麒麟BIOS每次启动自动生成kylin条目如何禁用？

Question

问题：在使用搭载麒麟BIOS的国产化设备时，系统每次启动都会自动在启动项中生成“kylin”条目，导致启动菜单冗余甚至引发误引导。该行为多见于安装Kylin操作系统后重新配置UEFI启动项的场景。尽管尝试通过efibootmgr删除或禁用该条目，重启后仍被BIOS自动重建，影响双系统或多系统环境的正常切换。请问如何从BIOS层面或系统配置中彻底禁用麒麟BIOS自动添加kylin启动条目的机制？是否存在相关固件设置、策略开关或内核参数可阻止此行为？

Answer 1

彻底禁用麒麟BIOS自动添加“kylin”启动条目的技术方案

1. 问题背景与现象描述

在国产化设备中，搭载麒麟（Kylin）定制BIOS的主板普遍存在一个行为：每次系统启动时，UEFI固件会自动检测并重建名为“kylin”的启动项。该行为通常出现在安装了Kylin操作系统后，即使用户通过efibootmgr -b XXXX -B删除该条目，重启后仍被BIOS重新生成。

此机制虽旨在保障系统可引导性，但在双系统或多系统环境中极易造成启动菜单冗余、误选引导路径，甚至覆盖用户手动设置的默认启动项。

2. 技术原理分析

• UEFI启动管理机制：UEFI BIOS遵循EFI启动规范，在每次POST过程中扫描ESP（EFI System Partition）中的.efi文件，并依据OEM策略决定是否注册新启动项。
• 麒麟BIOS的特殊逻辑：部分国产主板厂商（如长城、同方、联想昭阳等）在麒麟BIOS中嵌入了“系统守护”模块，主动监测/EFI/kylin/shimx64.efi或grubx64.efi的存在，并强制注册为“kylin”启动项。
• efibootmgr的局限性：该工具仅操作NVRAM中的启动变量，无法阻止BIOS层面的自动探测与注册行为。

3. 常见排查手段及其局限性

方法	操作命令/步骤	是否有效	原因说明
使用efibootmgr删除	efibootmgr -b 0010 -B	❌ 临时有效	BIOS下次启动重新扫描并创建
修改ESP中文件名	重命名shimx64.efi → shimx64.bak	⚠️ 风险高	可能导致Secure Boot失败
清除整个ESP分区	格式化/EFI目录	❌ 不可行	破坏所有系统引导能力
禁用Fast Boot	BIOS设置中关闭Fast Boot	✅ 可能缓解	某些版本BIOS减少自动扫描频率

4. 深层解决方案：从固件到系统配置

4.1 BIOS层面策略开关（推荐优先尝试）

部分麒麟BIOS版本提供隐藏或非标准选项用于控制自动注册行为：

1. 开机进入BIOS Setup（通常按F2或Del）
2. 切换至Advanced Mode
3. 查找以下可能存在的选项：
   • OS Optimization → Custom
   • Boot Option Priorities → Edit Boot Order
   • Quick Boot Policy → Disable Auto-Entry Creation（少数型号存在）
4. 将“Auto Add OS Entry”或“Kylin Entry Protection”设为Disabled
5. 保存退出（F10）

4.2 UEFI固件策略干预（需厂商支持）

若BIOS无显式开关，可尝试以下进阶方式：

# 查看当前启动项
efibootmgr -v

# 记录kylin条目的Boot####编号（如Boot0010）
# 尝试清空其执行路径（需root权限）
echo -n "" > /sys/firmware/efi/efivars/Boot0010-...

# 注意：此操作风险极高，可能导致无法启动
# 建议先备份efivars：
mkdir /backup-efivars && cp /sys/firmware/efi/efivars/* /backup-efivars/

4.3 内核参数与initramfs干预

通过修改内核启动参数抑制特定服务加载：

quiet splash init=/bin/bash -b kylin_disable_auto_entry

在/etc/default/grub中添加自定义hook：

GRUB_CMDLINE_LINUX="efi_no_storage_redir=1"
# 此参数可阻止某些OEM固件对NVRAM的写入
# 更新配置：
update-grub && update-initramfs -u

5. 替代性架构设计建议

对于长期运维场景，建议采用以下策略规避问题：

graph TD A[多系统部署] --> B{是否共用ESP?} B -- 是 --> C[麒麟BIOS自动注入kylin条目] B -- 否 --> D[各系统独立ESP分区] D --> E[物理隔离引导文件] E --> F[完全避免交叉干扰] C --> G[启用Secure Boot + 自定义PK] G --> H[锁定启动项白名单]

6. 厂商协作与固件升级路径

鉴于该行为属于OEM定制逻辑，根本解决依赖于：

• 向主板厂商提交工单，索取“Disable Auto-Kylin-Entry”功能的BIOS补丁
• 确认是否支持AMI Aptio V的Setup Variable Hook机制进行策略禁用
• 申请开启“Compliance Mode”以符合标准UEFI行为
• 关注统信、麒麟社区发布的BIOS更新公告，例如UOS-BIOS v2.3.7已修复类似问题