こんにちは。パソコンドック24 名古屋・庄内緑地公園店です。
北名古屋市のお客様よりHPの一体型PC 24-df0043jp AiO が赤いエラー画面で起動できないとご相談がありました。
この症状はセキュアブート証明書違反による起動不能です。
5月16日に投稿した記事の続編となります。
「1・Secure Boot Violation エラーで起動しない」
さらに続編というかむしろ本編。
前回は自作パソコンで、BIOSアップデートをBIOS画面からおこないましたが、メーカーパソコンにはそういった機能はありません。
また、BIOSアップデートだけでは起動できませんでした。
「安全なブートの侵害」
真っ赤な警告画面に
「安全なブートの侵害」
「無効な署名が検出されました。セットアップで安全なブートポリシーを調べてください。」
と表示されて何度OKを押しても同じ画面にしかなりません。
急にこの警告は心臓に悪いと思います。
Windowsアップデートの再起動後から始まったと伺いました。
分解写真は今回割愛します。
SSDのコピーを取って修復作業をおこないます。
セキュアブートOFFで起動
とりあえず起動させるためにセキュアブートをOFFにしますが、「安全なブート」という項目になっていました。
この部分を無効にして変更を保存して再起動すると、Windowsの起動はできました。
起動には支障ありませんが、「デバイスセキュリティ」ではセキュアブートの項目は表示されませんので安全性は確保できません。
※デバイスセキュリティの確認法は
「Secure Boot Violation エラーで起動しない」
をご覧ください。
BIOSアップデート
前回と同じようにBIOSのアップデートをおこないます。
BIOSには何種類かあるようで、システムボードIDとBIOSファイルの「ROMファミリーSSID」を合わせないといけません。
この機種は「86F7」で元のBIOSバージョンはF.31でした。
BIOS更新はセキュアブートOFF状態でWindows11を起動し、アップデートプログラムを実行しておこないました。
更新後のBIOSはF.44で2025/5/14の更新日付でした。
BIOS更新後「安全なブート」項目を有効にして再起動しましたが、警告が出て起動できませんでした。
と言うことで、前回のようにセキュアブートキーを出荷状態に戻しました。
最初に書いたように、この処置でも警告が出て起動はできませんでした。
すべてのセキュアブートキーのクリア
HP工場出荷時設定キーのロード
セキュアブート証明書の確認
本題に入ります。
セキュアブートキーの更新は通常、Windowsアップデート後の再起動で更新されます。
今回の原因は、Windows側の証明書キーが新しいもの(Windows UEFI CA 2023)に更新されたのに、BIOS側の証明書が更新に失敗したために起こっていると推測されます。
証明書のキーはいくつかありますが、そのうちの一つであるKEKをPower Shellで確認しました。
KEK CA 2011のみで古いものしか見つかりません。
コマンドでBIOSの証明書キーを強制的にアップデートしたいところですが、残念ながらセキュアブート無効のままでは強制的な証明書更新はできないはずです。
（別パソコンでセキュアブートOFFのままでBIOSの証明書が更新されているものが見つかりましたので、その限りではないようです）
Windows11クリーンインストールでBIOSの証明書キーが更新
セキュアブートをONにするとどうしても起動できないので、Windows11をクリーンインストールしてご返却することも考えて作業をおこないました。
Windows11 25H2のインストールメディアの最新版を作製し直して、空のSSDにインストールします。
インストールは正常に終わり、ドライバーインストールとWindowsアップデートもおこない通常手順は終了して使用できる状態になりました。
この後、試しに元環境のSSDに交換して起動させてみました。
すると、「安全なブート」は有効なままでも何事もなかったように起動しました。
BIOSの証明書キー確認
セキュアブートをOFFにしているとき、BIOS証明書キーの更新コマンドをPower Shellで入力はしましたが、結局起動できませんでした。
今回は、クリーンインストールとその後のアップデートでBIOSの証明書が更新されたと考えられます。
赤で囲ったところに、2023の文字が4つ確認できます。
「デバイスセキュリティ」での確認も
「セキュアブートがオンになっており、必要なすべての証明書の更新が適用されました。これ以上の証明書の変更は必要ありません。」
となりました。
苦労しましたが、なんとかセキュアブートの証明書更新ができて正常使用できるようになりました。
そのままの環境で使用できるため、お喜びいただけました。
今回有効だった対処法
1・セキュアブートOFFでの起動
2・Windows11クリーンインストールとアップデート
BitLocker暗号化がないことが前提です。
さらに2例ほど別の案件があります。
次の続編でセキュアブート証明書の更新法などを説明します。
名古屋・庄内緑地公園店オフィシャルサイト
名古屋・庄内緑地公園店オフィシャルサイトでもブログを公開中です。
ぜひご覧ください。
公開：
