はじめに
社内のオフライン端末やネットワーク制限のあるPCでSecure Boot（セキュアブート）の脆弱性対策を行う際、「既にWindows Updateが完了したPCから更新ファイルを抜き出して、他のPCへコピー・適用できないか」と考えたことはないでしょうか。
私もかつて、インターネットに接続できない制御系PCのセキュリティ対策を任された際、ファイルをコピーしてスクリプトで一括配布できないか検証したことがあります。
手順と条件さえ正しく押さえれば、この方法は有効な選択肢になります。
この記事では、Secure Bootの更新ファイルをコピーして別PCに横展開する手順と、その際に直面する「現場ならではの注意点」を詳しく解説します。
読み終えるころには、手動でのファイルコピーによる展開手順を自信を持って設計できるようになります。
結論：更新済みPCからのコピーと横展開は「技術的に可能」
結論から言うと、Secure Bootの更新が完了したPCからファイルを抽出し、他のPCにコピーして手動で適用することは技術的に可能です。
同一アーキテクチャ（例：x64同士）である必要がある
ただし、コピー元とコピー先のPCのCPUアーキテクチャ（x64、ARM64など）が同一である必要があります。
一般的な社内PCであれば大半がx64環境ですが、まれにARM64端末などが混在している場合は、それぞれ別のコピー元を用意しなければなりません。
ただし、公式ファイルをダウンロードする方が推奨される理由
技術的にはコピー可能ですが、企業のセキュリティポリシーや管理の観点からは、Microsoft Updateカタログ等からダウンロードした「Microsoft公式の署名済みバイナリ」を直接配布する方が推奨されます。
PCからコピーしたファイルは、抽出の過程でファイルが破損したり、古いバージョンを誤ってコピーしたりする人的ミスが生じるリスクがあるためです。
更新済みPCからファイルをコピーして適用する具体的手順
どうしてもコピーによる横展開を行う必要がある場合の実践的な手順です。
手順1：更新済みPCの SecureBootUpdates からファイルを抽出する
すでにWindows Updateで最新のSecure Boot更新が適用されているPCから、必要なファイルをコピーします。
- 以下のパスを開きます。
C:\Windows\System32\SecureBootUpdates
- フォルダ内にある
dbxupdate.bin（または適用したいSecure Boot更新ファイル）をUSBメモリや社内共有フォルダにコピーします。
手順2：未適用PCにコピーし、PowerShellで適用コマンドを実行する
コピーしたファイルを対象PC（未適用PC）に配置し、管理者権限のPowerShellでインポート処理を行います。
# 一時的にファイルを C:\temp に配置したと仮定します。
# 適用前に、BitLockerによる保護を一時中断（サスペンド）します。
Suspend-BitLocker -MountPoint "C:" -RebootCount 1
# UEFIにDBX（無効化リスト）をインポートします。
Set-SecureBootUEFI -Name "dbx" -ContentFilePath "C:\temp\dbxupdate.bin"
手順3：適用後のSecure Boot状態を確認する
PCを再起動した後、無事に適用されたかをログなどで確認します。
Windowsイベントビューアーを開き、以下のイベントを確認します。
- ログ名: システム（System）
- ソース: TPM-WMI または HAL
- イベントID:
1796や1035などでSecure BootのDBX更新成功が記録されます。
コピー横展開で必ず発生する「現場の注意点」
ファイルをコピーして展開する運用では、以下のハードウェア依存のトラブルに注意する必要があります。
メーカーごとにUEFIの書き込みサイズ制限（容量不足エラー）がある
Secure BootのDBXは年々肥大化しており、特に数年前の古いPCでは、UEFI（NVRAM）の記憶容量上限に達してしまい、インポート時に以下のエラーが発生することがあります。
- PowerShellエラー:
0x80070057（パラメータが正しくありません、または容量不足）
この場合、ファイルをいくら正しくコピーしても適用できません。
メーカーが提供している最新のBIOS/UEFIアップデートを行うことで、NVRAMの領域が再確保され、適用可能になるケースが多いです。
万が一起動しなくなった場合の「回復手順」の用意
Secure Bootの無効化リストが更新されると、以前は起動できていたツールや古いリカバリディスク（起動ローダーの署名が失効しているもの）からPCを起動できなくなります。
障害対応時に古いUSBブートメディアなどを使っている場合は、それらも事前に最新版へ更新しておく必要があります。
まとめ
Secure Boot更新済みPCからファイルをコピーして横展開する方法は、オフライン環境などにおいて非常に有効な手段です。
本記事のポイントをまとめます。
- 同一アーキテクチャ間（x64同士など）であればファイルのコピー・適用は可能
- コピー適用時には BitLockerの中断 と PC再起動 が必要
- 古いPCでは UEFIの容量不足エラー が起きるためBIOS更新をセットで計画する
手順を踏めば安全に実行できますが、まずは社内の代表的な機種で数台のテスト適用を行い、BitLockerロックアウトや容量不足エラーが起きないことを確認してから全体へ展開しましょう。
免責規定
この記事で提供される情報は、一般的なガイダンスを目的としており、すべての環境やシステムでの動作を保証するものではありません。
OSのバージョンやリリースによっては、記載されている事が実行できない、または異なる結果をもたらす可能性があります。
また、会社所有のパソコン、スマホ、タブレットなどでは、ポリシーや権限によって実行できない場合があります。
この記事の情報を使用することによって生じる問題や結果について、筆者およびサイト管理者は責任を負いません。
すべての操作は自己責任で行ってください。
もし、記事の中で間違いやご指摘があればコメントを頂けると大変ありがたいです。
最後までお読みいただきありがとうございました。
またお会いしましょう！
コメント