UEFI 安全引导是一种安全标准，有助于确保您的 PC 仅使用该 PC 制造商信任的软件进行引导。对于某些虚拟机硬件版本和操作系统，您可以完全按照对物理计算机启用安全引导的方式来启用安全引导。

在支持 UEFI 安全引导的操作系统中，引导软件的每个部分都会进行签名，包括引导加载程序、操作系统内核以及操作系统驱动程序。虚拟机的默认配置包括多个代码签名证书。
  • 一个仅用于引导 Windows 的 Microsoft 证书。
  • 一个用于 Microsoft 签名的第三方代码（例如 Linux 引导加载程序）的 Microsoft 证书。
  • 一个仅用于在虚拟机内部引导 ESXi 的 VMware 证书。

虚拟机的默认配置包括一个用于在虚拟机内部对修改安全引导配置（包括安全引导撤消列表）的请求进行身份验证的证书，该证书是一个 Microsoft KEK（密钥交换密钥）证书。

几乎在所有情况下，均不需要替换现有证书。如果要替换证书，请参见 VMware 知识库系统。

对于使用 UEFI 安全引导的虚拟机，需要 VMware Tools 10.1 或更高版本。在 VMware Tools 的更高版本推出后，可以将这些虚拟机升级到该版本。

对于 Linux 虚拟机，安全引导模式不支持 VMware 主机客户机文件系统。先将 VMware 主机客户机文件系统从 VMware Tools 中移除，然后再启动安全引导。

注： 如果为某个虚拟机启用了安全引导，则只能在该虚拟机中加载经过签名的驱动程序。

前提条件

只有在满足所有必备条件的情况下，才能启用安全引导。如果不满足必备条件，则 vSphere Web Client 中将不显示该复选框。
  • 验证虚拟机操作系统和固件是否支持 UEFI 引导。
    • EFI 固件
    • 虚拟硬件版本 13 或更高版本。
    • 支持 UEFI 安全引导的操作系统。
    注： 不能将使用 BIOS 引导的虚拟机升级到使用 UEFI 引导的虚拟机。如果将已使用 UEFI 引导的虚拟机升级到支持 UEFI 安全引导的操作系统，则可以对该虚拟机启用安全引导。
  • 关闭虚拟机。如果虚拟机正在运行，则该复选框将灰显。

要对虚拟机启用或禁用 UEFI 安全引导，您需要拥有虚拟机.配置.设置特权。

过程

  1. 登录到 vSphere Web Client，然后选择虚拟机。
  2. 在编辑设置对话框中，打开引导选项，并确保固件设置为 EFI。
  3. 单击启用安全引导复选框，然后单击确定。
  4. 如果以后要禁用安全引导，可以再次单击该复选框。

结果

当虚拟机引导时，仅支持具有有效签名的组件。如果某个组件缺少签名或签名无效，则引导过程将停止。