Secure Boot 环境能否安装 NVIDIA 驱动：关键在模块签名链 NEWS DETAIL

Secure Boot 环境可以安装并加载 NVIDIA 驱动，但必须让内核模块由系统信任的密钥签名，并确保安装方式、内核与驱动版本匹配。临时关闭 Secure Boot 只能用于定位，不能被视为合规部署方案；重启后模块是否真实加载才是关键结果。

适用条件与判断边界

适用于启用 UEFI Secure Boot 的 Linux 服务器或工作站。不同发行版可能通过发行版签名包、DKMS 加 MOK 登记或组织自有密钥完成信任。需要确认内核头文件、编译工具、密钥保管、自动续签和远程重启能力。云镜像与物理机的信任链也可能不同。

实施与选型方法

优先使用发行版与 NVIDIA 指南支持的包管理安装方式，记录当前内核、Secure Boot 状态和已登记密钥。若使用 DKMS，确保模块构建后签名，并在维护窗口完成 MOK 或等效信任登记。升级前先为新内核构建并验证模块，保留可启动的旧内核和驱动包。不要同时混用 runfile 与发行版包。

主要风险与控制方式

模块文件存在但签名不被信任时，设备可能在重启后消失；内核更新也可能触发重新构建失败。私钥若散落在节点或脚本中会形成安全风险，远程环境下错误登记还可能需要现场操作。关闭 Secure Boot 会改变安全基线，应经过独立审批而非作为默认修复。

如何核验结果

1. 检查 Secure Boot 状态、模块签名者、内核日志和 nvidia 模块加载结果，不只看安装命令返回值。
2. 重启目标内核后运行设备枚举、基础 CUDA、容器和监控测试，确认链路完整。
3. 模拟下一次内核更新与回退，验证模块自动构建、签名、告警和旧内核启动路径。

下一步行动

把密钥签发、登记、轮换和恢复纳入主机安全运行手册，并在黄金镜像流水线检查签名。每次驱动或内核升级先在同类测试节点完成冷启动验证，再进入生产节点池。

核对具体版本与功能边界时，可查看NVIDIA Driver Installation Guide，并以目标版本页面为准。