Hyper-Vブートエラー「イメージのハッシュと証明書は許可されていません」の対処法

発生した問題

Hyper-Vサーバー上の仮想マシン（UEFI対応の第2世代／Generation 2）にLinux CentOSをインストールしようとした際、興味深い問題に遭遇しました。CentOS 7のインストール用ISOイメージをダウンロードし、Hyper-Vで第2世代タイプの新規仮想マシンを作成してISOをマウントし、インストールメディアから起動を試みたところ、Hyper-Vコンソールに以下のエラーメッセージが表示されたのです。

SCSI DVD (0,0). The image's hash and certificate are not allowed (DB).

No UEFI-compatible file system was found.

No operating system was loaded. Press a key to retry the boot sequence…

原因：第2世代VMではセキュアブートが既定で有効

この問題の原因は、Hyper-Vが第2世代仮想マシンに対して、既定でUEFIのセキュアブート（Secure Boot）を有効にしている点にあります。セキュアブートは、信頼できないブートローダーからのOS起動をブロックするセキュリティ機能です。ISOイメージに含まれるLinuxのブートローダーはMicrosoftによって署名・認証されていないため、起動が拒否されてしまうわけです。

対処法1：セキュアブートを無効にする

最も手軽な方法は、仮想マシンの設定でセキュアブートを無効化することです。
［設定］→［セキュリティ］を開き、［セキュアブートを有効にする（Enable Secure Boot）］のチェックを外してください。

対処法2：「Microsoft UEFI証明機関」テンプレートを使用する

セキュアブートを有効のまま運用したい場合は、テンプレートを「MicrosoftWindows」から「MicrosoftUEFICertificateAuthority（Microsoft UEFI証明機関）」に変更します。Microsoftの情報によれば、このテンプレートを使用することで、セキュアブート互換モードでLinuxディストリビューションを実行できるようになります。

設定変更後は仮想マシンを再起動し、改めてCentOSのインストールISOから起動してみてください。実際にこの方法でCentOS 8やUbuntu 19.04のインストールも問題なく行えました。

PowerShellでセキュアブート設定を管理する

同じ操作はPowerShellからも実行できます。まず、現在の仮想マシンのファームウェア設定を確認するには、以下のコマンドを使用します。

Get-VMFirmware -VMName "centos7"

セキュアブートを無効化する場合

Set-VMFirmware -VMName "centos7" -EnableSecureBoot Off

Linux互換の証明書テンプレートへ変更する場合

ほとんどのLinuxディストリビューションと互換性のあるブートローダー証明書検証テンプレートに切り替えるには、次のコマンドを実行します。

Set-VMFirmware -VMName "centos7" -EnableSecureBoot On -SecureBootTemplate "MicrosoftUEFICertificateAuthority"