Важно: Инструкция основана для Arch Linux, но основные шаги можно адаптировать и под другие дистрибутивы. Если у вас унифицированный образ, то вам пункт с "Установка GRUB" - не нужен.
Инструкция предполагает использование GRUB с модулем TPM . В некоторых дистрибутивах (например, Manjaro или Artix) TPM-модуль может отсутствовать в стандартной сборке GRUB, из-за чего вам может понадобиться собрать GRUB вручную с поддержкой TPM-модуль.

1) Переустановите GRUB, чтобы использовать сертификаты CA Microsoft (вместо shim) — замените в команде «esp» на ваш системный раздел EFI:
2) Пересоздайте конфигурацию grub:

По сути на этом все что вам нужно(не считая ключей и подписей).
После создании новой конфигурации: при запуске компьютера вы сможете заметить новый загрузчик с именем GRUB.

Совет: если os_prober не настроен то вы можете использовать F11 при загрузке компьютера.

1) Переключите режимы secure boot в Cutom Mode и удалите все ключи и если у вас присутствует автовосстановление ключей - отключите(обычно это можно сделать будет там же где и хранятся ключи), после запустите ОС.

2) качаем sbctl этот процесс может отличатся в зависимости от вашего дистрибутива, так что посмотрите как это сделать на своем дистрибутиве[github.com].

1) Убеждаемся что "Setup mode" включен
2) Создаем ключи безопасности:
3) Загружаем их:

Заметка: Ключ "-m" используется для включения сертификатов Microsoft в базу ключей, что необходимо для загрузки подписанных Microsoft компонентов - например, Windows или некоторых драйверов. Это важно при dual-boot с Windows.

4) Убедитесь, что ваши ключи были успешно зарегистрированы и подпись от Microsoft:

Результат вывода:
Installed: sbctl is installed
Owner GUID: [буквы с циферками]
Setup mode Enabled
Secure Boot: Disabled
Vendor Keys: Microsoft

1) Проверьте, какие файлы необходимо подписать:

Заметка: после выполнения команды, вывод может быть через мерно большим, не переживайте. Вам нужны строки которые начинаются с символьного креста и заканчиваются путем к файлу, пример:
"✗ /boot/EFI/GRUB/grubx64.efi".

Все остальное - это не обязательные пути как правило на шрифты и многое другое (их подписывать не нужно, вы и не сможете)

2) подписывать нужно командой:
пример:

Заметка: ваши пути могут отличаться, так что придерживайтесь списка из предыдущего пункта.

---

Убедитесь, что все подписано командой "sudo sbctl verify", а после включите secure boot и все