ソフトウェア TPM を有効にして KVM ゲストを UEFI セキュアブートでインストール

表題の通りですが、Debian でソフトウェア TPM を有効にして KVM ゲストを UEFI セキュアブートでインストールできたので備忘録として挙げておくことにしました。
パッケージの追加は以下の通りです。

apt-get install ovmf swtpm swtpm-tools

次にファイルパーミッションの設定をします。Debian の場合、こうしておかないとTPMを有効にしたKVMのセキュアブートができませんでした。

sudo chown -R tss:root /var/lib/swtpm-localca

2025/05/19追記：非ルートユーザでインストールする場合、これに加えて実行するユーザが YourUserName とすると、以下のようにして作業を続けてください。

su - YourUserName

続いてkvmゲストのインストールを行います。以下、Debian12 ゲストの場合です。
2025/05/28追記：tpm を設定する行（--tpm emulator,model=tpm-crb,version=2.0）が抜けていましたので追記しました。

virt-install \
--virt-type kvm \
--name kvm92c \
--vcpus=8 \
--memory 4096 \
--disk /srv/images/kvm92c.img,size=64 \
--graphics none \
--network=bridge:virbr0 \
--arch=x86_64 --os-variant debian11 \
--location https://deb.debian.org/debian/dists/bookworm/main/installer-amd64/ \
--boot loader=/usr/share/OVMF/OVMF_CODE.secboot.fd,loader_ro=yes,loader_type=pflash,nvram_template=/usr/share/OVMF/OVMF_VARS.ms.fd \
--tpm emulator,model=tpm-crb,version=2.0 \
--console pty,target_type=serial \
--extra-args "console=ttyS0,115200n1"

以下 alma linux 9.5 ゲストの場合です。

virt-install \
--name=kvm92a \
--vcpus=8 \
--memory=4096 \
--disk /srv/images/kvm92a.img,size=64 \
--graphics none \
--network=bridge:virbr0 \
--console pty,target_type=serial \
--arch=x86_64 \
--os-variant almalinux9 \
--location https://ftp.riken.jp/Linux/almalinux/9.5/BaseOS/x86_64/os/ \
--boot loader=/usr/share/OVMF/OVMF_CODE.secboot.fd,loader_ro=yes,loader_type=pflash,nvram_template=/usr/share/OVMF/OVMF_VARS.ms.fd \
--tpm emulator,model=tpm-crb,version=2.0 \
--extra-args 'console=ttyS0,115200n1'

2025/06/01追記：nvramを使用しているので、ゲストを削除したい場合は、以下のようにします。

virsh undefine --nvram kvm92a

2025/06/01追記
上述はシリアルのみの接続ですが、vncでも接続できるようにするには --graphics none を以下のように変更してください。

--graphics vnc,port=5901,listen=0.0.0.0,keymap=ja,password=p@ssW0rd

この場合だと、ホストの任意のIPv4アドレスに対し、5901ポートで接続できます。なお、graphics 設定が有りの場合、

ドメインは動作中です。インストールが続いているものと思われます。
インストールが完了するまで待機しています。

と表示されますが、vncで接続できます。
インストールが完了し再起動すると以下のメッセージがでるので 再接続してください。

ドメインがシャットダウンしました。続けています。
仮想マシンの作成が完了し＜ました。
ゲストを再起動しています

なお serialを有効にしていても vncを有効にしてインストールした場合、少なくとも Debian 13/Trixie の場合は、grubでシリアル関連の設定をしないとシリアルコンソールがつかえませんでした。
2025/06/01:追記以上

TPM を含めたセキュアブートの kvm 作成についてはあまり見かけないので、挙げてみました。
今回は以上です。それでは。