UEFI 安全引导是一种安全标准，有助于确保您的 PC 仅使用该 PC 制造商信任的软件进行引导。对于某些虚拟机硬件版本和操作系统，您可以完全按照对物理计算机启用安全引导的方式来启用安全引导。

在支持 UEFI 安全引导的操作系统中，引导软件的每个部分都会进行签名，包括引导加载程序、操作系统内核以及操作系统驱动程序。虚拟机的默认配置包括多个代码签名证书。
  • 一个仅用于引导 Windows 的 Microsoft 证书。
  • 一个用于 Microsoft 签名的第三方代码（例如 Linux 引导加载程序）的 Microsoft 证书。
  • 一个仅用于在虚拟机内部引导 ESXi 的 VMware 证书。

虚拟机的默认配置包括一个用于在虚拟机内部对修改安全引导配置（包括安全引导撤消列表）的请求进行身份验证的证书，该证书是一个 Microsoft KEK（密钥交换密钥）证书。

几乎在所有情况下，均不需要替换现有证书。如果要替换证书，请参见 VMware 知识库系统。

对于使用 UEFI 安全引导的虚拟机，需要 VMware Tools 10.1 或更高版本。在 VMware Tools 的更高版本推出后，可以将这些虚拟机升级到该版本。

对于 Linux 虚拟机，安全引导模式不支持 VMware 主机客户机文件系统。先将 VMware 主机客户机文件系统从 VMware Tools 中移除，然后再启动安全引导。

注： 如果为某个虚拟机启用了安全引导，则只能在该虚拟机中加载经过签名的驱动程序。

此任务介绍了如何使用 vSphere Client 为虚拟机启用和禁用安全引导。此外，还可以编写脚本来管理虚拟机设置。例如，可以使用以下 PowerCLI 代码自动将虚拟机固件由 BIOS 更改为 EFI： 

$vm = Get-VM TestVM

$spec = New-Object VMware.Vim.VirtualMachineConfigSpec
$spec.Firmware = [VMware.Vim.GuestOsDescriptorFirmwareType]::efi
$vm.ExtensionData.ReconfigVM($spec)
有关详细信息，请参见 《VMware PowerCLI 用户指南》。

前提条件

只有在满足所有必备条件的情况下，才能启用安全引导。如果不满足必备条件，则 vSphere Client 中将不显示该复选框。
  • 验证虚拟机操作系统和固件是否支持 UEFI 引导。
    • EFI 固件
    • 虚拟硬件版本 13 或更高版本。
    • 支持 UEFI 安全引导的操作系统。
    注： 某些客户机操作系统不支持在不进行客户机操作系统修改的情况下从 BIOS 引导更改为 UEFI 引导。更改为 UEFI 引导之前，请查看客户机操作系统文档。如果将已使用 UEFI 引导的虚拟机升级到支持 UEFI 安全引导的操作系统，则可以对该虚拟机启用安全引导。
  • 关闭虚拟机。如果虚拟机正在运行，则该复选框将灰显。

过程

  1. 在 vSphere Client 清单中，浏览到虚拟机。
  2. 右键单击虚拟机，然后选择编辑设置。
  3. 单击虚拟机选项选项卡，然后展开引导选项。
  4. 在引导选项下，确保固件设置为 EFI。
  5. 选择任务。
    • 选中安全引导复选框以启用安全引导，
    • 取消选中安全引导复选框以禁用安全引导。
  6. 单击确定。

结果

当虚拟机引导时，仅支持具有有效签名的组件。如果某个组件缺少签名或签名无效，则引导过程将停止。