各位好，我最近在处理Secure Boot环境下的内核引导问题，遇到了个棘手的报错，想请大家帮忙诊断下。

我用Knoppix 9.1安装了GRUB 2.06，这个签名后的GRUB在启用Secure Boot的系统上工作完全正常。之后我给一个原版Vanilla内核（版本4.9.20）做了签名，可当我尝试用这个正常工作的签名GRUB去引导它时，直接弹出了错误：

error: bad shim signature

为了排查问题，我分别用sbverify --list命令查看了shim和签名后内核的签名信息：

shimx64.efi.signed的签名信息 #

signature 1

image signature issuers:

- /C=US/ST=Washington/L=Redmond/O=Microsoft Corporation/CN=Microsoft Corporation UEFI CA 2011

image signature certificates:

- subject: /C=US/ST=Washington/L=Redmond/O=Microsoft Corporation/CN=Microsoft Windows UEFI Driver Publisher
   issuer:  /C=US/ST=Washington/L=Redmond/O=Microsoft Corporation/CN=Microsoft Corporation UEFI CA 2011

- subject: /C=US/ST=Washington/L=Redmond/O=Microsoft Corporation/CN=Microsoft Corporation UEFI CA 2011
   issuer:  /C=US/ST=Washington/L=Redmond/O=Microsoft Corporation/CN=Microsoft Corporation Third Party Marketplace Root

bzImage.signed的签名信息 #

signature 1

image signature issuers:

- /C=CA/ST=Quebec/L=Montrea...

目前我暂时没找到问题出在哪，麻烦各位帮忙分析下这个“bad shim signature”错误的根源，以及我该怎么调整才能正常引导这个签名后的Vanilla内核呢？

备注：内容来源于stack exchange，提问作者Zvi Vered