银河麒麟开机密码配置有三种方法：一是设置grub启动密码，通过grub-mkpasswd-pbkdf2生成加密串并写入40_custom文件；二是启用bios/uefi固件密码，在开机自检时进入设置界面配置；三是安装阶段启用luks全盘加密，实现启动时强制解密系统分区。
如果您希望在银河麒麟操作系统启动过程中增加一层安全防护，防止未经授权的物理访问者直接进入系统，则需要配置开机密码。该密码不同于用户登录密码，而是作用于引导加载阶段（GRUB）或硬件固件层，可有效阻止未授权修改启动参数、跳过内核校验或进入单用户模式等高危操作。
设置GRUB启动密码（推荐）
GRUB密码用于保护引导菜单编辑权限，防止他人通过e键修改内核参数绕过登录验证。该密码独立于系统账户密码，需手动配置加密哈希值。
方法一：使用grub-mkpasswd-pbkdf2生成并注入密码
1、以root身份登录终端，执行：grub-mkpasswd-pbkdf2
2、按提示输入并确认新密码，系统将输出类似grub.pbkdf2.sha512.10000...开头的加密字符串——请完整复制，漏掉任意字符都会导致验证失败。
3、备份原始配置：cp /etc/grub.d/40_custom /etc/grub.d/40_custom.bak
4、用nano编辑器打开自定义文件：sudo nano /etc/grub.d/40_custom
5、在文件末尾新增两行（注意：用户名必须为root，且password_pbkdf2后**不能有空格**，紧接着粘贴加密串）：
set superusers="root"
password_pbkdf2 root grub.pbkdf2.sha512.10000...（此处替换为上步完整输出）
【密码串必须原样粘贴，不得截断、换行或添加空格】
6、更新GRUB配置：sudo update-grub
7、重启后，在GRUB菜单界面按c键或e键，将提示输入用户名root及对应密码。
启用BIOS/UEFI固件密码
该方法在硬件层拦截启动流程，适用于所有操作系统，包括银河麒麟。它不依赖于Linux系统本身，因此无法被操作系统内任何命令绕过。
第一步：进入固件设置界面
重启计算机，在开机自检（POST）阶段根据屏幕提示反复按Del、F2、F10或Esc键——不同主板厂商按键不同，常见为Del（Intel主板）或F2（联想/惠普），若错过时机需重新断电再试。
第二步：定位安全选项
导航至Security或Boot Security相关选项卡，部分UEFI界面中可能显示为“Set Supervisor Password”或“Administrator Password”。
第三步：设置并确认密码
输入新密码并二次确认；部分固件要求密码长度至少6位，且禁止使用纯数字或常见弱口令（如123456）；设置完成后务必选择Save & Exit（而非Exit Without Saving）。
第四步：验证生效
重启时应立即弹出密码输入框；若未出现，请检查是否误设为“Power-on Password”（开机口令）而非“Supervisor Password”（管理员口令）——前者仅限制开机，后者才真正锁住固件设置与启动流程。
启用LUKS全盘加密（安装阶段）
该方式并非传统“开机密码”，而是每次启动时强制输入密码才能解密系统分区、加载操作系统。它由内核级加密模块直接接管磁盘I/O，在引导过程中完成密钥派生与卷解锁，覆盖root、swap及home等核心逻辑卷，仅保留/boot分区明文以保障GRUB正常加载。
方法一：安装时勾选全盘加密
在麒麟操作系统V10 SP1安装过程中，进入磁盘分区环节后，主动勾选“全盘加密”选项。该步骤位于“全盘安装”模式下的目标磁盘选择界面，系统会明确提示启用后将对除/boot外的所有逻辑卷实施LUKS加密。
方法二：输入高强度密码
必须输入不少于8位的密码，并进行二次确认；密码不支持空格与纯数字组合，系统自动校验复杂度——若连续三次输入不符合规则，安装程序将中断并返回分区界面。
方法三：同步勾选格式化
确认加密选项后，必须同步勾选“格式化整个磁盘”，否则残留的未加密数据可能成为旁路攻击入口，使加密形同虚设。
安装程序随即调用cryptsetup工具完成底层加密容器构建，自动配置initramfs以加载LUKS解密模块，整个过程无需手动干预。
