本帖是直接的答疑解惑和操作指引故 UEFI CA 2023 证书是怎么个事儿请参考《怎么个事儿三部曲》所以 UEFI CA 2023 证书到底是怎么个事儿所以 UEFI CA 2023 证书关我装系统什么事儿所以 UEFI CA 2023 证书装系统还关我 PE 的事儿好长按 E 跳过剧情直入正题。BIOS 模式有问题吗如果你电脑的启动模式是传统 BIOSLegacy模式那么 UEFI 证书问题就算天王老子来了也和你没关系。UEFI 模式有问题吗如果你电脑的启动模式是 UEFI但没有打开安全启动SecureBoot那么这事儿也和你没关系。UEFI 安全启动有问题吗只有安全启动是开Enable、On的时候才有可能会遇到 UEFI 证书问题。所以记住这个条件所以如果不打算解决这个问题或绕过这个问题或这个问题与您无关紧要只需要关闭安全启动就可以了。那么如果遇到安全启动必须开启的环境例如生产环境或计算机不提供关闭安全启动的选项时要怎么做警惕安全启动“如开”模式在讲开安全启动前必须先预警“如开”模式就是“开了但没开”的情况。这种问题常发生于默认不开启安全启动的主板上所以遇到默认不开启安全启动的计算机时应格外警惕。“如开”的几种情况1安全启动打开了但实际上证书是空的这种情况等同于所有证书都不允许2安全启动打开了但没设置证书需要进一步手动设置证书这种情况不设置证书无证书所有证书都不允许3安全启动和CMS同时开了有些主板此二选项不做互斥但实际上CMS开着安全启动没开。排除了“如开”情况后接下来进入真正的解决问题。制作多证书支持的 PEITSK PE 自 26U3 版本起支持制作多证书的 PE U 盘1、选用支持多证书的源系统只有支持多证书的源系统才可以制作支持多证书的 PE。推荐使用 Win11 25H2 作为源2、选中“多证书支持”选项在设置项中选中“多证书支持”即可制作同时支持 PCA 2011旧证书和 UEFI CA 2023新证书的 U 盘 PE3、多证书 U 盘结构制作好后除 UDATA 数据区外U 盘将 UPE 和 UPE_EX 两个 PE 分区分别对应旧、新证书。都做好之后接下来说怎么进 PEUEFI 安全启动 旧证书这是目前多数计算机最常见的一种组合。启动后会在启动项中看到U 盘中存在 2 个 UEFI 启动项分别位于 Part 2分区2和 Part 3分区3或其他表述方法例如 UEFI xxxx 和 UEFI xxxx 1。其中靠前的选项Part 2、UEFI xxxx是旧证书 PE直接选中进就可以了。其实判断错了也没关系判断错了 UEFI 会有证书不匹配提醒后退一步进另一个就可以了。UEFI 安全启动 双证书这种机型里PCA 2011 和 UEFI CA 2023 证书是同时支持的常见一些新机型或一些部署了新证书但暂时未吊销旧证书的机型。这种机型是最好处理的启动后会在启动项中看到U 盘中存在 2 个 UEFI 启动项分别位于 Part 2分区2和 Part 3分区3或其他表述方法例如 UEFI xxxx 和 UEFI xxxx (1)。选择任意一个进入即可。UEFI 安全启动 新证书这种机型不太常见但估计以后会越来越多。这种机型仅认可 UEFI CA 2023 证书见于一些安全性要求较高的机型或双证书机型已吊销旧证书后的状态。启动后会在启动项中看到U 盘中存在 2 个 UEFI 启动项分别位于 Part 2分区2和 Part 3分区3或其他表述方法例如 UEFI xxxx 和 UEFI xxxx 1。其中靠后的选项Part 3、UEFI xxxx 1是新证书 PE直接选中进就可以了。其实判断错了也没关系判断错了 UEFI 会有证书不匹配提醒后退一步进另一个就可以了。UEFI 安全启动关闭别来凑热闹亲安全启动都关了就没证书啥事儿了启动项选个进就行了。UEFI CMS 开一般 CMS 开的状态下即便安全启动的选项是开Enable、On也是不起作用的。等同于 UEFI 安全启动关闭 的情况但因为 CMS 同时兼容传统 BIOS 模式Legacy启动所以除了 2 个 UEFI 启动项外还可以看到一个不带 UEFI 标记的启动项这个启动项即传统 BIOS 模式启动。但仍建议以 UEFI 方式启动避免不必要的交叉兼容问题。BIOS仅 Legacy别来凑热闹亲证书问题和你啥关系一般这种模式下启动项只能看到非 UEFI 启动的那个选项进就可以了。新证书系统安装安装支持新证书的系统有 4 大前提缺一不可1UEFI 是支持新证书或双证书的2PE 也是支持新证书或双证书的3系统安装软件支持新证书4待安装的系统必须是支持新证书或双证书的。新版 EIX3 已全面支持新证书系统安装无感操作全程自动判断证书状况、自行决策。新证书系统重建引导重建新证书系统引导1UEFI 是支持新证书或双证书的2PE 也是支持新证书或双证书的3引导重建软件支持新证书4已安装的系统必须是支持新证书或双证书的。新版 BootR 已全面支持新证书系统引导修复无感操作自动判断证书状况、自动修复。旧证书 PE 下装新证书系统有朋友问题在一台支持双证书的机器上启动了支持双证书的 PE但是操作错了进的旧证书的 PE请问在旧证书 PE 下能不能安装新证书的系统首先你不是我朋友你和拧巴是朋友。答案是能但也必须满足上一节提到的 4 大要素。支持多证书的系统目前已知的包括微软官网和可靠第三方Windows 1126H1强烈不推荐25H2微软官网版本或整合补丁版本24H2整合补丁版本23H2整合补丁版本Windows 102021 LTSC整合补丁版本不推荐2019 LTSC整合补丁版本不推荐ISO 版 PE 怎么支持双证书因 ISO 不能像 U 盘划分多分区故可以采用1、制作一个支持旧证书的 ISO PE2、制作一个支持新证书的 ISO PE3、使用 ventoy 或其他 ISO 启动软件进行启动。ITSK PE 已兼容 ventoy 启动生成 ISO 前开启选项即可转自IT天空