Ubuntu 24 LTSでTPMベースのハードウェアFDE

タイトルの通り。MacからThinkPadに乗り換えたので、OSを入れ替えてみたくなり、挑戦したらハマった。けど無事できたし、問題なく動いた。

重要
この記事の中身はデータを全部消し飛ばす前提でやってます。あらかじめデータはバックアップし、Windowsの回復ドライブを作ることを薦めます。この記事の内容が間違っている可能性もあります。コンピュータの重要な部分を色々いじるので、最悪コンピュータが壊れたりしても私は責任を持てません！自己責任でお願いします！特にAbsoluteナントカみたいなハードウェアの深いレベルに絡んでるっぽいセキュリティソリューションは一旦無効にすると有効に戻せない不可逆的な変更ができる模様なので、慎重に判断してください。もし自己責任で行う場合も、一旦記事の最後まで読んでから実行することをお勧めします。

ぱそこん: ThinkPad T14s Gen5(めっちゃ最新のやつなんだ！)

1. Ubuntuのイメージをダウンロード
2. Rufusで焼く

ここまではOKだと思う、ここからがハマる

3. Secure Bootはオフにしない、最新のUbuntuはSecure Boot対応の模様
   → 普通Linuxを入れる時はSecure Bootをオフにすると思うので、かなりハマりに感じた。でもよく考えたらインストーラもほぼ普通のUbuntuっぽいし、インストーラだけSecure Boot対応じゃないってことはないよなあ…と後になって気づいた(ここの理解は怪しいので推測は違うかも)。
   → もちろんSecure Bootオフでもインストールできるが、ハードウェアFDEが選べない
   → Secure Bootはオンのまま、UEFIから3rd partyのSecure Bootを受け入れる設定をオンにしておく必要がある(ここがオフのままだとエラーになるので、Secure Bootに対応してないと勘違いしがち)

4. ここから先は普通に進めるだけ。場合によってはAbsoluteナントカってやつを無効にしとかないと、インストール後の再起動のタイミング(まだバックアップキーを保存してないし、そもそもできない)でバックアップキーを求められてしまいダメ。Absoluteナントカは不可逆的な無効化の設定もあるようなので、間違って無効化して有効に戻せない、みたいな可能性がある。多分一時的な無効化と、完全かつ不可逆的な無効化があり、私は前者を使いました。ただ、この理解が実は間違ってる可能性もあります。自己責任でお願いします。

5. もしかしたらTPMが別のOS(Windows)にロックされてる、みたいなエラーがあるかも。私はとりあえずUEFIごと初期化してなんか解決しました(TPMあんまり理解してない…)

後日談

標準のサウンドカードがうまく認識されない問題と、外部ディスプレイに繋いだタイミングで稀に表示が完全に出なくなる問題(強制的に再起動したら治る)があり、それぞれ

• USB接続のDACやBluetoothを使う
• 外部ディスプレイに止まったらまずいタイミングで繋がない

で一応対処できたけど、ちょっと不便なのと、治す自信がない(というか治っても、再発した時にすぐに治せないとメインのコンピュータとして困る)ということにより、先述の回復ドライブからWindowsに戻りました…WSLは非常によくできてるし、Windowsも悪くないかも。ただ、やはりフォントのレンダリングはUbuntu(Gnome)環境の方が綺麗だと思う。別にデスクトップコンピュータが手に入ったらUbuntuにしようかなあ…(ちなみにここには書ききれてない細かい知見なども見つけたけど、書き始めるとキリがないのでまたいつか)
あと、ハードウェアFDE自体は非常に安定しているように感じました。特にそれ関係で起動しないとかは一週間満たないくらい使ったけど一度もなかった。