第444回
Ubuntuにおけるセキュアブートの仕組み
https://gihyo.jp/admin/serial/01/ubuntu-recipe/0444

そこでUbuntu（やFedora）は、GRUBより一段前にMicrosoftの鍵で署名されたshimブートローダーをはさむ方法を採用しました。もともとMicrosoftはdb用に2つの鍵を持っています。
Microsoft Windows Production PCA 2011（PCAファイルへのリンク）
Microsoft Corporation UEFI CA 2011（UEFI CAファイルへのリンク）

はい　ここから読んでね
内容をわかっている人が結構と詳しく書いています
ここで言っている後者のは、PCR7 バインド不可になるものと関係していますよね
あなたは以前どこかのスレでこの内容に関わっていてデタラメ放題でしたねw