Ubuntu 20.04 ISO安装时提示“Secure Boot not enabled”如何解决？

Question

在使用Ubuntu 20.04 ISO安装系统时，部分UEFI固件（尤其是较新品牌机或预装Windows的设备）会在启动界面显示“Secure Boot not enabled”警告（非错误），导致用户误以为无法继续安装。该提示仅说明当前Secure Boot处于禁用状态，并非安装失败——Ubuntu 20.04完全支持无Secure Boot环境安装，且默认内核含shim签名，兼容启用/禁用两种模式。常见误解是将其当作阻断性错误。实际解决方案有三：① 直接忽略提示，按F6或Esc跳过，正常进入Live环境安装；② 若需启用Secure Boot（如双系统与Windows共存），重启进UEFI设置（通常F2/F10/Del），开启Secure Boot并保存退出；③ 极少数OEM定制ISO（如Dell/HP厂商版）可能强制校验，此时建议改用官方ubuntu-20.04.6-desktop-amd64.iso。注意：禁用Secure Boot不会影响Ubuntu安全性，但启用后可增强启动链防护。

Answer 1

```html

一、现象层：识别“Secure Boot not enabled”警告的本质

在基于UEFI固件的现代设备（如2020年后出厂的Dell XPS、HP Spectre、Lenovo ThinkPad及预装Windows 10/11的OEM机型）上，使用官方Ubuntu 20.04.6 Desktop ISO启动时，GRUB引导界面常显示醒目的黄色提示：Secure Boot not enabled。该消息由shim引导加载器（v15.4+）主动检测并输出，非错误码（非EFI_ERROR），亦不触发EFI_BOOT_MANAGER终止流程。

二、机制层：Ubuntu 20.04的Secure Boot兼容性设计原理

• Ubuntu 20.04内核（5.4.x LTS）与initramfs均通过shim-signed包签名，签名证书由Microsoft UEFI CA背书，满足UEFI规范第2.8节“Valid Signature Database”要求；
• shim.efi作为第一级可信引导链组件，在Secure Boot启用时验证grubx64.efi签名，在禁用时直接跳过校验，实现双模无缝降级；
• 系统安装器（ubiquity）完全不依赖Secure Boot状态——其运行于Linux用户空间，与UEFI安全策略解耦。

三、诊断层：区分真问题与伪阻塞的实操判断法

观察项	Secure Boot禁用（正常）	真实Secure Boot故障（需干预）
启动日志	含shim: Secure Boot not enabled，后续出现GRUB loading...	卡在Failed to load image: Security Violation或黑屏无响应
按键响应	F6/Esc可进入GRUB菜单，Tab可编辑启动参数	键盘无响应，仅能硬重启

四、解决方案层：三层递进式处置策略

1. 零干预路径（推荐默认操作）：忽略警告，按<kbd>Esc</kbd>或<kbd>F6</kbd>跳过提示页，直接进入Live Session。验证命令：sudo mokutil --sb-state 返回 SecureBoot disabled 属预期状态；
2. 双系统协同路径：若主机已运行Windows且需共存引导（尤其使用BitLocker或Windows Fast Startup），需进入UEFI设置（典型键位：<kbd>F2</kbd>/<kbd>F10</kbd>/<kbd>Delete</kbd>），将Secure Boot设为Enabled，OS Type设为Other OS（避免Windows-only锁死），保存后重启；
3. OEM定制镜像规避路径：Dell PowerEdge BIOS v2.12.0+ 或 HP ProBook UEFI v3.15.0 强制校验厂商签名，此时应弃用dell-ubuntu-20.04.iso等定制镜像，改用官方ISO（SHA256: e7c7e5d9...f3a2）。

五、安全纵深分析：禁用Secure Boot对Ubuntu的实际影响

禁用Secure Boot不影响以下安全维度：用户态权限控制（SELinux/AppArmor）、磁盘加密（LUKS）、内核模块签名强制（CONFIG_MODULE_SIG_FORCE=n默认关闭）、以及所有运行时防护机制。其唯一弱化环节是启动链首环（从UEFI firmware → shim → grub → kernel）的完整性校验——但Ubuntu 20.04通过fwupd支持UEFI固件在线更新，且主流发行版已默认启用IMA (Integrity Measurement Architecture)提供运行时度量补偿。

六、流程图：Ubuntu 20.04 UEFI安装决策树

graph TD
  A[启动Ubuntu 20.04 ISO] --> B{显示 'Secure Boot not enabled' ?}
  B -->|是| C[按Esc/F6跳过 - 进入Live环境]
  B -->|否| D[检查是否卡死/报Security Violation]
  D -->|是| E[进入UEFI设置启用Secure Boot]
  D -->|否| F[正常安装]
  C --> G[执行sudo ubiquity -b]
  E --> H[保存设置并重启]
  H --> A

```