Endeavour OS und Secure Boot

[Bu][e]

Update:
Ich kann wieder via Grub ins Endeavour OS booten! Heissa Juhee!

Vielleicht hilft es mal jemandem;
Boot mit Live-USB (EOS)
Danach (Achtung; ist aus dem Kopf)
Partition mit Linux mounten:
sudo mount /dev/sdXY /mnt
EFI-Partition mounten
sudo mount /dev/sdXX /mnt/boot/efi
zusätzlich mounten:
sudo mount --bind /dev /mnt/dev
sudo mount --bind /proc /mnt/proc
sudo mount --bind /sys /mnt/sys
sudo mount --bind /sys/firmware/efi/efivars /mnt/sys/firmware/efi/efivars
Wechsel mit chroot:
chroot /mnt
grub-install --target=x86_64-efi /dev/sdXX --efi-directory=/mnt/boot/efi
--> Wichtig; die Datei grubx64.efi muss im Verzeichnis /EFI/grub/ auf der EFI-Partition liegen.
Bei mir fehlte noch der Linux-Kernel auf der Linux-Partition;
Die Datei initramfs-6.17.6-arch1-1.img konnte ich mit
pacman -S linux
installieren.
Die Datei vmlinuz-6.17.6-arch1-1 wurde dabei jedoch nicht erstellt; diese musste ich aus einem Unterverzeichnis kopieren... (Das war die ganze Zeit das Problem. Ausserdem musste ich noch die automatische Signierung deaktivieren; da bin ich mir gerade nicht mehr sicher wo...)
cp /usr/lib/modules/6.17.6-arch1-1/vmlinuz /vmlinuz-6.17.6-arch1-1
Danach die grub-Konfiguration frisch erstellen:
grub-mkconfig -o /boot/grub/grub.cfg
--> Die Datei grub.cfg muss im Verzeichnis /boot/grub auf der Linux-Partition liegen und sollte die Menuentries für Linux beinhalten.
Windows 11 musste ich noch manuell in /etc/grub.d/40_custom hinzufügen:
menuentry "Windows 11" {
insmod part_gpt
insmod fat
set root='hd0,gpt1'
chainloader /EFI/Microsoft/Boot/bootmgfw.efi
}

Jetzt bootet Endeavour OS wieder. Soweit, so gut. Secure Boot mache ich noch und schreib hier, wenns geklappt hat. Falls jemand für obiges noch Verbesserungsvorschläge hat, bin ich froh um Ergänzungen!

 

[DavidXanatos]

Also SB ist leider ein ziemlicher wild wuchs.
Auf meinem ASUS TR board kann ich einfach über die EFI settings neue keys setzen und oder importieren, während am HP lapi das irgendwie gehen soll aber nirgends steht wie und es bleibt nur alles löschen und per windows powershell befehler alles manuel provisionieren was ein ziemliches gemurkse ist.

Also wenn hier mal die OEM's mal nutzerfreundlich und konsistent mal ein gescheites key management einheitlich über alle uefis drüber bügeln würden das wäre was feines.

vor allem die Möglichkeit über EFI settings neue einträge in die DB zu laden ohne sich das gemurkse mit PK dan KEK und dan DB signieren und provisionieren an zu tun wäre echt bequem.

 

[Bu][e]

Ja, ich gehe davon aus, dass mit dem "Windows 11-Zwang" hier schon noch ein paar Verbesserungen im Zusammenhang mit Secure Boot kommen werden; nur schon, dass die Linux Distris das standardmässig unterstützen/anbieten, ohne den ganzen Murks...