UEFI 安全引导是一种安全标准,有助于确保您的 PC 仅使用该 PC 制造商信任的软件进行引导。对于某些虚拟机硬件版本和操作系统,您可以完全按照对物理计算机启用安全引导的方式来启用安全引导。

关于此任务

在支持 UEFI 安全引导的操作系统中,引导软件的每个部分都会进行签名,包括引导加载程序、操作系统内核以及操作系统驱动程序。虚拟机的默认配置包括多个代码签名证书。

  • 一个仅用于引导 Windows 的 Microsoft 证书。

  • 一个用于 Microsoft 签名的第三方代码(例如 Linux 引导加载程序)的 Microsoft 证书。

  • 一个仅用于在虚拟机内部引导 ESXi 的 VMware 证书。

虚拟机的默认配置包括一个用于在虚拟机内部对修改安全引导配置(包括安全引导撤消列表)的请求进行身份验证的证书,该证书是一个 Microsoft KEK(密钥交换密钥)证书。

几乎在所有情况下,均不需要替换现有证书。如果要替换证书,请参见 VMware 知识库系统。

对于使用 UEFI 安全引导的虚拟机,需要 VMware Tools 10.1 或更高版本。在 VMware Tools 的更高版本推出后,可以将这些虚拟机升级到该版本。

对于 Linux 虚拟机,安全引导模式不支持 VMware 主机客户机文件系统。先将 VMware 主机客户机文件系统从 VMware Tools 中移除,然后再启动安全引导。

注:

如果为某个虚拟机启用了安全引导,则只能在该虚拟机中加载经过签名的驱动程序。

先决条件

只有在满足所有必备条件的情况下,才能启用安全引导。如果不满足必备条件,则 vSphere Web Client 中将不显示该复选框。

  • 验证虚拟机操作系统和固件是否支持 UEFI 引导。

    • EFI 固件

    • 虚拟硬件版本 13 或更高版本。

    • 支持 UEFI 安全引导的操作系统。

    注:

    不能将使用 BIOS 引导的虚拟机升级到使用 UEFI 引导的虚拟机。如果将已使用 UEFI 引导的虚拟机升级到支持 UEFI 安全引导的操作系统,则可以对该虚拟机启用安全引导。

  • 关闭虚拟机。如果虚拟机正在运行,则该复选框将灰显。

要对虚拟机启用或禁用 UEFI 安全引导,您需要拥有虚拟机.配置.设置特权。

过程

  1. 登录到 vSphere Web Client,然后选择虚拟机。
  2. 编辑设置对话框中,打开引导选项,并确保固件设置为 EFI
  3. 单击启用安全引导复选框,然后单击确定
  4. 如果以后要禁用安全引导,可以再次单击该复选框。

结果

当虚拟机引导时,仅支持具有有效签名的组件。如果某个组件缺少签名或签名无效,则引导过程将停止。