VMware虚拟机启用Secure Boot后无法启动系统？

Question

在使用VMware Workstation或ESXi创建的虚拟机中，启用Secure Boot后系统无法启动，是常见的UEFI安全启动兼容性问题。典型表现为启动时卡在黑屏，提示“Operating System not loaded”或“Invalid signature detected”。该问题多因客户操作系统镜像不支持Secure Boot签名验证所致，如自定义ISO、部分Linux发行版未签署有效PXE启动签名。此外，虚拟机固件类型未正确设置为UEFI而非BIOS，也会导致启用Secure Boot失败。解决方法包括：确认使用支持Secure Boot的操作系统版本，使用标准安装介质，检查虚拟机设置中“固件类型”为UEFI，并确保VMware Tools及EFI固件为最新版本。临时禁用Secure Boot可作为排查手段，但生产环境建议恢复启用以保障启动安全性。

Answer 1

1. 问题现象与初步识别

在使用VMware Workstation或ESXi创建的虚拟机中，启用Secure Boot后系统无法正常启动，是当前企业级虚拟化环境中常见的UEFI安全启动兼容性问题。典型表现包括：

• 启动过程中卡在黑屏界面
• 显示错误信息：“Operating System not loaded”
• 提示“Invalid signature detected”或“Security Violation”
• GRUB或Windows Boot Manager无法加载

这些问题通常出现在自定义操作系统镜像、非标准Linux发行版（如某些社区版Ubuntu、CentOS Stream变种）或手动打包的ISO文件场景下。根本原因多为引导加载程序（bootloader）未经过UEFI签名认证，导致Secure Boot机制拒绝执行。

2. Secure Boot 工作机制解析

Secure Boot 是UEFI规范的一部分，旨在防止未经授权的代码在系统启动阶段运行。其核心流程如下：

1. 固件初始化时加载内置的PK（Platform Key）、KEK（Key Exchange Key）和db（Authorized Signatures Database）
2. 验证EFI应用程序（如shim、GRUB、Windows Boot Manager）的数字签名是否存在于白名单中
3. 若签名无效或缺失，则终止启动并报错“Invalid signature detected”
4. 仅允许由微软第三方CA或Linux发行商签署的有效二进制文件执行

在VMware平台中，ESXi和Workstation均模拟了标准的UEFI固件环境（如OVMF），但其默认策略依赖于上游签名数据库（Microsoft UEFI CA等）。因此，任何未经认证的操作系统镜像都将被拦截。

3. 常见故障成因分类表

类别	具体原因	影响范围	检测方式
镜像兼容性	自定义ISO未签署EFI二进制	所有Linux发行版	启动日志查看签名失败
固件配置	虚拟机设置为BIOS而非UEFI	所有客户机OS	vSphere Client中检查固件类型
工具版本	VMware Tools或OVMF固件过旧	旧版ESXi/Workstation	esxcli system settings kernel get
签名策略	使用非WHQL认证驱动	Windows Server定制镜像	BCD编辑器分析启动项
网络启动	PXE镜像无SHIM签名支持	自动化部署环境	Wireshark捕获TFTP流量
密钥管理	自定义PK/db未导入OVMF	高安全等级环境	OVMF_VARS.fd挂载检查
硬件模拟	NVMe控制器不兼容UEFI驱动	高性能存储场景	VM高级参数log=TRUE
加密系统	LUKS+Secure Boot密钥链断裂	RHEL/CentOS加密安装	initramfs调试模式
容器宿主	CoreOS/Fedora CoreOS自动更新破坏签名	Kubernetes节点	rpm-ostree status
嵌套虚拟化	Nested VM启用Secure Boot但父层不支持	开发测试环境	cpuMask检查hvRelaxed

4. 排查与诊断流程图

```mermaid
graph TD
    A[虚拟机无法启动] --> B{是否提示'Invalid signature'?}
    B -- 是 --> C[检查Secure Boot是否启用]
    B -- 否 --> D[转向传统启动问题排查]
    C --> E[确认固件类型为UEFI]
    E --> F[验证ISO是否来自官方源]
    F --> G[检查shim.efi和grubx64.efi签名]
    G --> H[使用efitools或sigcheck工具验证]
    H --> I{签名有效?}
    I -- 否 --> J[更换标准安装介质]
    I -- 是 --> K[更新VMware Tools及OVMF固件]
    J --> L[临时禁用Secure Boot进行测试]
    L --> M[成功启动→重建签名镜像]
    K --> N[重新启用Secure Boot验证]
```

5. 解决方案实施路径

针对上述问题，建议采取分阶段解决策略：

1. 基础验证：进入VM设置，确认“固件类型”已设为“UEFI”，而非“BIOS”
2. 介质校验：优先使用官方发布的ISO（如Ubuntu LTS、RHEL 8+、Windows 10/11 ISO）
3. 工具升级：确保ESXi主机运行最新补丁，Workstation Pro ≥ 17.0，OVMF包为最新版
4. 签名检测：在Linux环境下使用sbverify --list <file>.efi检查二进制签名状态
5. 临时绕行：在vSphere Web Client中关闭Secure Boot以完成初始安装
6. 生产加固：安装完成后重新启用Secure Boot，并通过mokutil --sb-state验证状态
7. 自定义构建：若需使用私有镜像，应使用shim-signed项目签署引导程序
8. 批量管理：结合PowerCLI脚本自动化检查数百台VM的Secure Boot状态

例如，使用PowerCLI批量查询ESXi上所有虚拟机的Secure Boot状态：

Get-VM |
Select Name,
@{N="Firmware";E{(Get-View $_.ExtensionData.Config.Hardware).Firmware}},
@{N="SecureBoot";E={(Get-View $_.ExtensionData.Config.BootOptions).SecureBootEnabled}} |
Export-Csv -Path "SecureBoot_Report.csv" -NoTypeInformation