Hyper-V : Activer et configurer le Secure Boot avec une machine virtuelle Linux

Dans ce tutoriel, nous allons voir comment activer et configurer le Secure Boot sur une machine virtuelle Linux hébergée sur Hyper-V.

Par défaut, le Secure Boot est activé sur les machines virtuelles de génération 2, mais toutes les distributions Linux ne sont pas compatibles avec la configuration standard. Nous verrons donc comment choisir le bon modèle de certificat UEFI.

L’objectif est de sécuriser vos machines virtuelles Linux tout en garantissant leur bon fonctionnement dans un environnement Hyper-V.

Comme beaucoup de personnes (on ne va pas se mentir), jusqu’à très récemment, lorsque je configurais une machine virtuelle Linux sur Hyper-V en génération 2, j’avais tendance à désactiver le Secure Boot.

Ce n’était pas par incompatibilité réelle, mais plutôt par simplicité… voire par un peu de fainéantise 😉

Car comme vous allez le voir dans ce tutoriel, il suffit simplement de sélectionner le bon modèle de certificat UEFI pour conserver le Secure Boot activé, tout en permettant à la distribution Linux de démarrer correctement.

C’est quoi le Secure Boot et pourquoi le conserver ?

Le Secure Boot est une fonctionnalité de sécurité intégrée au firmware UEFI. Son rôle est de vérifier la signature numérique des composants de démarrage (bootloader, noyau, drivers) avant leur exécution.

Concrètement, cela permet d’empêcher le chargement de logiciels malveillants au démarrage du système, comme les bootkits ou certains rootkits particulièrement difficiles à détecter.

Dans le cas d’une machine virtuelle de génération 2 sous Hyper-V, le Secure Boot est activé par défaut. Toutefois, la configuration standard utilise un modèle de certificat principalement adapté à Windows. Résultat : certaines distributions Linux ne démarrent pas si le modèle n’est pas adapté.

Pourquoi le conserver ?

Même en environnement virtualisé, conserver le Secure Boot présente plusieurs avantages :

• Protection contre les altérations du chargeur de démarrage
• Sécurisation renforcée dans des environnements multi-tenant ou lab partagés
• Alignement avec les bonnes pratiques de sécurité actuelles
• Cohérence avec les exigences de conformité (ISO 27001, ANSSI, etc.)

Dans un contexte professionnel et encore plus lorsqu’on administre une infrastructure, désactiver une fonctionnalité de sécurité par facilité n’est généralement pas la meilleure approche.

Heureusement, avec Linux sous Hyper-V, il ne s’agit pas d’une incompatibilité réelle… mais simplement d’un paramétrage à ajuster.

Configuration du Secure Boot pour une VM Linux génération 2 sur Hyper-V

Pour commencer, créer une nouvelle machine virtuelle de Génération 2 en démarrant sur l’ISO Linux de votre choix (pour ma part ça sera Debian 13).

Une fois la machine virtuelle créée, si on cherche à la démarrer, nous avons une erreur UEFI comme ci-dessous :

Pour résoudre ce problème de démarrage, ouvrir les paramètres de la machine virtuelle, aller dans la section Sécurité et sélectionner le modèle : Autorité de certification UEFI Microsoft.

Redémarrer la machine virtuelle, elle doit démarrer normalement comme on peut le voir ci-après.

Conclusion

Comme nous l’avons vu dans ce tutoriel, le problème du Secure Boot avec une machine virtuelle Linux sous Hyper-V n’est pas une réelle incompatibilité, mais simplement une question de configuration.

Pendant longtemps, par facilité, j’avais tendance à désactiver le Secure Boot lors de la création d’une VM Linux en génération 2. Pourtant, il suffit simplement de sélectionner le modèle Microsoft UEFI Certificate Authority pour permettre à la majorité des distributions modernes de démarrer correctement.

Au final, conserver le Secure Boot permet d’aligner ses environnements virtualisés avec les bonnes pratiques de sécurité actuelles, sans complexifier l’administration.

Comme quoi, parfois, la solution est déjà là… il suffit juste de cocher la bonne option 😉

FAQ