Linux - Amorçage EFISTUB

Dernière mise à jour : Debian 10.5 / Buster

Le noyau linux est compatible avec un amorçage direct UEFI via un chargeur intégré appelé EFI Stub. Ce document décrit comment mettre en oeuvre cette méthode d'amorçage

à partir d'un shell uefi

en ligne de commande

ou au moyen d'un script shell efi

au moyen d'une entrée d'amorçage

Les deux premières méthodes peuvent être utilisées facilement en dépannage. La troisième méthode est destinée à un amorçage automatique.

Sommaire

1 - Installation

1.1 - Vérification

Depuis Debian 10, le noyau vmlinuz supporte l'amorçage EFISTUB qui permet au microcode EFI de charger un noyau linux comme un exécutable UEFI
On peut vérifier que l'option de compilation EFISTUB a été activée dans le noyau avec

$ cat /boot/config-$(uname -r) |grep -i efi_stub
CONFIG_EFI_STUB=y

1.2 - Préparation de l'ESP

Pour que le microcode puisse charger le noyau, les fichiers du noyau (vmlinuz) et de l'initramfs (initrd.gz) doivent être présents dans l'ESP (Partition System EFI) :

Créer un répertoire dans l'ESP par exemple EFI/stub. Dans ce qui suit, on suppose l'ESP monté en /boot/efi

$ sudo mkdir -p /boot/efi/EFI/stub

Y recopier via les liens vmlinuz et initrd.img à la racine du système la dernière version du noyau

$ sudo cp /vmlinuz /initrd.img /boot/efi/EFI/stub/

Vérification

$ sudo tree /boot/efi/EFI/stub
/boot/efi/EFI/stub
├── initrd.img
└── vmlinuz

0 directories, 2 files

1.3 - Mise à jour automatique des noyaux

Afin que vmlinuz et initrd.img soient mis à jour automatiquement, créer les scripts suivants : (on recopie également les versions antérieures *.old afin de disposer de la version précédente en cas de problème)

Script de mise à jour de vmlinuz et vmlinuz.old

$ sudo mkdir -p /etc/kernel/postinst.d
$ sudo nano /etc/kernel/postinst.d/zz-update-efistub

#!/bin/sh
cp /vmlinuz /boot/efi/EFI/stub/
cp /vmlinuz.old /boot/efi/EFI/stub/

Scripts de mise à jour de initrd.img et initrd.img.old

$ sudo mkdir -p /etc/initramfs/post-update.d
$ sudo nano /etc/initramfs/post-update.d/zz-update-efistub 

#!/bin/sh
cp /initrd.img /boot/efi/EFI/stub/
cp /initrd.img.old /boot/efi/EFI/stub/

Rendre les scripts exécutables

$ sudo chmod +x /etc/kernel/postinst.d/zz-update-efistub
$ sudo chmod +x /etc/kernel/postinst.d/zz-update-efistub

et lancer leur exécution

$ sudo /etc/kernel/postinst.d/zz-update-efistub
$ sudo /etc/initramfs/post-update.d/zz-update-efistub

Vérifier la présence des images

$ sudo tree /boot/efi/EFI/stub

2 - Amorçage en ligne de commande depuis un shell UEFI

Noter les identifiants de périphérique de la racine du système Debian à lancer (/dev ou UUID ou label ...), dans le cas ci-dessous, la racine est /dev/sda2

$ findmnt /
TARGET SOURCE   FSTYPE OPTIONS
/      /dev/sda2  ext4   rw,relatime,errors=remount-ro

On suppose un shell efi disponible, dans le cas ci-dessous, deux shells sont présents un shell interne et un shell ajouté

$ efibootmgr 
BootCurrent: 0003
Timeout: 3 seconds
BootOrder: 0000,0011,0006,0002,0003,004,005
....
Boot0006* EFI Internal Shell
Boot0007* shell.efi
....

