“operation not permitted”是内核lockdown模式阻止未签名模块加载所致，主因是secure boot启用且config_lock_down_kernel已编译进内核；需生成合规密钥、用sign-file签名模块，并通过mokutil导入及uefi界面完成enroll。
为什么 insmod 报 “Operation not permitted”
这是内核 Lockdown 模式在起作用，不是权限或路径问题。只要系统启用了 Secure Boot（UEFI 下常见），且内核编译时打开了 CONFIG_LOCK_DOWN_KERNEL（主流发行版默认开启），insmod 就会拒绝加载未签名的模块，并在 dmesg 里留下类似 Lockdown: insmod: unsigned module loading is restricted 的提示。
生成 MOK 密钥对要满足两个硬性格式要求
内核和 UEFI 只认特定格式的密钥：私钥必须是 PEM 格式未加密 RSA，公钥必须是 DER 编码的 X.509 证书。用错格式会导致 mokutil --import 失败或重启后无法 Enroll。
- 生成私钥 + 自签名证书（PEM）：
openssl req -new -x509 -nodes -utf8 -sha256 -days 36500 -subj "/CN=MyModuleKey/" -newkey rsa:4096 -keyout MOK.priv -out MOK.pem - 转公钥为 DER 格式：
openssl x509 -in MOK.pem -outform DER -out MOK.der - 验证 DER 文件是否有效：
file MOK.der应输出MOK.der: data（不是 “PEM certificate”）
签名模块必须用内核源码里的 sign-file 工具
scripts/sign-file 是内核构建系统自带的签名工具，它写的签名结构能被内核模块加载器正确解析。第三方工具如 sbsign 或手动拼 PKCS#7 不兼容。
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- 确认已安装对应内核版本的
kernel-devel或源码树，路径应存在：/lib/modules/$(uname -r)/build/scripts/sign-file - 执行签名：
/lib/modules/$(uname -r)/build/scripts/sign-file sha256 MOK.priv MOK.pem /path/to/your_module.ko - 验证签名是否写入：
modinfo /path/to/your_module.ko | grep -E "(sig_|signer)"应显示非空值
mokutil 导入后必须完成 UEFI 层的 Enroll 才算生效
mokutil --import MOK.der 只是把公钥放进 MOK pending list，不重启、不进 UEFI 界面确认，密钥永远不会进入系统信任链。
- 执行导入后必须重启：
sudo reboot - 重启时出现蓝色 MOK management 界面（不是 GRUB 菜单），选 Enroll MOK → Continue → 输入你执行
mokutil --import时设置的密码（不是 root 密码，是mokutil提示你设的那个）→ Yes - 成功后可查状态：
sudo mokutil --list-enrolled | grep -A 5 "SHA1 Fingerprint"，看到指纹即表示已注册
最常被跳过的一步是忘记在重启后进 MOK 界面点 Enroll——哪怕 mokutil --import 显示成功，没这步签名模块照样加载失败。
