[RESOLU] Installation Windows 11/Secure boot via WAPT

[PaulSLA]

Bonjour,

OS-Server : Ubuntun 22.04.3 LTS
Version WAPT : 2.4.0.14143

Nous avons un serveur WAPT fonctionnel via lequel nous réalisons les déploiements de nos machines.

Nous sommes en train de passer à Windows 11 qui nécessite le secure boot. Soucis, actuellement avec le secure boot activé nous rencontrons l'erreur classique qui nous dit que le winpe n'est pas signé ( d'après ce que nous comprenons ).

Sur le FAQ nous avons trouvez ce passage :

"
Est-ce que l'IPXE WAPT fonctionne avec le Secure Boot ?

Non, on utilise le fichier IPXE du site officiel d’IPXE, qui n’est pas compatible avec le « Secure Boot ». Pour en faire, vous avez deux options : Avoir un fichier IPXE signé (Avec IPXE Anywhere, par exemple) ou télécharger le « .wim » en « TFTP » (ce qui est moins rapide).
"
IPXE signé semble être payant dans les quelques cas que nous avons regarder. Nous cherchons donc à télécharger le .wim en TFTP.
Nous avons un serveur TFTP fonctionnel sur sur le serveur WAPT ( test avec ipxe.efi ).

Cependant nous ne comprenons pas ce que nous devons faire de plus pour que cela soit considéré comme ok par le secure boot ? Juste envoyé par TFTP le boot.efi d'une iso W11 sur le serveur ?

Merci d'avance pour vos réponses,

Cordialement,
Paul,

[sfonteneau]

Bonjour

Nous sommes en train de passer à Windows 11 qui nécessite le secure boot. Soucis, actuellement avec le secure boot activé nous rencontrons l'erreur classique qui nous dit que le winpe n'est pas signé ( d'après ce que nous comprenons ).

Windows 11 demande un poste secure boot capable mais secure boot ne doit pas être obligatoirement activer

Je viens d'essayer avec un iso : Win11_22H2_French_x64v2 et ça marche sans sécure boot actif, on peu d'ailleurs activer le secure boot après si vraiment on veut l'activer

On peu faire du secure boot avec wapt de deux manière:

- En utilisant un ipxe signé (difficile a trouver ou payant) , pour information on a bien un projet de faire signer notre propre ipxe mais la démarche est longue et complexe auprès de Microsoft

- En abandonnant ipxe. Dans ce cas le boot sur l'image winpe sera fait entièrement en tftp, c'est 5 fois plus long au démarrage par contre. Et vous allez perdre quelque fonctionnalité comme par exemple le déploiement linux ou le démarrage sur le réseau systématique.

Voici la procédure pour le faire:

Pour le moment wapttftpserver ne gère pas ça il faut donc le désactivé :

Code : Tout sélectionner

systemctl stop wapttftpserver
systemctl disable wapttftpserver

Ajouter dans/opt/wapt/conf/waptserver.ini :

Code : Tout sélectionner

copy_winpe_x64_in_tftp_folder=True

puis redémarrer le waptserver :

Code : Tout sélectionner

systemctl restart waptserver

* Relancer la création d'un winpe depuis la console

Installer ensuite tftpd-hpa:

Code : Tout sélectionner

apt-get install tftpd-hpa

Modifier la conf de tftpd-hpa

/etc/default/tftpd-hpa :

Code : Tout sélectionner

TFTP_USERNAME="tftp"
TFTP_DIRECTORY=/var/www/wads/pxe
TFTP_ADDRESS="0.0.0.0:69"
TFTP_OPTIONS="-v --secure -m /etc/tftpd.map"

et /etc/tftpd.map

Code : Tout sélectionner

rg \\ /
rg boot/ Boot/
rg efi/ EFI/
rg /microsoft /Microsoft

redémarrer tftpd :

Code : Tout sélectionner

systemctl restart tftpd-hpa

Dans votre conf dhcp le fichier a mentionner n'est plus ipxe.efi mais :

Code : Tout sélectionner

filename "efi/boot/bootmgfw.efi";

Attention il faut être patient dans vos tests le boot est beaucoup plus long

[PaulSLA]

Bonjour,

Je vous remercie des ces éléments de réponses.
Nous avons préféré simplement désactiver le secure boot et le réactiver après coup.

Cordialement,