UEFI 安全引导是一种安全标准,有助于确保您的 PC 仅使用该 PC 制造商信任的软件进行引导。对于某些虚拟机硬件版本和操作系统,您可以完全按照对物理计算机启用安全引导的方式来启用安全引导。

关于此任务

在支持 UEFI 安全引导的操作系统中,引导软件的每个部分都会进行签名,包括引导加载程序、操作系统内核以及操作系统驱动程序。虚拟机的默认配置包括多个代码签名证书。

  • 一个仅用于引导 Windows 的 Microsoft 证书。

  • 一个用于 Microsoft 签名的第三方代码(例如 Linux 引导加载程序)的 Microsoft 证书。

  • 一个仅用于在虚拟机内部引导 ESXi的 VMware 证书。

虚拟机的默认配置包括一个用于在虚拟机内部对修改安全引导配置(包括安全引导撤消列表)的请求进行身份验证的证书,该证书是一个 Microsoft KEK(密钥交换密钥)证书。

几乎在所有情况下,均不需要替换现有证书。如果要替换证书,请参见 VMware 知识库系统。

对于使用 UEFI 安全引导的虚拟机,需要 VMware Tools 10.1 或更高版本。在 VMware Tools 的更高版本推出后,可以将这些虚拟机升级到该版本。

对于 Linux 虚拟机,安全引导模式不支持 VMware 主机客户机文件系统。先将 VMware 主机客户机文件系统从 VMware Tools 中移除,然后再启动安全引导。

注:

如果为某个虚拟机启用了安全引导,则只能在该虚拟机中加载经过签名的驱动程序。

先决条件

只有在满足所有必备条件的情况下,才能启用安全引导。如果不满足必备条件,则 vSphere Client中将不显示该复选框。

  • 验证虚拟机操作系统和固件是否支持 UEFI 引导。

    • EFI 固件

    • 虚拟硬件版本 13 或更高版本。

    • 支持 UEFI 安全引导的操作系统。

    注:

    不能将使用 BIOS 引导的虚拟机升级到使用 UEFI 引导的虚拟机。如果将已使用 UEFI 引导的虚拟机升级到支持 UEFI 安全引导的操作系统,则可以对该虚拟机启用安全引导。

  • 关闭虚拟机。如果虚拟机正在运行,则该复选框将灰显。

过程

  1. 右键单击清单中的虚拟机,然后选择编辑设置
  2. 单击虚拟机选项选项卡,然后展开引导选项
  3. 引导选项下,请确保该固件设置为 EFI
  4. 选择任务。选择安全引导复选框,以启用安全引导。然后单击确定
    • 选择安全引导复选框,以启用安全引导。

    • 取消选中安全引导复选框,以禁用安全引导。

结果

当虚拟机引导时,仅支持具有有效签名的组件。如果某个组件缺少签名或签名无效,则引导过程将停止。