Secure Boot 与信创系统安装
Secure Boot（安全启动）由固件校验引导链上的每个环节签名，防止未签名代码在启动早期运行。部分机型和部分国产发行版的安装介质没有做签名适配，开启时无法引导，或者装好后第三方驱动（如某些 RAID 卡、显卡驱动）加载被拒。于是现场常见做法是安装前在固件设置里关掉它。要注意这是降低引导安全级别的操作，应在装完后按单位安全基线重新评估是否需要开启及如何做签名方案。
基本信息
| 影响 | 安装介质无法引导、未签名第三方驱动无法加载 |
|---|---|
| 处理入口 | 固件设置（BIOS/UEFI）→ Security → Secure Boot → Disabled |
| 服务器差异 | 部分国产服务器在「启动设置」或「安全配置」中开关 |
| 系统侧查看 | mokutil --sb-state（需装 mokutil） |
| 权限要求 | 开关在固件层，操作系统内改不了 |
典型使用场景
- 新机装机：安装介质引导被拒时确认是否 Secure Boot 未关
- 驱动加载失败：第三方网卡或 RAID 驱动报签名错误
- 合规评估：安全基线要求开启时，评估签名引导与驱动方案
- 批量装机：交付脚本无法触及固件，需在装机流程里固定这一步
- 问题定位：区分「引导被拒」与「介质本身损坏」
系统侧查看状态
系统侧查看状态
mokutil --sb-state 2>/dev/null || echo 'mokutil 未安装，可先装后查'
dmesg | grep -i 'secure.*boot' | head # 看内核侧相关记录
ls /sys/firmware/efi 2>/dev/null && echo 'UEFI 引导' || echo 'Legacy 引导'
[ -d /sys/firmware/efi/efivars ] && echo '存在 EFI 变量，可确认启动模式'
systemd-detect-virt 2>/dev/null # 虚拟化环境下固件行为不同，先确认现场判断对照
| 现象 | 可能原因 | 处理方向 |
|---|---|---|
| 介质无法引导 | Secure Boot 校验未通过 | 固件中关闭后重试 |
| 引导后立即停在签名错误 | 引导程序未签名 | 关闭 Secure Boot 或使用签名版本 |
| 驱动加载失败 | 第三方驱动未签名 | 关闭或使用签名驱动 |
| 只有部分机型装不上 | 机型固件实现差异 | 逐机型记录固件版本与设置位置 |
| 关掉后仍装不上 | 介质损坏或引导模式不匹配 | 校验介质、统一 UEFI/Legacy 模式 |
关闭 Secure Boot 属于降低引导安全的操作，按本单位安全基线的评审结论执行；如基线要求开启，需要有签名的引导与驱动方案。
固件设置通常在装机流程中一次性完成并记录，装完后不要遗留在「无人知晓是否关过」的状态，验收时逐台确认。