UEFI安全启动签名部署与内核引导配置 - 第2节

2.1 UEFI 启动流程概述

UEFI（统一可扩展固件接口）取代了传统 BIOS，定义了从系统上电到操作系统启动之间的标准化接口。理解 UEFI 启动流程是掌握安全启动与内核参数传递的基础。

2.1.1 UEFI 启动七阶段

2.2 固件引导管理器

固件引导管理器（Firmware Boot Manager）是 UEFI 固件内置的组件，负责管理启动选项、执行启动策略、维护全局变量。它运行在 BDS 阶段，是连接固件与操作系统的桥梁。

2.2.1 引导管理器的核心职责

• Boot Option 管理：维护启动选项列表，包括设备路径、描述字符串、加载选项参数
• 启动策略执行：按优先级遍历 Boot Option，尝试加载引导程序
• 全局变量维护：管理 BootOrder、Boot####、Timeout 等 UEFI 变量
• 安全启动集成：调用安全启动协议验证引导程序签名
• 用户交互：提供启动菜单、超时等待、手动选择设备

2.2.2 引导管理器与 UEFI 变量

引导管理器通过 UEFI 非易失性变量（NVRAM）持久化存储启动配置。这些变量在系统重启后仍然保留，是 Boot Manager 工作的数据基础。

2.3 Boot Manager 与 Boot Option

Boot Manager 是 UEFI 固件的核心组件，Boot Option 是它管理的启动条目。每个 Boot Option 描述了一个可引导设备或引导程序，包含设备路径、描述字符串、加载选项参数等关键信息。

2.3.1 Boot Option 数据结构

每个 Boot Option 对应一个 LOAD_OPTION 结构体，定义在 UEFI 规范中：

typedef struct _LOAD_OPTION {
    UINT32    Attributes;        // 属性标志
    UINT16    FilePathListLength; // 设备路径列表长度
    // CHAR16  Description[];     // 描述字符串（变长）
    // EFI_DEVICE_PATH_PROTOCOL  FilePathList[]; // 设备路径列表（变长）
    // UINT8   OptionalData[];    // 可选数据（变长，内核参数存放位置）
} LOAD_OPTION;

2.3.2 Boot Manager 启动流程

2.3.3 Boot Option 管理命令

在 UEFI Shell 环境中，可以使用 bcfg 命令管理 Boot Option：

# 显示当前所有 Boot Option
Shell> bcfg boot dump

# 添加一个新的 Boot Option（ID=0004，描述="Linux"，设备路径=fs0:\EFI\linux\vmlinuz.efi）
Shell> bcfg boot add 0004 fs0:\EFI\linux\vmlinuz.efi "Linux"

# 修改 Boot Option 的 OptionalData（传递内核参数）
Shell> bcfg boot opt 0004 "console=ttyS0,115200 root=/dev/sda1 quiet"

# 设置启动顺序（先启动 ID=0004，再启动 ID=0001）
Shell> bcfg boot order 0004 0001

# 删除 Boot Option
Shell> bcfg boot rm 0004

2.3.4 Boot Option 与内核参数传递

内核参数通过 Boot Option 的 OptionalData 字段传递。当引导程序（如 GRUB、systemd-boot）被加载时，固件将 OptionalData 作为参数传递给引导程序，引导程序再将其解析为内核命令行参数。