Настройка BIOS Gigabyte Z790/X670: TPM 2.0, Secure Boot и VT-d/IOMMU (гайд 2026)

Ошибка «Device not found» при попытке включить BitLocker? Виртуальная машина не стартует, а гипервизор сообщает об отсутствии аппаратной поддержки? Корпоративная безопасность и производительность виртуализированных сред начинаются не в конфигурации гипервизора или ОС, а в низкоуровневых настройках BIOS/UEFI материнской платы. Правильная активация аппаратных функций на платах Gigabyte — VT-x/AMD-V, VT-d/IOMMU, TPM 2.0 и Secure Boot — является обязательным фундаментом для любой инфраструктуры, использующей шифрование дисков (BitLocker, LUKS) и виртуальные машины. Ошибки в этой базовой конфигурации приводят к нестабильной работе ВМ, невозможности загрузки системы или неспособности выполнить корпоративные политики безопасности.

Это руководство предоставляет системным администраторам и DevOps-инженерам проверенные на практике пошаговые инструкции по настройке BIOS Gigabyte, объясняет взаимосвязь между технологиями и даёт решения для типичных проблем совместимости. Вы получите не только алгоритм действий, но и понимание, почему каждый шаг критически важен для построения защищённой и эффективной среды. Мы устраняем ошибку «Device not found», настраиваем Secure Boot для Linux, активируем IOMMU для PCIe Passthrough и гарантируем корректную работу BitLocker и LUKS. Инструкции проверены на платах Gigabyte с чипсетами Z790 и X670 и версиями BIOS, актуальными на 2026 год.

Быстрое решение: чек-лист из четырёх шагов

Если рабочий результат нужен сразу, начните с этих настроек — остальные разделы нужны уже для диагностики и оптимизации.

1. Settings → Advanced CPU Configuration: Intel Virtualization Technology (VT-x) или SVM Mode → Enabled.
2. Settings → System Agent Configuration (Intel) или Advanced → AMD CBS (AMD): Intel VT-d или AMD IOMMU → Enabled.
3. Security → Trusted Computing: TPM Device Selection → fTPM или dTPM, TPM State → Enabled.
4. Boot → Secure Boot → Enabled, далее Key Management → Install Default Secure Boot Keys; CSM / Legacy Boot → Disabled.

После сохранения настроек выполните холодную перезагрузку с полным отключением питания — это гарантирует корректную инициализацию TPM и IOMMU.

Сводная таблица задач и настроек BIOS Gigabyte

Для быстрого поиска используйте таблицу соответствия задач, технологий и местоположения параметров в BIOS Gigabyte. Названия меню могут отличаться в зависимости от модели платы, версии BIOS и поколения процессора. Всегда сверяйтесь с руководством к вашей материнской плате.

Навигация по разделам

• Активация аппаратной виртуализации (VT-x/AMD-V и VT-d/IOMMU)
• Настройка TPM 2.0 (Trusted Platform Module)
• Включение и настройка Secure Boot
• Настройка SR-IOV
• Настройка Global C-State
• Типичные проблемы и их решения
• Часто задаваемые вопросы (FAQ)

Активация аппаратной виртуализации (VT-x/AMD-V и VT-d/IOMMU)

Именно здесь создаётся основа для работы любого гипервизора — VMware ESXi, Hyper-V, KVM или Docker. Необходимо включить обе связанные технологии.

1. Перейдите в раздел «Settings» или «Advanced».
2. Найдите подраздел «CPU Configuration», «Advanced CPU Configuration» или «System Agent Configuration».
3. Для процессоров Intel:
   • Intel Virtualization Technology (VT-x) — установить в «Enabled».
   • Intel VT-d — установить в «Enabled».
4. Для процессоров AMD:
   • SVM Mode (аналог VT-x) — установить в «Enabled».
   • AMD IOMMU — установить в «Enabled».

Важно: После изменения этих настроек рекомендуется выполнить полную холодную перезагрузку (вынуть шнур питания), а не просто мягкий restart. Это гарантирует корректную инициализацию технологий процессором.

На этом настройка BIOS Gigabyte для виртуализации заканчивается и начинается работа в гипервизоре. Если среда разворачивается на Linux, следующий шаг — KVM, QEMU и libvirt: комплексное руководство по виртуализации в Linux через терминал.

Настройка TPM 2.0 (Trusted Platform Module)

Это обязательный шаг для использования аппаратного шифрования. Включение TPM 2.0 на Gigabyte занимает минуту, но без него не заработают BitLocker, LUKS с привязкой к аппаратному ключу и политики безопасности, требующие доверенной платформы.

