build¶

يُنشئ هذا الأمر صورة نواة موحدة (UKI). الخياران الرئيسان اللذان ينبغي تحديدهما للأمر build هما Linux=/--linux= و Initrd=/--initrd=. يقبل Initrd= مسارات متعددة مفصولة بمسافات بيضاء، ويمكن تحديد --initrd= عدة مرات.

ستُدرج أقسام إضافية في صورة UKI، إما آليًا أو فقط عند توفير خيار محدد. انظر مناقشات Microcode=/--microcode=، و Cmdline=/--cmdline=، و OSRelease=/--os-release=، و DeviceTree=/--devicetree=، و DeviceTreeAuto=/--devicetree-auto=، و HWIDs=/--hwids=، و Splash=/--splash=، و PCRPKey=/--pcrpkey=، و Uname=/--uname=، و SBAT=/--sbat=، و --section= أدناه.

يمكن أيضًا استخدام ukify لتجميع ملف PE ثنائي غير قابل للتنفيذ ولكنه يحتوي على بيانات مساعدة، مثل إدخالات سطر أوامر النواة الإضافية.

إذا وُفرت مفاتيح توقيع PCR عبر الخيارين PCRPrivateKey=/--pcr-private-key= و PCRPublicKey=/--pcr-public-key=، فستُحسب قيم PCR التي ستُرى بعد الإقلاع بالنواة المعطاة، و initrd، والأقسام الأخرى، وتُوقع وتُضمن في UKI. يُستخدم systemd-measure(1) لإجراء هذا الحساب والتوقيع.

يُجرى حساب قيم PCR لمسارات مراحل إقلاع محددة. يمكن تحديدها باستخدام خيار Phases=/--phases=. إذا لم تُحدد، فتُستخدم القيمة المبدئية التي يوفرها systemd-measure. ومن الممكن أيضًا تحديد معلمات PCRPrivateKey=/--pcr-private-key=، و PCRPublicKey=/--pcr-public-key=، و Phases=/--phases= أكثر من مرة. ستُجرى التوقيعات بعد ذلك باستخدام كل من المفاتيح المحددة. في سطر الأوامر، عندما يُستخدم كل من --phases= و --pcr-private-key=، يجب تحديدهما نفس عدد المرات، ومن ثم ستُوقع مجموعة مسارات مرحلة الإقلاع رقم n بواسطة المفتاح رقم n. يمكن استخدام هذا لبناء سياسات ثقة مختلفة لمراحل مختلفة من الإقلاع. في ملف الضبط، تُجمع PCRPrivateKey=، و PCRPublicKey=، و Phases= في أقسام منفصلة، تصف مراحل إقلاع منفصلة. إذا حُدد أحد الخيارين SigningEngine=/--signing-engine= أو SigningProvider=/--signing-provider=، فستُمرر معلمات المفتاح الخاص حرفيًا إلى openssl(1) كـ URIs، وستُحمل معلمات المفتاح العام كشهادات X.509، بحيث يمكن إجراء التوقيع باستخدام محرك OpenSSL أو مزود على التوالي.

إذا وُفر مفتاح توثيق الإقلاع الآمن (SecureBoot) عبر خيار SecureBootPrivateKey=/--secureboot-private-key=، فسيُوثق ملف PE الثنائي الناتج ككل، مما يسمح لصورة UKI الناتجة بأن تكون موثوقة من قِبل الإقلاع الآمن. انظر أيضًا مناقشة التسجيل الآلي في systemd-boot(7).

إذا احتوى stub و/أو النواة على أقسام ".sbat" فستُدمج في UKI بحيث تُؤخذ تحديثات الإبطال التي تؤثر على أي منهما في الاعتبار عندما يُحمّل UKI بواسطة Shim. لمزيد من المعلومات حول SBAT راجع توثيق Shim[2].

genkey¶

يُنشئ هذا الأمر مفاتيح توثيق PCR والمفتاح والشهادة المستخدمة في توثيق الإقلاع الآمن (SecureBoot). نفس خيارات الإعداد التي تحدد ما هي المفاتيح وفي أي مسارات ستكون مطلوبة للتوثيق عند استخدام build، هي التي تحدد هنا ما هي المفاتيح التي ستُنشأ. انظر مناقشة PCRPrivateKey=/--pcr-private-key= و PCRPublicKey=/--pcr-public-key= و SecureBootPrivateKey=/--secureboot-private-key= أدناه.

