Linux启用Secure Boot需建立PK→KEK→db四级签名信任链，非简单开关操作：须确认UEFI模式、清空密钥切换至Setup Mode，再签名bootloader（如grubx64.efi）和内核等关键EFI组件，主流发行版提供自动化工具（如Ubuntu自动部署shim、Arch用sbctl）。
Linux 系统启用 Secure Boot 不是“开个开关”就能完事，它本质是一套基于 UEFI 的签名验证链：固件只运行经过可信密钥签名的 EFI 可执行程序（如 bootloader、内核），任何未签名或签名无效的组件都会被拒之门外。关键在于建立并管理好这串信任链——从平台密钥（PK）到启动程序签名，缺一不可。
先确认硬件和系统基础
Secure Boot 是 UEFI 功能，BIOS 模式下无法启用。请确保：
- 你的电脑使用 UEFI 启动（不是 Legacy/CSM 模式），可通过
ls /sys/firmware/efi命令验证，有输出即为 UEFI； - 当前 Linux 发行版支持 Secure Boot，主流发行版如 Ubuntu、Fedora、Debian 默认兼容；Arch Linux 需额外配置；
- Windows 若共存，建议 BitLocker 已暂停或解密，避免密钥冲突导致引导失败；
- 进入 UEFI 设置界面（开机时按 F2/F10/Del 等），确认 Secure Boot 当前为 Disabled，且能清空密钥（切换至 Setup Mode）。
主流发行版的一键启用方式
多数现代发行版已封装流程，无需手动签所有文件：
-
Ubuntu / Debian：安装时勾选“安装第三方驱动/启用安全启动”，系统会自动部署
shim（微软签名的中间引导器）+grub-efi+kernel；重启后 BIOS 中开启 Secure Boot 即可； - Fedora：默认启用，内核与 bootloader 均由 Red Hat 使用微软认证的密钥签名，直接在 UEFI 中开启即可；
-
Arch Linux：需借助
sbctl工具链。安装后运行sbctl create-keys生成密钥对，再用sbctl enroll-keys将 PK/KEK/db 导入固件（需重启进 MOK 管理界面确认），最后sbctl sign-all签名/boot/efi/EFI/下所有 EFI 文件（包括grubx64.efi和内核）。
签名核心组件的关键点
即使发行版帮你做了大部分工作，理解哪些文件必须签名能快速排障：
-
Bootloader：如
grubx64.efi（x86_64）、shimx64.efi，必须由固件信任的密钥（如微软第三方 CA 或你自建的 db）签名； -
Linux 内核：UEFI 模式下若使用
efistub直接启动（不经过 GRUB），vmlinuz必须单独签名；若经 GRUB 加载，则 GRUB 本身可信即可，内核由 GRUB 在运行时加载，不直接受 Secure Boot 验证； -
initramfs 一般无需签名：它作为内核参数传入，不以独立 EFI 映像形式加载；但若使用
systemd-boot并启用uki（unified kernel image），整个 UKI 文件需整体签名； - 签名命令示例（使用 sbsigntools）：
sbsign --key PK.key --cert PK.crt --output grubx64.efi.signed grubx64.efi。
常见问题与应对
启用后无法启动？别急着重装，先看提示：
-
“Verification failed” 或黑屏卡住：大概率是某个 EFI 文件未签名，或签名密钥未正确导入 db；用 live USB 进入系统，检查
/boot/efi/EFI/*/下所有.efi文件是否都已签名； -
GRUB 菜单不出现，直接进 Windows：说明 Windows Boot Manager 优先级更高；进 UEFI 启动项设置，把
ubuntu或grub移至首位； -
更新内核后启动失败：新内核未自动签名；Ubuntu/Debian 通常通过
dkms和secureboot-db包自动处理；Arch 用户需每次运行sbctl sign-all； - 误删密钥变砖？ 大多数主板支持恢复出厂密钥（Reset to Setup Mode 或 Load Default Keys），参考主板手册操作，一般需在 UEFI 中找 “Clear Secure Boot Keys” 或类似选项。
