服务器虚拟机uefi,为虚拟机启用或禁用 UEFI 安全引导

在支持 UEFI 安全引导的操作系统中，引导软件的每个部分都会进行签名，包括引导加载程序、操作系统内核以及操作系统驱动程序。虚拟机的默认配置包括多个代码签名证书。

一个仅用于引导 Windows 的 Microsoft 证书。

一个用于 Microsoft 签名的第三方代码(例如 Linux 引导加载程序)的 Microsoft 证书。

一个仅用于在虚拟机内部引导 ESXi 的 VMware 证书。

虚拟机的默认配置包括一个用于在虚拟机内部对修改安全引导配置(包括安全引导撤消列表)的请求进行身份验证的证书，该证书是一个 Microsoft KEK(密钥交换密钥)证书。

几乎在所有情况下，均不需要替换现有证书。如果要替换证书，请参见 VMware 知识库系统。

对于使用 UEFI 安全引导的虚拟机，需要 VMware Tools 10.1 或更高版本。在 VMware Tools 的更高版本推出后，可以将这些虚拟机升级到该版本。

对于 Linux 虚拟机，安全引导模式不支持 VMware 主机客户机文件系统。先将 VMware 主机客户机文件系统从 VMware Tools 中移除，然后再启动安全引导。

注： 如果为某个虚拟机启用了安全引导，则只能在该虚拟机中加载经过签名的驱动程序。

此任务介绍了如何使用 vSphere Client 为虚拟机启用和禁用安全引导。此外，还可以编写脚本来管理虚拟机设置。例如，可以使用以下 PowerCLI 代码自动将虚拟机固件由 BIOS 更改为 EFI：

$vm = Get-VM TestVM

$spec = New-Object VMware.Vim.VirtualMachineConfigSpec

$spec.Firmware = [VMware.Vim.GuestOsDescriptorFirmwareType]::efi

$vm.ExtensionData.ReconfigVM($spec) 有关详细信息，请参见

《VMware PowerCLI 用户指南》。