Ako vypnúť Secure Boot v Hyper-V

V tomto príspevku vám ukážeme, ako vypnúť Secure Boot v Hyper-V a čo robiť, ak Hyper-V sa nespustí, keď je Secure Boot povolený.

Ak prevádzkujete virtuálny počítač druhej generácie v Hyper-V a stretávate sa s problémami so spustením, možno budete musieť zakázať Secure Boot. Táto funkcia je predvolene zapnutá na novších VM a niekedy môže zabrániť správnemu spusteniu niektorých operačných systémov.

Ako vypnúť Secure Boot v Hyper-V

Secure Boot je bezpečnostný štandard v UEFI (Unified Extensible Firmware Interface), ktorý zabezpečuje, že pri spustení počítača sa spúšťa iba dôveryhodný softvér. Overuje digitálne podpisy firmvéru, zavádzačov operačného systému a ovládačov pred ich spustením. To pomáha zabrániť načítaniu malvéru a nepovoleného kódu pri štarte.

V Hyper-V je funkcia Secure Boot predvolene povolená pre virtuálne stroje druhej generácie. Avšak virtuálne stroje prvej generácie používajú starší BIOS a túto funkciu nepodporujú. Ak ste nainštalovali operačný systém, ktorý nepodporuje UEFI Secure Boot, alebo ak používate niektoré vlastné obrázky či staršie verzie operačného systému, virtuálny stroj sa nemusí spustiť. V týchto prípadoch môžete problém vyriešiť vypnutím Secure Boot bez toho, aby ste museli virtuálny stroj znovu vytvárať.

Ak chcete v Hyper-V vypnúť funkciu Secure Boot, musíte postupovať podľa jedného z dvoch nižšie uvedených spôsobov.

  1. Používanie Správcu Hyper-V
  2. Používanie PowerShellu

Poďme o nich hovoriť podrobne.

1. Používanie Hyper-V Managera

Ak chcete v Hyper-V Managery vypnúť Secure Boot, postupujte podľa nasledujúcich krokov.

  • Spustite Správcu Hyper-V z ponuky Štart.
  • V zozname virtuálnych strojov kliknite pravým tlačidlom na ten, ktorý chcete upraviť, a vyberte Nastavenia.
  • V ľavom menu vyberte Bezpečnosť. Na pravej strane uvidíte sekciu Bezpečné spustenie.
  • Zrušte začiarknutie políčka označeného Povoliť Secure Boot.
  • Kliknite na OK a použite svoje nastavenia.

Pri ďalšom spustení VM sa systém naštartuje bez vynútenia Secure Boot.

2. Používanie PowerShell

Pre tých, ktorí preferujú príkazový riadok, môžete zakázať Secure Boot cez PowerShell jediným príkazom.

Vyhľadajte Windows PowerShell v ponuke Štart, kliknite naň pravým tlačidlom myši a vyberte Spustiť ako správca.

Použite nasledujúci príkaz, pričom virtualmachine nahraďte skutočným názvom vášho VM:

Set-VMFirmware -VMName "virtualmachine" -DisableSecureBoot

Po spustení sa VM pri ďalšom štarte naštartuje so zakázaným Secure Boot.

V niektorých konfiguráciách Hyper-V nemusí príkaz PowerShell fungovať očakávaným spôsobom kvôli systémovým politikám alebo rozdielom vo verzii. Ak narazíte na problémy, použite radšej metódu cez Správcu Hyper-V.

Hyper-V sa nespúšťa, keď je povolené bezpečné spúšťanie

K tomu zvyčajne dochádza, pretože Secure Boot vyžaduje operačný systém alebo bootloader s platným, dôveryhodným digitálnym podpisom. Ak sa pokúšate spustiť vlastný obraz OS, starší OS bez podpory UEFI alebo OS, ktorý nebol správne nakonfigurovaný pre Secure Boot, hypervízor spustenie zablokuje, čo povedie k zlyhaniu spustenia.

Teraz sa pozrime na niektoré riešenia na vyriešenie tohto problému.

1. Vypnite Secure Boot v nastaveniach VM

Toto je najpriamejšie riešenie, pretože úplne odstraňuje požiadavku kontroly podpisu, čo umožňuje existujúcemu operačnému systému normálne zaviesť. Otvorte Správcu Hyper-V, kliknite pravým tlačidlom myši na VM a vyberte Settings. Prejdite na kartu Security, zrušte začiarknutie Enable Secure Boot a kliknite na OK.

2] Zmeňte generáciu VM z 2 na 1

Virtuálne stroje prvej generácie používajú staršiu BIOS firmvér namiesto UEFI, takže Secure Boot sa neuplatňuje. To zabezpečuje kompatibilitu so staršími alebo ne-UEFI operačnými systémami. Musíte vytvoriť nový virtuálny stroj prvej generácie. Potom k nemu pripojte existujúci virtuálny pevný disk (VHD/VHDX) a nastavte rovnaké hardvérové parametre (pamäť, procesory atď.).

3. Použite správne podpísaný operačný systém alebo šablónu

Secure Boot umožňuje spúšťanie operačných systémov iba s dôveryhodnými podpismi. Použitie Windows obrazu z oficiálneho média alebo správne pripraveného šablónu zabezpečuje, že spĺňa túto požiadavku. Získajte štandardný, nemodifikovaný inštalačný ISO súbor operačného systému (napríklad od Microsoftu). Vytvorte nový virtuálny stroj Gen 2, pripojte oficiálne ISO a vykonajte čistú inštaláciu.

4. Pridajte dôveryhodný certifikát pre vlastný operačný systém

Ak prevádzkujete virtuálny stroj s Linuxom alebo BSD, ktorý podporuje UEFI Secure Boot, ale používa vlastné jadro alebo bootloader (ako GRUB), ktorý nie je podpísaný spoločnosťou Microsoft, môžete do virtuálneho UEFI firmvéru VM zaregistrovať vlastný certifikát.

  • Získajte alebo vytvorte Kľúč vlastníka stroja (MOK) alebo certifikát podpísania Secure Boot.
  • Podpíšte svoj kernel alebo bootloader (napr. shim.efi, grubx64.efi, vmlinuz) týmto certifikátom pomocou nástroja ako sbsign.
  • Spustite VM do nastavení firmvéru UEFI (z okna Hyper-V Connect vyberte Súbor > Nastavenia, keď je VM vypnutá, alebo reštartujte VM a počas spúšťania stlačte kláves).
  • Prejdite do menu Secure Boot alebo Security vo firmvéri a vyberte možnosť Enroll Key alebo Custom Mode.
  • Načítajte súbor s certifikátom (často vo formáte .der alebo .esl) z virtuálneho FAT súborového systému (napríklad obraz diskety alebo ISO), aby ste ho pridali do dôveryhodnej databázy VM.

Dúfajme, že s týmito riešeniami sa váš problém vyrieši.

Vyžaduje Hyper-V bezpečné spustenie (Secure Boot)?

Nie, Hyper-V sám o sebe nevyžaduje Secure Boot. Secure Boot je voliteľná bezpečnostná funkcia dostupná iba pre virtuálne stroje druhej generácie, ktoré používajú UEFI firmware. Môžete vytvárať a spúšťať virtuálne stroje prvej generácie (založené na BIOS) aj druhej generácie bez toho, aby ste niekedy povolili Secure Boot. Hlavne sa odporúča pre moderných hostí Windows a Linux na ochranu pred malware-om na úrovni bootovania, ale nie je požiadavkou pre funkčnosť hypervízora.

Súvisiace články