Secure BootによるLinuxブートローダーのブロック

この問題の原因は、Hyper-Vが第2世代の仮想マシンに対して、デフォルトでSecure Boot（セキュアブート）が有効な状態のUEFIを使用している点にあります。

Secure Bootは、信頼されていないLinuxのブートローダーによる起動を防ぎます。ISOファイルに含まれるLinuxブートローダーはMicrosoftによって署名・認証されていないため、起動がブロックされてしまうのです。

解決策1：Secure Bootを無効化する

Linuxのインストールを開始するには、仮想マシンの設定でSecure Bootを無効化します。

1. 仮想マシンの「設定」を開く
2. 「セキュリティ」を選択
3. 「セキュアブートを有効にする（Enable Secure Boot）」のチェックを外す

解決策2：証明書テンプレートを「Microsoft UEFI 証明機関」に変更する

Secure Bootを有効にしたまま利用したい場合は、テンプレートを「Microsoft Windows」から「Microsoft UEFI 証明機関（Microsoft UEFI Certificate Authority）」に変更する方法もあります。

Microsoftの情報によると、このテンプレートを使用することで、Secure Boot互換モードでLinuxディストリビューションを実行できるようになります。

設定変更後、VMを再起動し、もう一度CentOSのインストールISOからブートを試みてください。他のLinuxディストリビューションでも同様の手順が使えます（筆者はこの方法でCentOS 8とUbuntu 19.04のインストールに成功しました）。

PowerShellでSecure Boot設定を管理する方法

同じ操作は、PowerShellを使って仮想マシンのSecure Bootやテンプレート設定を管理することでも可能です。

まず、現在のVMファームウェア設定を確認するには、以下のコマンドを実行します。

Get-VMFirmware -VMName "centos7"

VMのSecure Bootモードを無効化するには：

Set-VMFirmware -VMName "centos7" -EnableSecureBoot Off

ブートローダーの証明書検証テンプレートを、多くのLinuxディストリビューションと互換性のあるものに変更するには：

Set-VMFirmware -VMName "centos7" -EnableSecureBoot On -SecureBootTemplate "MicrosoftUEFICertificateAuthority"

これらの設定を行うことで、Hyper-V上の第2世代仮想マシンでも問題なくLinuxを起動・インストールできるようになります。