Sélectionner pour le prochain démarrage un shell, par exemple le numéro 7

$ sudo efibootmgr --bootnext 7
BootNext: 007
BootCurrent: 0011
.....

Redémarrer le système

$ sudo reboot

Une fois dans le shell UEFI, se placer dans la partition ESP (FS0:)

Shell> FS0:

Lancer la commande d'amorçage du noyau (on suppose la partition racine en /dev/sda2)

FS0:\EFI\stub\vmlinuz root=/dev/sda2 initrd=\EFI\stub\initrd.img

La commande accepte des options usuelles de la ligne de commande linux : ro , quiet, splash etc.... Par exemple : disque /dev/nvme0n1, système de fichier racine chiffré luks en /dev/mapper/buster

FS0:\> \EFI\stub\vmlinuz root=/dev/mapper/buster ro quiet splash initrd=\EFI\stub\initrd.img

3 - Amorçage au moyen d'un script shell UEFI

2.1 - Lancement manuel

L'utilisation d'un script shell EFI contenant la commande d'amorçage simplifie la saisie de la commande :

Créer un script, de nom quelconque, avec l'extension .nsh, dans un répertoire quelconque de la partition ESP. Dans l'exemple ci-dessous, le script est nommé stub.nsh et est stocké dans le répertoire où se trouvent le noyau et l'initramfs

# nano /boot/efi/EFI/stub/stub.nsh
\EFI\stub\vmlinuz root=/dev/sda2 ro quiet splash initrd=\EFI\stub\initrd.img

Redémarrer le système, amorcer sur un shell efi et lancer le script depuis l'ESP

Shell> FS0:
FS0:\>\EFI\stub\stub.nsh

2.2 - Lancement automatique

Pour ne pas avoir à ouvrir le shell et lancer le script, renommer le script en startup.nsh et le placer à la racine de la partition ESP:

# nano /boot/efi/startup.nsh
\EFI\stub\vmlinuz root=/dev/sda2 ro quiet splash initrd=\EFI\stub\initrd.img

Redémarrer le système et amorcer sur un shell efi. Le script startup.nsh sera automatiquement interprété après un délai de 10 secondes

3 - Amorçage au moyen d'une entrée d'amorçage

Identifier la partition racine, ici une partition chiffrée /dev/mapper/buster

$ findmnt /
TARGET SOURCE             FSTYPE OPTIONS
/      /dev/mapper/buster ext4   rw,relatime,errors=remount-ro

Récupérer son UUID

$ su -l 
# export UUID=$(blkid -s UUID -o value /dev/mapper/buster)

Créer l'entrée d'amorçage

# efibootmgr -c -d /dev/nvme0n1 -p 1 -L "Debian stub" -l '\EFI\stub\vmlinuz' \
-u "root=UUID=$UUID ro quiet splash initrd=\\EFI\\stub\\initrd.img"

où les options ont la signification suivante

-c = --create
-d = --disk (identifiant du disque contenant l'ESP)
-p = --part (numéro partition ESP)
-L = --label (nom de l'entrée d'amorçage, debian par défaut)
-l = --loader (fichier à charger, \EFI\debian\grub.efi par défaut)
-u = --unicode (options de la commande vmlinuz au format UCS2)

Vérifier la présence de l'entrée

$ efibootmgr -v |grep stub
Boot0002* Debian stub  HD(1,GPT,15....f0,0x200000,0x31e00000)/File(\EFI\stub\vmlinuz)r.o.o.t.=.U.U.I.D.=.0.6.....e. .r.o. .q.u.i.e.t. .i.n.i.t.r.d.=.\.E.F.I.\.s.t.u.b.\.i.n.i.t.r.d...i.m.g.

Et l'ordre de redémarrage

$ efibootmgr
BootCurrent: 0001
Timeout: 3 seconds
BootOrder: 0002,0001,0000
Boot0000* debian
Boot0001* UEFI : Built-in EFI Shell
Boot0002* Debian stub

Redémarrer pour vérifier la bonne prise en compte