1. Перейдите в раздел «Security» или «Trusted Computing».
2. Найдите параметр «TPM Device Selection». Здесь нужно сделать ключевой выбор:
   • Firmware TPM (fTPM): модуль, интегрированный в CPU (современные процессоры Intel и AMD). Удобен, но в некоторых сценариях может конфликтовать с другими функциями безопасности процессора.
   • Discrete TPM (dTPM): отдельный физический чип на материнской плате. Часто считается более безопасным и независимым от процессора. Для корпоративных систем рекомендуется dTPM, если он поддерживается платой.
3. Установите параметр «TPM State» в «Enabled».
4. Параметр «Clear TPM» используйте с крайней осторожностью — он стирает все ключи и измерения, что может привести к невозможности загрузки зашифрованной системы.

Включение и настройка Secure Boot

Эта технология обеспечивает целостность процесса загрузки.

1. Перейдите в раздел «Boot».
2. Найдите параметр «Secure Boot» и установите его в «Enabled».
3. Чаще всего рядом находится подраздел «Key Management». Войдите в него.
4. Выберите опцию «Install Default Secure Boot Keys». Это загрузит в прошивку стандартные ключи Microsoft, необходимые для загрузки большинства систем.
5. Установите «OS Type»:
   • «Windows UEFI mode» — для загрузки Windows.
   • «Other OS» — для загрузки многих дистрибутивов Linux.

Критически важное предупреждение: Не используйте опцию «Clear Keys» без крайней необходимости. Это удалит все ключи из прошивки и может сделать систему полностью незагружаемой.

Если вы настраиваете Secure Boot Gigabyte для Linux, после загрузки проверьте состояние ключей командой mokutil --sb-state — она покажет, активен ли режим и можно ли ставить собственные подписи (MOK) для кастомных ядер и драйверов.

Настройка SR-IOV

SR-IOV (Single Root I/O Virtualization) позволяет одному физическому устройству PCIe (например, сетевой карте) предоставлять несколько виртуальных функций (VF), которые могут быть напрямую назначены разным виртуальным машинам. Это повышает производительность и снижает нагрузку на гипервизор.

1. Перейдите в раздел «Settings» → «Miscellaneous» или «Advanced» → «PCI Subsystem Settings».
2. Найдите параметр «SR-IOV Support» и установите его в «Enabled».
3. Сохраните изменения и перезагрузитесь.

Примечание: Не все материнские платы и устройства поддерживают SR-IOV. Проверьте документацию к вашему оборудованию.

Настройка Global C-State

Global C-State Control управляет режимами энергосбережения процессора. В некоторых случаях для стабильной работы виртуализации или при разгоне рекомендуется отключить C-States, чтобы избежать задержек при переключении состояний.

1. Перейдите в раздел «Settings» → «Advanced CPU Configuration» (Intel) или «AMD CBS» (AMD).
2. Найдите параметр «C-States» или «Global C-State Control».
3. Установите значение «Disabled», если вам нужна максимальная производительность и стабильность, или оставьте «Enabled» для энергосбережения.

Важно: Отключение C-States увеличит энергопотребление и тепловыделение, но может решить проблемы с задержками в виртуальных средах.

Типичные проблемы и их решения при настройке безопасности Gigabyte

После выполнения базовых настроек могут возникнуть проблемы. Вот решения для наиболее распространённых сценариев.

Ошибка «Device not found» или гипервизор не видит поддержку виртуализации

Если, несмотря на включение VT-x в BIOS, система или гипервизор (например, VMware Workstation) сообщает, что виртуализация недоступна:

• Полное отключение питания: Выполните холодную перезагрузку (отключите питание, затем включите). Это часто решает проблему.
• Конфликт технологий: Проверьте другие настройки в разделе CPU, особенно связанные с энергосбережением (C-states) или специфичными функциями безопасности процессора (например, SGX). Попробуйте временно отключить их.
• Режим загрузки: Убедитесь, что система загружается в режиме UEFI, а не Legacy (CSM). Виртуализация может требовать именно UEFI.
• Проверка в ОС: В Windows используйте команду systeminfo в командной строке и посмотрите строку «Virtualization Enabled In Firmware». В Linux используйте утилиту kvm-ok или cpu-checker.

BitLocker или LUKS не могут использовать TPM после настройки

Шифрование не активируется, хотя TPM включен в BIOS.

