Windows 8 引入 UEFI + Secure Boot 機制，改變了 Linux 雙啟動安裝規則。本文提供四種成熟方案，涵蓋從官方支援到進階手動配置，適用於 Windows 8/10/11 預裝電腦。

核心挑戰：Secure Boot 與 UEFI

• UEFI：取代 BIOS，支援 GPT 分區表、>2TB 磁碟、圖形化介面、模組化驅動。
• Secure Boot：僅載入經 Microsoft 簽名的 UEFI 應用（Windows Boot Manager、簽名過的 shim/grub）。未簽名的 Linux 核心/啟動載入器將被阻擋。
• CSM (Compatibility Support Module)：UEFI 模擬 BIOS，不推薦：關閉 Secure Boot 保護、啟動慢、GPT/MBR 混用風險、無法使用 UEFI 原生功能（BitLocker、VBS、快速啟動）。

方案一：主流發行版原生支援（最推薦新手）

Ubuntu 22.04+、Fedora 38+、openSUSE Leap 15.5+、Linux Mint 21+、Pop!_OS 22.04+ 均已通過 Microsoft UEFI CA 簽名，內建 shim + grub + MOK 機制，安裝程式自動處理：

1. 關閉 Windows 快速啟動：控制台 → 電源選項 → 選擇電源按鈕功能 → 更改目前無法使用的設定 → 取消勾選「啟用快速啟動」。
2. 壓縮 Windows 分區：磁碟管理 → 壓縮卷 → 釋放 ≥ 50GB 空間。
3. 關閉 BitLocker（若啟用）：manage-bde -off C:。
4. 製作 USB 安裝媒體：Rufus → 選擇 ISO → 分區方案：GPT、目標系統：UEFI（非 CSM）。
5. BIOS 設定：關閉 Secure Boot（或保留開啟，安裝程式會引導 MOK 註冊）、關閉 Fast Boot、設定 USB 為第一啟動。
6. 安裝：選擇「與 Windows 安裝在一起」或「手動分區」（建議手動建立 /、/home、swap、/boot/efi 共用 Windows EFI 分區）。
7. 重開機 → 若出現 MOK 管理藍色畫面 → 選擇 Enroll MOK → Continue → Yes → 輸入臨時密碼 → Reboot。

方案二：Fedora/Red Hat 使用 Microsoft 簽名服務

Fedora 專案付費使用 Microsoft 代碼簽名服務（透過 Verisign），其 shim/grub 直接被 UEFI 信任，無需關閉 Secure Boot，安裝流程更順暢。企業環境首選。

方案三：Linux Foundation 機制（進階/開發者）

• 使用 Intel Tianocore EDK II 開源 UEFI 實作，內建 Secure Boot 支援。
• 自行產生簽名金鑰（PK/KEK/db/dbx），註冊至 UEFI 變數區（需平台支援自定義金鑰）。
• 簽署自編譯核心、grub、驅動模組：sbsign --key db.key --cert db.crt --output grubx64.efi.signed grubx64.efi。
• 適合：嵌入式開發、安全啟動研究、需要完全掌控信任鏈的環境。

方案四：關閉 Secure Boot + 純 UEFI 安裝（通用但降低安全性）

1. BIOS 中關閉 Secure Boot，保留 UEFI 模式（不可開啟 CSM）。
2. 安裝任意 Linux 發行版（含 Arch、Gentoo、LFS 等無預簽名發行版）。
3. 手動建立 EFI 開機項：efibootmgr -c -d /dev/nvme0n1 -p 1 -L "Linux" -l /vmlinuz-linux -u "root=/dev/nvme0n1p2 rw quiet"。
4. 風險：啟動鏈無簽名驗證，惡意軟體可植入 Bootkit，BitLocker 會進入恢復模式需輸入恢復金鑰。

共通後續配置

• 時間同步：Windows 使用本地時間，Linux 使用 UTC → timedatectl set-local-rtc 1 --adjust-system-clock。
• 快速啟動殘留：掛載 Windows 分區加 remove_hiberfile 參數或關閉 Windows 快速啟動。
• 雙向檔案存取：NTFS 掛載需 ntfs-3g 或核心 ntfs3（Linux 5.15+），exFAT 推薦 exfatprogs。
• 備份 EFI 分區：dd if=/dev/nvme0n1p1 of=/backup/efi_backup.img，防 Windows 更新覆蓋開機項。