如何在没有问题的情况下启用安全启动？

Question

我在这里读到启用安全启动是必不可少的：

但是我发现当我启用安全启动时，它会更改它，以便系统可以使用 UEFI 启动而不是旧版启动，它还禁用了 CMS。但是，当我尝试启动我的系统时，我得到了 3 个不同的启动项，我可以从这些启动项中启动：

- ATAPI CD1: PLDS DVD-RW DS8A8SH
- ATA HDD0: TOSHIBA MK5065GSX
> PCI LAN
    - LAN(3C970E7102F6) -IPv4
    - LAN(3C970E7102F6) -IPv6

但是无论我选择哪个，我只是回到那个屏幕并且无法启动，然后唯一的方法是转到另一个选项卡并选择Setup，返回到 BIOS，并禁用 Secure Boot，然后说两个 Legacy和 UEFI 在设置选项中受支持（因为仅禁用安全启动不起作用）。

所以我假设我当前唯一的操作系统 Ubuntu GNOME 15.04（64 位）不支持 UEFI 引导，并且只支持 Legacy。那么我能做些什么来启用安全启动吗？为什么它只支持 Legacy 呢？顺便提一下，当我使用 Windows 7 时（很久以前在遥远的星系中......），这也不起作用。

Answer 1

引导加载程序是为计算机固件编写的。这类似于为特定操作系统编写的软件。因此，您不会“将...引导加载程序转换为 UEFI”；这就像“将邮件客户端转换为 Windows”或“将照片编辑器转换为 Linux”。相反，您为所需的环境安装一个新程序。在某些情况下，新程序可能与旧程序同名（如 Thunderbird 或 GIMP，它们可用于 Windows 和 Linux；或 GRUB 2，可用于 BIOS 和 EFI）。在其他情况下，有特定于操作系统或固件的程序，例如efibootmgr（特定于 Linux 的工具）或 rEFInd（特定于 EFI 的引导管理器）。

如果您的计算机当前以 BIOS/CSM/legacy 模式启动，那么要以 EFI 模式启动，您必须执行以下操作：

• 将磁盘从主引导记录 (MBR)转换为GUID 分区表 (GPT)。这一步可能不是严格要求的，但一些 EFI 可能很麻烦，使用 MBR 可能需要将引导加载程序安装到后备文件名 ( EFI/BOOT/bootx64.efi)，大多数工具默认情况下不会这样做。因此，需要 MBR 到 GPT 的转换。如此处所述，这可以通过我的gdisk程序（默认安装在 Ubuntu 中）轻松完成。
• 创建EFI 系统分区 (ESP)。这是 EFI 引导加载程序所在的分区。它在 BIOS 中没有确切的等效项。您可能必须使用 GParted 来调整至少一个分区的大小，以便为 ESP 腾出空间。我建议将其大小设为 550MiB。尽管 ESP 通常是磁盘上的第一个或第二个分区，但调整分区大小的现实意味着，如果您要从 BIOS/MBR 转换为 EFI/GPT ，将其作为磁盘上的最后一个分区可能会更好。
• 安装 EFI 引导加载程序。GRUB 2 是传统的引导加载程序，它可以通过在 EFI 模式下引导 Ubuntu live CD并运行引导修复来相当自动地安装。启动修复还应该设置为使用安全启动。大多数其他引导加载程序需要跳过一些额外的环节才能使用安全引导，尽管有时这还不错——如果它检测到 Shim（支持安全引导的最常见的 Linux 工具），我自己的rEFInd将自行设置使用安全启动。
• 重新启动并希望一切正常。所有这一切都可能出现任何问题。如果您遇到问题，最好的办法是在此处和其他地方搜索解决方案，如果没有找到，请在此处或其他论坛上发布新问题。

请注意，在 Linux 安装中，BIOS 模式和 EFI 模式安装之间唯一真正关键的软件区别是引导加载程序。因此，从 BIOS 模式切换到 EFI 模式启动不需要额外的软件更改。（在实践中，安装 EFI 模式的 GRUB 可能会引入一些其他相关的包，例如efibootmgr。这些确实很有帮助，但对启动来说并不重要。）内核、C 库、shell、GUI 或与 BIOS 相比，EFI 下所需的其他核心工具。正如我上面写的，分区需要调整，但这不需要任何软件更改。安全启动需要 Shim、PreLoader 或特殊的自定义设置；并且根据引导加载程序，可能需要签名的内核。

正如您可能从中了解到的那样，Ubuntu 应该可以与安全启动一起正常工作。（不过，由于挑剔的 EFI，偶尔会有例外。此外，使用安全启动可以更容易地错误配置某些东西，从而使其中断。）在安全启动处于活动状态的情况下进行全新安装时，它应该都非常透明。当您从现有的 BIOS 模式安装进行转换时，您更有可能遇到问题，因为转换工具并不真正存在（除非您计算引导修复，它只完成部分工作）。因此，您最终会做更多的手动操作，这意味着有更多的空间会错过一步或犯错。

有关 Linux 和安全启动的更多信息，请阅读我关于该主题的主页，其中涵盖了基本原理和典型配置。如果您想真正使用自定义安全启动配置，请阅读我关于完全控制安全启动的页面。这描述了如何将系统配置为在安全启动处于活动状态但没有 Shim 或 PreLoader 的情况下启动，并以一种使您能够锁定 Microsoft 工具的方式（如果您愿意）。