• Диагностика видимости: В Windows запустите tpm.msc и проверьте статус модуля. В Linux используйте команды tpm2_getcap или проверьте наличие устройства /dev/tpm0.
• Правильный тип TPM: Убедитесь, что в BIOS выбран тот тип TPM (fTPM или dTPM), который физически присутствует на системе. Несоответствие приводит к ошибке.
• Блокировка доступа: В некоторых BIOS есть дополнительные параметры безопасности, ограничивающие доступ ОС к TPM. Проверьте разделы «Security» на наличие опций типа «TPM Ownership» или «TPM Access».
• Очистка и повторная инициализация: Если модуль был ранее использован другой ОС, может потребоваться процедура «Clear TPM» в BIOS (с последующей перезагрузкой) и повторная инициализация в ОС. Помните: это приведет к потере всех хранящихся в TPM ключей!

Как и при работе с другими сложными системами, важно понимать основы технологии, чтобы правильно диагностировать проблемы. Например, для эффективного управления контейнеризованными приложениями необходимо глубоко понимать архитектуру Docker и принципы его работы. Это позволяет избежать ошибок, аналогичных тем, что возникают при неправильной настройке низкоуровневых функций.

Secure Boot Gigabyte не загружает Linux или система не загружается после включения

Это самый критичный сценарий, часто вызванный двумя причинами: использованием диска с форматом MBR вместо GPT или активным режимом CSM (Legacy Boot).

1. Войдите в BIOS (система обычно позволяет это сделать даже при ошибке загрузки).
2. Переключите «Secure Boot» в «Disabled».
3. Загрузитесь в ОС и проверьте формат диска:
   • В Windows: «Управление дисками» — если диск имеет раздел «Зарезервировано системой» и тип «Основной», это GPT. Если нет — вероятно, MBR.
   • В Linux: команда sudo parted -l.
4. Если диск использует MBR, необходимо преобразовать его в GPT (с предварительным резервным копированием данных) или переустановить ОС на GPT-диск.
5. Убедитесь, что параметр «CSM» или «Legacy Boot» в разделе «Boot» BIOS установлен в «Disabled».
6. После подготовки (GPT диск, CSM отключен) активируйте Secure Boot снова.

Ошибка «Secure Boot Violation» при включении Secure Boot

Сообщение «Secure Boot Violation» или «Invalid signature detected» означает, что подпись загрузчика не совпадает ни с одним из ключей, записанных в прошивке. Система при этом не загружается, но BIOS доступен.

• Не установлены ключи: зайдите в «Boot» → «Secure Boot» → «Key Management» и выполните «Install Default Secure Boot Keys», затем сохраните настройки и перезагрузитесь.
• Неподписанный загрузчик: так ведут себя старые дистрибутивы, кастомные ядра, загрузка с флешки без shim и некоторые live-образы. Установите подписанный загрузчик, обновите дистрибутив или добавьте собственный ключ через MOK.
• Активен CSM/Legacy Boot: Secure Boot работает только в режиме UEFI — переведите CSM в «Disabled».
• Порядок загрузки: проверьте Boot Option Priorities — устройство в начале списка может содержать загрузчик, не покрытый ключами.

Если простой нужно вернуть систему в рабочее состояние, временно установите Secure Boot в «Disabled», устраните причину (ключи, подпись загрузчика, CSM) и включите защиту обратно. Оставлять её выключенной в корпоративной среде не стоит: теряется контроль целостности загрузки.

Оптимизация для корпоративных сценариев: баланс безопасности и производительности

Базовая настройка обеспечивает работу функций. Для высоконагруженных виртуальных сред требуется тонкая оптимизация.

Настройка IOMMU групп для изоляции и PCIe Passthrough

После активации VT-d/IOMMU система группирует физические устройства для изоляции. Просмотреть группы можно в Linux командой ls /sys/kernel/iommu_groups/. Если нужное устройство (например, GPU) находится в группе с другими устройствами, которые не должны передаваться ВМ, passthrough будет невозможен.

В BIOS Gigabyte иногда можно повлиять на группировку через дополнительные параметры:

• SR-IOV Support: Включение может изменить логику группировки для сетевых карт с поддержкой этой технологии.
• ARI (Alternative Routing-ID) Support: Включение может увеличить количество возможных групп.
• Отключение неиспользуемых контроллеров: В разделе «Integrated Peripherals» отключите неиспользуемые SATA, USB или звуковые контроллеры. Это уменьшает нагрузку на IOMMU и может улучшить группировку.

Автоматизация проверки настроек BIOS для DevOps-пайплайнов

Для массового развертывания инфраструктуры критически важна автоматизация проверки корректности низкоуровневых настроек. Это можно интегрировать в этапы подготовки инфраструктуры (например, с помощью Terraform или Ansible).

