為UEFI安全啟動創建 AWS 二進制 blob - Amazon Elastic Compute Cloud

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

為UEFI安全啟動創建 AWS 二進制 blob

您可以使用下列步驟在AMI建立期間自訂UEFI安全開機變數。這些步驟中使用的是截至 2021 年 9 月的最新版本。KEK如果 Microsoft 更新KEK，您必須使用最新的KEK.

若要建立二 AWS 進位 blob

  1. 建立一個空白的 PK 簽章清單。

    touch empty_key.crt
cert-to-efi-sig-list empty_key.crt PK.esl

  2. 下載KEK憑證。

    https://go.microsoft.com/fwlink/?LinkId=321185

  3. 將KEK憑證包裝在UEFI簽名清單 (siglist) 中。

    sbsiglist --owner 77fa9abd-0359-4d32-bd60-28f4e78f784b --type x509 --output MS_Win_KEK.esl MicCorKEKCA2011_2011-06-24.crt

  4. 下載 Microsoft 的 db 憑證。

    https://www.microsoft.com/pkiops/certs/MicWinProPCA2011_2011-10-19.crt
https://www.microsoft.com/pkiops/certs/MicCorUEFCA2011_2011-06-27.crt

  5. 產生 db 簽章清單。

    sbsiglist --owner 77fa9abd-0359-4d32-bd60-28f4e78f784b --type x509 --output MS_Win_db.esl MicWinProPCA2011_2011-10-19.crt
sbsiglist --owner 77fa9abd-0359-4d32-bd60-28f4e78f784b --type x509 --output MS_UEFI_db.esl MicCorUEFCA2011_2011-06-27.crt
cat MS_Win_db.esl MS_UEFI_db.esl > MS_db.esl

  6. 從下列連結下載更新後的 dbx 變更要求。

    https://uefi.org/revocationlistfile

  7. 您在上一個步驟中下載的 dbx 變更要求已經與 Microsoft 簽署KEK，因此您必須將其移除或解壓縮。您可以使用下列連結。

    https://gist.github.com/out0xb2/f8e0bae94214889a89ac67fceb37f8c0
    https://support.microsoft.com/en-us/topic/microsoft-guidance-for-applying-secure-boot-dbx-update-e3b9e4cb-a330-b3ba-a602-15083965d9ca

  8. 使用uefivars.py指令碼建立UEFI變數存放區。

    ./uefivars.py -i none -o aws -O uefiblob-microsoft-keys-empty-pk.bin -P ~/PK.esl -K ~/MS_Win_KEK.esl --db ~/MS_db.esl  --dbx ~/dbx-2021-April.bin

  9. 檢查二進制 blob 和UEFI變量存儲。

    ./uefivars.py -i aws -I uefiblob-microsoft-keys-empty-pk.bin -o json | less

  10. 您可以透過再次將 blob 傳遞給同一工具來更新 Blob。

    ./uefivars.py -i aws -I uefiblob-microsoft-keys-empty-pk.bin -o aws -O uefiblob-microsoft-keys-empty-pk.bin -P ~/PK.esl -K ~/MS_Win_KEK.esl --db ~/MS_db.esl  --dbx ~/dbx-2021-April.bin

    預期的輸出結果

    Replacing PK
Replacing KEK
Replacing db
Replacing dbx