(Arch) Linux 个人电脑设置

就跟着官方的安装步骤来吧，这里不多细述。最近切换到了 EndeavourOS，是基于 Arch Linux 的发行版，提供了图形化的安装界面，并且预装了包括 yay 以及（印象中） tldr 等算是比较有用的软件。用起来体验还不错。

之后打算装双系统的话建议使用 GRUB 进行系统引导。

因为之后要用双系统所以这里就直接假设系统引导用的是 GRUB 了。这里可以参考 GRUB#Secure_Bootsupport 里的内容。

总之，需要安装 shim-signed 包（应该在 AUR 里）和 sbsigntools 。（请理解代码之后再进行操作，因为还是比较危险的操作的。）这里假设 EFI 分区（ESP）挂载在 /boot/efi 下。安装后命令如下：

1. 创建用于签名的密钥，这里放到了 /usr/local/share/shim 里：

   # mkdir -p /usr/local/share/shim
   # chmod 0700 /usr/local/share/shim
   # openssl req -newkey rsa:4096 -nodes -keyout /usr/local/share/shim/MOK.key -new -x509 -sha256 -days 3650 -subj "/CN=my Machine Owner Key/" -out /usr/local/share/shim/MOK.crt
   # openssl x509 -outform DER -in /usr/local/share/shim/MOK.crt -out /usr/local/share/shim/MOK.cer
   

   把生成的证书复制到 EFI 分区里，之后重启的时候需要导入这个证书：

   # cp /usr/local/share/shim/MOK.cer /boot/efi/
   

2. 让 pacman 在每次更新内核时给内核签名：

   在 /etc/pacman.d/hooks/999-sign_kernel_for_secureboot.hook 里添加以下内容：

   [Trigger]
   Operation = Install
   Operation = Upgrade
   Type = Package
   Target = linux
   Target = linux-lts
   Target = linux-hardened
   Target = linux-zen
   
   [Action]
   Description = Signing kernel with Machine Owner Key for Secure Boot
   When = PostTransaction
   Exec = /usr/bin/find /boot/ -maxdepth 1 -name 'vmlinuz-*' -exec /usr/bin/sh -c 'if ! /usr/bin/sbverify --list {} 2>/dev/null | /usr/bin/grep -q "signature certificates"; then /usr/bin/sbsign --key /usr/local/share/shim/MOK.key --cert /usr/local/share/shim/MOK.crt --output {} {}; fi' ;
   Depends = sbsigntools
   Depends = findutils
   Depends = grep
   

3. 给现在的内核签名：

   $ ls /boot/vmlinuz-*
   /boot/vmlinuz-linux
   # sbsign --key /usr/local/share/shim/MOK.key --cert /usr/local/share/shim/MOK.crt --output /boot/vmlinuz-linux /boot/vmlinuz-linux
   $ # 如果还装了其它内核的话，把命令里内核文件名称给改一改之后进行同样操作
   

4. 给 GRUB 进行签名：

   $ GRUB_MODULES="all_video boot btrfs cat chain configfile echo efifwsetup efinet ext2 fat font gettext gfxmenu gfxterm gfxterm_background gzio halt help hfsplus iso9660 jpeg keystatus loadenv loopback linux ls lsefi lsefimmap lsefisystab lssal memdisk minicmd normal ntfs part_apple part_msdos part_gpt password_pbkdf2 png probe reboot regexp search search_fs_uuid search_fs_file search_label sleep smbios squash4 test true video xfs zfs zfscrypt zfsinfo"
   # grub-install --target=x86_64-efi --efi-directory=/boot/efi --modules="${GRUB_MODULES}" --sbat /usr/share/grub/sbat.csv
   # cp /boot/efi/EFI/endeavouros/grubx64.efi /boot/efi/EFI/Boot/
   # sbsign --key /usr/local/share/shim/MOK.key --cert /usr/local/share/shim/MOK.crt --output /boot/efi/EFI/Boot/grubx64.efi /boot/efi/EFI/Boot/grubx64.efi
   

5. 把 shim 需要的文件复制到 EFI 分区里，并创建启动项：

   # cp /usr/share/shim-signed/shimx64.efi /boot/efi/EFI/Boot/bootx64.efi
   # cp /usr/share/shim-signed/mmx64.efi /boot/efi/EFI/Boot/
   # efibootmgr --unicode --disk /dev/sdX --part Y --create --label "Shim" --loader /EFI/Boot/bootx64.efi
   

   最后那个命令需要把 X 和 Y 给相应改成自己的硬盘和分区序号（当然 NVME 盘的硬盘路径稍有不同）。

6. 重启，到 BIOS 里把 Secure Boot 打开，正常启动电脑。此时应该会进入到 Shim 的界面，显示签名出错，之后提示要录入证书。进入查找文件的界面后找到第一步里我们复制的 MOK.cer 文件，录入之后就可以正常启动了。
7. 如果没法正常启动的话就关掉 Secure Boot，找到 GRUB 启动项启动再来一次吧。

8. 之后如果 GRUB 更新了的话需要手动进行签名操作。并且，因为 GRUB 会默认把自己的启动优先级调到最高，我们需要每次 GRUB 更新的时候把启动顺序给调回来。

   # efibootmgr  # 查看当前启动顺序
   # efibootmgr -o 0002,0001  # 自定义启动顺序，请按自己机器的情况调整
   

另外需要注意的是，有些 BIOS 在掉电之后会直接丢失我们设置好了的 UEFI 引导项，此时可能实现开机开不了、Windows（双系统）提示 PIN 丢失等等问题。请做好心理准备……我的经历请见从 BIOS 掉电中恢复，也许会对你有所帮助。

如果在官方源和 Arch Linux 中文社区仓库里都找不到的话就去 AUR 里看一下吧。（虽然 EndeavourOS 下 yay 命令查找起来的确非常方便。）另外，下面提到包名其实也可能会变动，届时就各种变通搜索一下吧。