74 lines
3.1 KiB
Nix
74 lines
3.1 KiB
Nix
{ pkgs, config, ... }:
|
|
{
|
|
environment.systemPackages = with pkgs; [
|
|
grub2_efi
|
|
];
|
|
|
|
system.activationScripts = {
|
|
# This, has to be the LAST GRUB script to run.
|
|
# The reason is that a standalone GRUB image takes with it
|
|
# the configuration too, apparently.
|
|
# "90-generate-standalone-grub" = {
|
|
# text = ''
|
|
# if [ "$NIXOS_ACTION" = "switch" ] || [ "$NIXOS_ACTION" = "boot" ]; then
|
|
# echo "Generating standalone GRUB EFI entry..."
|
|
|
|
# ESP="${config.boot.loader.efi.efiSysMountPoint}"
|
|
# OUT_DIR="$ESP/EFI/NixOS-boot"
|
|
# FALLBACK_DIR="$ESP/EFI/BOOT"
|
|
# mkdir -p "$OUT_DIR" "$FALLBACK_DIR"
|
|
|
|
# OUT="$OUT_DIR/grubx64.efi"
|
|
# FALLBACK="$FALLBACK_DIR/BOOTX64.EFI"
|
|
|
|
# # GPT-5 told me to add all those modules, idk.
|
|
# ${pkgs.grub2_efi}/bin/grub-mkstandalone -O x86_64-efi -o "$OUT" \
|
|
# "boot/grub/grub.cfg=${pkgs.writeText "grub-standalone-template.cfg" ''
|
|
# search --file --no-floppy --set=esp /EFI/NixOS-boot/grubx64.efi
|
|
# set prefix=($esp)/grub
|
|
# if [ -f ($esp)/grub/grubenv ]; then
|
|
# load_env ($esp)/grub/grubenv
|
|
# fi
|
|
# if [ -f ($esp)/grub/grub.cfg ]; then
|
|
# configfile ($esp)/grub/grub.cfg
|
|
# else
|
|
# echo "Error: ($esp)/grub/grub.cfg not found."
|
|
# sleep 5
|
|
# fi
|
|
# ''}" \
|
|
# --modules="part_gpt part_msdos fat normal search search_fs_uuid search_label configfile linux gzio efi_gop efi_uga all_video gfxterm gfxmenu png jpeg tga font" \
|
|
# --disable-shim-lock
|
|
|
|
# # It's so stupid but otherwise it won't boot:
|
|
# # https://wejn.org/2021/09/fixing-grub-verification-requested-nobody-cares/
|
|
# ${pkgs.gnused}/bin/sed -i 's/SecureBoot/SecureB00t/' "$OUT"
|
|
|
|
# cp -f "$OUT" "$FALLBACK"
|
|
# fi
|
|
# '';
|
|
# };
|
|
"99-sign-all" = {
|
|
text = ''
|
|
if [ "$NIXOS_ACTION" = "switch" ] || [ "$NIXOS_ACTION" = "boot" ]; then
|
|
echo "Signing all EFI binaries with sbctl..."
|
|
|
|
# 1. 파일이 존재하는지 먼저 확인하고,
|
|
# 2. 이미 등록되어 있다면 sign-all로 한 번에 처리하거나,
|
|
# 3. 개별 파일에 대해 에러가 나도 스크립트가 중단되지 않도록 || true를 붙입니다.
|
|
|
|
# 주요 바이너리들을 DB에 등록 (이미 등록되어 있으면 sbctl이 알아서 스킵하거나 에러를 낼 텐데, 그걸 무시합니다)
|
|
${pkgs.sbctl}/bin/sbctl sign -s /boot/EFI/NixOS-boot/grubx64.efi || true
|
|
${pkgs.sbctl}/bin/sbctl sign -s /boot/EFI/BOOT/BOOTX64.EFI || true
|
|
|
|
# Windows 부트로더 등 다른 파일들도 필요한 경우 추가
|
|
if [ -f /boot/EFI/Microsoft/Boot/bootmgfw.efi ]; then
|
|
${pkgs.sbctl}/bin/sbctl sign -s /boot/EFI/Microsoft/Boot/bootmgfw.efi || true
|
|
fi
|
|
|
|
# 4. 마지막으로 전체 서명 수행
|
|
${pkgs.sbctl}/bin/sbctl sign-all || echo "Some files failed to sign, but continuing..."
|
|
fi
|
|
'';
|
|
};
|
|
};
|
|
}
|