使用 sbctl 为 Arch Linux 签名并开启 Secure Boot#

前言#

在 AMD B850 主板（以 ASRock B850M 钢铁传奇为例）上配置 Arch Linux + systemd-boot + UKI + Secure Boot 时，最容易出错的是主板出厂锁定机制和密钥录入顺序。

本指南基于 2025 年实测，确保正确顺序操作，可顺利开启 Secure Boot 并保留 Windows 11 双系统兼容性。

一、BIOS 设置：进入 Setup Mode 关键步骤#

注意：必须先在 Arch Linux 中执行 sbctl create-keys 生成密钥后，再按以下顺序操作 BIOS。

1. 重启进入 BIOS（通常按 Del 或 F2）
2. 进入安全启动菜单
   路径：Security → Secure Boot
3. 解除出厂锁定，进入 Setup Mode
   • 将 Secure Boot Mode 从 Standard 更改为 Custom
   • 切换后会出现 Clear Secure Boot keys 选项，务必点击执行（清除出厂密钥）
   • 检查状态：
     • Secure Boot State 显示 Not Active
     • Setup Mode 显示 Enabled
   • 按 F10 保存退出，重启回 Arch Linux

警告

• 千万不要点击 Install default Secure Boot keys，否则会恢复微软默认密钥，覆盖自制密钥。
• 使用 enroll-keys -m 参数可保留 Microsoft 证书，实现 Windows 11 双系统无缝切换。

二、Arch Linux 端操作步骤#

1
sudo sbctl create-keys

1
sudo sbctl enroll-keys -m

1
sbctl status

1
# systemd-boot
2
sudo sbctl sign -s /boot/EFI/systemd/systemd-bootx64.efi
3

4
# fallback 路径
5
sudo sbctl sign -s /boot/EFI/BOOT/BOOTX64.EFI
6

7
# UKI 内核镜像（文件名根据实际情况调整）
8
sudo sbctl sign -s /boot/EFI/Linux/arch-linux.efi

1
sudo sbctl verify