Пример скрипта для проверки через IPMI (для систем с поддержкой ipmitool):

# Проверка состояния виртуализации через IPMI
ipmitool -H <IP-адрес BMC> -U <пользователь> -P <пароль> raw 0x30 0x70 0x01 0x00
# Возвращаемое значение нужно интерпретировать согласно документации к плате.

Для локальной проверки на Linux можно использовать скрипт, который анализирует вывод dmesg | grep -i iommu и systemd-cgls. Такие проверки должны выполняться перед развертыванием виртуальных машин или установкой СУБД, требующих аппаратного ускорения, чтобы гарантировать соответствие среды требованиям безопасности и производительности. Интеграция таких проверок в Infrastructure as Code — ключевой тренд для управления современной IT-инфраструктурой.

Часто задаваемые вопросы (FAQ)

Почему после включения Secure Boot не загружается Linux?

Наиболее частые причины — использование диска с разметкой MBR вместо GPT или активный режим CSM (Legacy Boot). Secure Boot требует UEFI и GPT. Отключите Secure Boot, проверьте формат диска и отключите CSM, затем включите Secure Boot снова.

Что делать, если гипервизор не видит аппаратную виртуализацию после включения в BIOS?

Выполните полную холодную перезагрузку (отключите питание). Проверьте, что система загружается в режиме UEFI, а не Legacy. В Windows выполните systeminfo и найдите строку «Virtualization Enabled In Firmware». В Linux используйте kvm-ok.

Как проверить, включен ли IOMMU в Linux?

Выполните dmesg | grep -i iommu: в выводе должны быть строки о включённом IOMMU (AMD-Vi или DMAR для Intel). Дополнительно проверьте каталог ls /sys/kernel/iommu_groups/ — если он содержит группы с устройствами, IOMMU активен. Пустой вывод означает, что функцию нужно включить в BIOS: Settings → System Agent Configuration (Intel) или AMD CBS (AMD).

Какой тип TPM выбрать: fTPM или dTPM?

fTPM встроен в процессор и не требует дополнительного оборудования. dTPM — отдельный чип, который обеспечивает более высокую изоляцию ключей. Для корпоративных систем рекомендуется dTPM, если он поддерживается материнской платой.

Безопасно ли использовать опцию Clear TPM в BIOS?

Нет, без крайней необходимости. Clear TPM стирает все ключи и измерения, что может привести к невозможности загрузки зашифрованной системы и потере доступа к данным. Используйте только при повторной инициализации модуля.

Почему после включения SR-IOV виртуальные машины не видят виртуальные функции?

Убедитесь, что ваше устройство и гипервизор поддерживают SR-IOV. Проверьте, что в BIOS включена поддержка SR-IOV, и что драйвер устройства в хост-системе загружен с поддержкой SR-IOV. В Linux можно проверить наличие VF командой lspci -v | grep SR-IOV.

Влияет ли отключение Global C-State на стабильность виртуализации?

Да, в некоторых случаях отключение C-States может повысить стабильность виртуальных машин, устраняя задержки при переключении состояний процессора. Однако это увеличивает энергопотребление. Рекомендуется тестировать на конкретной нагрузке.

Итоги и рекомендации

Настройки BIOS/UEFI — это не разовая процедура, но часть инфраструктуры, которую следует контролировать и документировать. Краткий чек-лист для проверки:

1. VT-x/AMD-V и VT-d/IOMMU включены и подтверждены гипервизором.
2. TPM 2.0 (желательно Discrete TPM) активирован и виден в ОС.
3. Secure Boot включен, ключи установлены, CSM отключен, диск использует GPT.
4. IOMMU группы проверены и оптимизированы для планируемого passthrough устройств.
5. SR-IOV включен при необходимости.
6. Global C-State настроен в соответствии с требованиями к производительности и энергосбережению.
7. Настройки сохранены и проверены после холодной перезагрузки.

Актуальные тренды и требования:

• TPM 2.0 является обязательным минимумом для любой корпоративной системы, особенно с учетом роста атак на цепочки поставок, где аппаратное хранилище ключей критически важно.
• Требования Secure Boot становятся строже даже для загрузки многих дистрибутивов Linux.
• Значимость VT-d/IOMMU растёт с распространением аппаратного ускорения (GPU, Smart NICs) в облачных и виртуальных средах.

Главная рекомендация: рассматривайте конфигурацию BIOS как часть «Infrastructure as Code». Документируйте изменения, используйте автоматизированные проверки в пайплайнах развертывания и всегда тестируйте настройки на нетестовом оборудовании перед применением в production. Для решения смежных задач, таких как устранение ошибок виртуализации, может быть полезно наше руководство по устранению ошибки VT-x is disabled.