# 真正改变 Windows 行为的 UEFI 设置

> 安全启动、fTPM、CSM、Resizable BAR 与 IOMMU：每个开关对 Windows 做了什么，以及按什么顺序改。

**测试环境**

- 版本号: 26300.9457 / 26100.33650
- 版本: Pro (26H2) / Server
- 架构: x64
- 证据: E1
- 核验日期: 2026-10-29

## 一句话结论

五个固件开关改变 Windows 能做什么。按这个顺序设，因为有些依赖前面的：

1. **启动模式：UEFI，关闭 CSM**——没有它，后面都不成立。
2. **启用 fTPM/PTT**——给你 TPM 2.0。
3. **启用安全启动**——Windows 11 要求，并提升启动完整性。
4. **启用 IOMMU（VT-d/AMD-Vi）**——设备直通与 DMA 保护需要。
5. **Resizable BAR**——显卡性能特性，可选。

其余（风扇曲线、内存配置、CPU 限制）是调优；这五项是能力。

## 每一项实际做什么

| 设置 | 对 Windows 的影响 | 设错的后果 |
|---|---|---|
| UEFI + 关 CSM | 启用安全启动、GPT 启动、VBS | Windows 11 拒绝安装；BitLocker 更弱 |
| fTPM/PTT | 为 BitLocker、Hello、Credential Guard 提供 TPM 2.0 | 安装提示"找不到 TPM"；设备加密不可用 |
| 安全启动 | 只允许签名的引导链 | Windows 11 不受支持；部分反作弊/VBS 功能受限 |
| IOMMU | DMA 重映射、设备隔离 | 虚拟机直通失败；DMA 攻击面更大 |
| Resizable BAR | 显卡可暴露完整显存窗口 | 部分游戏小幅性能损失 |

## 在 Windows 内核对

```powershell
Confirm-SecureBootUEFI
Get-Tpm | Select-Object TpmPresent,TpmReady,TpmEnabled,ManufacturerIdTxt
$env:firmware_type
Get-Disk | Select-Object Number,PartitionStyle
```

- `Confirm-SecureBootUEFI` 报"不支持"，通常说明系统是 legacy/CSM 启动的。
- `$env:firmware_type` 返回 `UEFI` 或 `Legacy`。
- 现代安装下 `PartitionStyle` 应为 `GPT`。

## 安全启动：模式与密钥

**setup mode** 下的安全启动没有登记平台密钥（PK）；Windows 仍能安装，固件可能在首次启动时登记，也可能留给你。

- **标准/自定义模式 + 微软密钥**——消费级常见状态。
- **自定义密钥**——Linux 双系统或自签名引导器。
- **禁用**——Windows 11 不受支持；部分驱动拒绝加载。

改变安全启动状态会让 BitLocker 的度量启动失效并触发恢复提示。**改固件前先挂起 BitLocker：**

```powershell
Suspend-BitLocker -MountPoint C: -RebootCount 1
```

> **警告: 清除 TPM 会抹掉 BitLocker 密钥**
>
> 清除 TPM（或重置 fTPM）会丢弃存在里面的密钥保护器。如果开了 BitLocker 而你没有恢复密钥，数据就没了。先挂起，或先把密钥拿到手。

## 双系统与 Linux

- 保持**安全启动开启**，用支持它的发行版（多数都支持），或登记自己的密钥。
- 关闭固件里的**快速启动**——它会让另一个系统的启动项不可靠。
- Windows Update 会重排启动顺序；另一个系统"消失"时，先看固件启动项再谈修复。

## 服务器：开关更少，后果一样

Windows Server 不要求 TPM/安全启动，但：

- **VBS/Credential Guard** 需要虚拟化 + IOMMU；
- 服务器上 **BitLocker** 很常见——规划 TPM 所有权与恢复密钥托管；
- **固件更新**可能重置这些设置；更新前记录当前状态。

## 安全的修改流程

1. 记录当前设置（拍下屏幕）。
2. 开了 BitLocker 就先挂起。
3. **一次只改一项**，保存，启动。
4. 用上面的命令在 Windows 内核对。
5. 恢复 BitLocker，确认保护状态。
6. 起不来就清 CMOS，回到之前的状态。

## 相关

- [首次开机清单](https://winbook.fyi/zh/hardware/build/first-boot/)
- [各 Windows 版本硬件要求](https://winbook.fyi/zh/hardware/buy/os-hardware-matrix/)
- [虚拟化开关检查](https://winbook.fyi/zh/hardware/cpu/virtualization-flags/)

## 实验室边界

E1。开关及其 Windows 影响有微软与固件厂商文档依据。实验室虚拟用 OVMF + vTPM，验证了同样的要求，但没有物理固件界面。

## 来源

- [Microsoft Learn — OEM 安全启动](https://learn.microsoft.com/zh-cn/windows-hardware/design/device-experiences/oem-secure-boot)
- [Microsoft Learn — TPM 基础](https://learn.microsoft.com/zh-cn/windows/security/hardware-security/tpm/tpm-fundamentals)
- [Microsoft Learn — Confirm-SecureBootUEFI](https://learn.microsoft.com/zh-cn/powershell/module/secureboot/confirm-securebootuefi)
- [Microsoft Learn — Windows 11 要求](https://learn.microsoft.com/zh-cn/windows/whats-new/windows-11-requirements)

---

来源页面: https://winbook.fyi/zh/hardware/build/uefi-settings/