Я могу безопасно произвести чистку подписанных ядер EFI? (альтернативно, я могу избавиться от неподписанных ядер?)

Спасибо за всю справку и ссылки. Я провел несколько часов в эти выходные и проверил следующее

Короткие ответы

1. Да, можно произвести чистку всего из linux-signed* пакеты, но необходимо установить linux-generic если Вы хотите, чтобы автоматические обновления ядра продолжили функционировать правильно. Вся личинка, ядро и initramfs реконфигурирование обрабатывается автоматически. Сценарии установки ядра действительно обрабатывают все без любых проблем.

   apt-get purge linux-signed* linux-generic+

2. Да, можно избавиться от неподписанных ядер без любых вредных воздействий, но они будут продолжать возвращаться после обновлений ядра. Это не может быть решено руководящими пакетами, но легко зафиксировать с коротким сценарием.

   #!/bin/sh
   #
   # user script: 
   /etc/kernel/postinst.d/zzz-remove-unsigned-kernel
   #
   # after a new signed kernel image is installed, this script removes
   # the unsigned image
   #
   if [ -e "$2.efi.signed" ]; then
       echo "/etc/kernel/postinst.d/zzz-remove-unsigned-kernel: removing $2"
       rm "$2";
   fi
   

Более длинные ответы

В первом случае решение действительно просто. Это работает в значительной степени, как Вы предположили бы на первый взгляд. Тем не менее я изучил некоторые полезные вещи о структуре пакета человечности для ядер. Я хотел быть уверенным, что я понял побочные эффекты или последствия, но я также точно так же, как, чтобы видеть, как создаются вещи. Так же, как примечание стороны я использую универсальное ядро, но просто подкачиваю generic для lowlatency или virtual если это - Ваша вещь. Кроме того, все здесь основано 16.10 (yakkety). Вот иерархия пакета ядра:

• linux-signed-generic meta пакет, означая, что он не включает кода. Это просто имеет список зависимостей, который всегда содержит полную установку новейшего обновления ядра. "Завершенный" означает все заголовки ядрa, изображение ядра, (отдельную) подпись изображения и дополнительные модули ядра для примерно каждого устройства, которое может поддерживать человечность.

• linux-generic другой meta пакет, содержащий все те же реальные пакеты за исключением подписи изображения. Фактическое изображение ядра только содержится в linux-image-x.x.x-yy пакет. linux-signed-image-x.x.x-yy пакет просто содержит отдельную подпись, и сценарий сборки присоединяет этот сигнал к /boot/vmlinuz-x.x.x.yy-generic и создает /boot/vmlinuz-x.x.x.yy-generic.efi.signed. Сценарий не очищает неподписанное изображение.

• Пакеты ядра имеют специальные сценарии в /etc/kernel это изменяет Кв. по умолчанию, автоудаляют поведение. Обычно, удаление linux-signed-generic отметил бы все нисходящие пакеты для автоудаления, но этого не происходит для пакетов ядра, пока нет две более новых сборки той же версии.

Во втором случае (пытающийся сохранить только изображение ядра со знаком), там, кажись, не быть никакими последствиями для удаления /boot/vmlinuz-x.x.x.yy-generic после того, как установка полна. Два изображения ядра являются точно тем же за исключением подписи, и они совместно используют весь одинаковый модули и файлы конфигурации. Однако, как только обновленное ядро установлено, оно оставит позади неподписанное изображение. К счастью, были легкие рычаги для того, чтобы запустить скрипт каждый раз, когда новое ядро установлено. Любые сценарии в /etc/kernel/postinst.d выполняются run-parts с двумя аргументами $1 версия ядра и $2 полный путь изображения (т.е. /boot/vmlinuz-x.x.x-yy-generic)

Единственный незначительный протест состоит в том, что удаление неподписанного изображения должно быть сделано после того, как личинка закончена, обновив grub.cfg. Если /boot/vmlinuz-x.x.x-yy-generic.efi.signed существует, личинка добавляет то изображение к grub.cfg и игнорирует неподписанное изображение. Однако должен быть где-нибудь в процессе, который все еще ожидает неподписанное изображение, потому что личинке не удается настроить правильно без него. Сценарий, который инициирует конфигурацию личинки, /etc/kernel/postinst.d/zz-update-grub. Я назвал свой сценарий zzz-remove-unsigned-kernel так, чтобы run-parts выполняет его после того, как все остальное будет закончено.

Править: Я использовал этот сценарий теперь с несколькими обновлениями сборки ядра, и все, кажется, хорошо работает. Я использую опцию 2 выше (удаление неподписанных ядер). Я собираюсь отметить это как корректный ответ.