ROCm 6.3.2安装指南：解决Secure Boot导致amdgpu驱动加载失败问题

在Linux系统上安装AMD ROCm计算平台时，许多用户可能会遇到一个常见但容易被忽视的问题——Secure Boot安全启动机制导致amdgpu显卡驱动无法正常加载。本文将深入分析这一问题的成因，并提供详细的解决方案。

问题现象

当用户在启用了Secure Boot的系统中安装ROCm 6.3.2后，可能会观察到以下异常现象：

1. 安装过程看似顺利完成，没有报错
2. 首次安装后可以正常加载amdgpu模块
3. 系统重启后，amdgpu驱动无法加载
4. ROCm工具如rocminfo和clinfo显示显卡未被识别
5. 系统日志中可能出现驱动签名验证失败的提示

根本原因分析

Secure Boot是UEFI固件提供的一项安全功能，它要求所有内核模块必须经过数字签名验证才能加载。AMD显卡驱动(amdgpu)作为内核模块，同样受此机制约束。

在ROCm安装过程中，安装程序会通过DKMS(动态内核模块支持)机制编译并安装amdgpu驱动模块。如果系统启用了Secure Boot，新编译的驱动模块将无法通过签名验证，导致加载失败。

解决方案

针对此问题，我们有两种解决方案：

方案一：禁用Secure Boot（简单但不推荐）

1. 重启系统并进入BIOS/UEFI设置界面
2. 找到"Secure Boot"选项（通常在Security或Boot选项卡下）
3. 将其设置为"Disabled"
4. 保存设置并退出
5. 系统重启后，重新安装ROCm驱动

注意：此方法虽然简单，但会降低系统安全性，不建议生产环境使用。

方案二：为驱动添加MOK签名（推荐）

1. 安装ROCm前确保系统已安装mokutil工具：

   sudo apt install mokutil
   

2. 正常进行ROCm安装流程

3. 安装过程中会自动生成Machine Owner Key(MOK)并签名驱动

4. 安装完成后，系统会提示需要注册MOK密钥

5. 重启系统，在UEFI界面选择"Enroll MOK"

6. 按照屏幕提示完成密钥注册

7. 继续正常启动系统

8. 验证驱动加载状态：

   lsmod | grep amdgpu
   

技术原理详解

Secure Boot的工作原理是验证每个内核模块的数字签名。当使用DKMS编译驱动时，会生成未签名的内核模块。AMD安装程序会自动处理签名过程：

1. 检测Secure Boot状态
2. 生成新的RSA密钥对（如果不存在）
3. 使用私钥对驱动模块进行签名
4. 将公钥导出为MOK格式
5. 提示用户将MOK注册到UEFI固件

注册后的MOK会被UEFI固件信任，从而允许加载由对应私钥签名的驱动模块。

最佳实践建议

1. 生产环境中建议使用MOK签名方案而非禁用Secure Boot
2. 备份MOK密钥（通常位于/etc/ssl/mok/）
3. 在多系统环境中，可将同一MOK密钥用于所有系统
4. 定期更新密钥（建议每年一次）
5. 企业环境中可使用统一的企业CA签名驱动

故障排查技巧

如果按照上述步骤操作后问题仍然存在，可以尝试以下排查方法：

1. 检查Secure Boot状态：

   sudo mokutil --sb-state
   

2. 验证驱动签名：

   modinfo amdgpu | grep signature
   

3. 查看内核日志中的错误信息：

   sudo dmesg | grep amdgpu
   

4. 确认DKMS构建状态：

   sudo dkms status
   

通过理解Secure Boot机制与ROCm驱动的交互原理，用户可以更顺利地完成安装过程，同时保持系统的安全特性。AMD官方文档已更新相关内容，帮助用户避免此类安装问题。