يجب ألا تكون ملفات المخرجات موجودة مسبقًا.

inspect¶

اعرض معلومات حول الأقسام في ملف ثنائي معين أو ملفات ثنائية. إذا أُعطي الخيار --all، فستُعرض جميع الأقسام. بخلاف ذلك، إذا حُدد خيار --section= مرة واحدة على الأقل، فستُعرض تلك الأقسام فقط. وبخلاف ذلك، ستُعرض الأقسام المعروفة التي تُضمن عادةً في صورة UKI. لكل قسم، يُطبع اسمه وحجمه وبصمة sha256 الخاصة به. وبالنسبة للأقسام النصية، تُطبع محتوياتها.

انظر أيضًا وصف الخيارات -j/--json= و --section=.

أدوات أخرى قد تكون مفيدة لفحص صور UKI: llvm-objdump(1) -p و pe-inspect.

خيارات سطر الأوامر فقط¶

--config=المسار

--measure، --no-measure

--section=الاسم:النص|@المسار، --section=الاسم:text|binary[@المسار]

--join-profile=المسار

--tools=المجلدات

--output=اسم_الملف

--summary

--all

--json

-h، --help

--version

قسم [UKI]¶

Linux=LINUX، --linux=LINUX

OSRelease=النص|@المسار، --os-release=النص|@المسار

Cmdline=النص|@المسار، --cmdline=النص|@المسار

Initrd=INITRD...، --initrd=LINUX

Microcode=UCODE، --microcode=UCODE

Splash=المسار، --splash=المسار

DeviceTree=المسار، --devicetree=المسار

DeviceTreeAuto=المسار...، --devicetree-auto=المسار

HWIDs=المسار، --hwids=المسار

{


    "name": "Example Laptop 16 Gen 7",


    "compatible": "example,laptop-16-g7",


    "hwids": [


        "5dc05bf4-01f6-4089-b464-a08c47ea9295",


        "3e3f8f3c-2003-46f2-811c-85554f7d5952"


    ]
}

Uname=الإصدار، --uname=الإصدار

SBAT=النص|@المسار، --sbat=النص|@المسار

uki,1,UKI,uki,1,https://uapi-group.org/specifications/specs/unified_kernel_image/

uki-addon,1,UKI Addon,addon,1,https://www.freedesktop.org/software/systemd/man/latest/systemd-stub.html

PCRPKey=المسار، --pcrpkey=المسار

Profile=المسار، --profile=المسار

PCRBanks=المسار، --pcr-banks=المسار

SecureBootSigningTool=الموقّع، --signtool=الموقّع

SecureBootPrivateKey=SB_KEY, --secureboot-private-key=SB_KEY

SecureBootCertificate=SB_CERT, --secureboot-certificate=SB_CERT

SecureBootCertificateDir=SB_PATH, --secureboot-certificate-dir=SB_PATH

SecureBootCertificateName=SB_CERTNAME, --secureboot-certificate-name=SB_CERTNAME

SecureBootCertificateValidity=DAYS, --secureboot-certificate-validity=DAYS

SigningEngine=ENGINE, --signing-engine=ENGINE

SigningProvider=PROVIDER, --signing-provider=PROVIDER

CertificateProvider=PROVIDER, --certificate-provider=PROVIDER

SignKernel=BOOL, --sign-kernel, --no-sign-kernel

قسم [PCRSignature:الاسم]¶

في ملف الضبط، تُجمع هذه الخيارات حسب القسم. في سطر الأوامر، يجب تحديدها بنفس الترتيب. تُدمج الأقسام المحددة في كلا المصدرين.

PCRPrivateKey=المسار، --pcr-private-key=المسار

PCRPublicKey=المسار، --pcr-public-key=المسار

Phases=القائمة، --phases=القائمة