12.4. 部署密封引导映像

流程

1. 安装 bcvk 工具以作为虚拟机运行引导容器映像：

   $ dnf install bcvk

   bcvk 工具调用 bootc install to disk 创建可引导磁盘映像，并使用 libvirt 管理虚拟机生命周期。

   注意

   为您的生产裸机部署运行 bootc install - -composefs-backend 命令。Anaconda集成将在未来的版本中发生。

2. 部署映像：

   $ bcvk libvirt run --ssh-wait --name <sealed-demo> --firmware=uefi-secure --filesystem=ext4 --secure-boot-keys target/keys localhost/sealed-host:latest

   • --filesystem=ext4 标志指示 bootc install 将 ext4 用于根文件系统，因为它支持与默认 XFS 不同的 fs-verity。
   • --secure-boot-keys target 或 keys 标志将 bcvk 指向包含我们的 PK、KEK 和 db 证书的目录，使 bcvk 能够使用 virt-fw-vars 将这些密钥注册到 OVMF 固件变量存储中，以便安全启动。
   • --ssh-wait 标志使 bcvk 在返回之前等待 SSH 可用性，从而确认系统引导。