SBCTL.CONF(5)                                                    SBCTL.CONF(5)

<?><?><?> (NAME)
       sbctl.conf - <?><?><?><?> <?><?><?><?><?><?><?><?> sbctl

<?><?><?><?><?> <?><?><?><?><?> (SYNOPSIS)
       /etc/sbctl/sbctl.conf

<?><?><?><?><?><?><?> (DESCRIPTION)
       <?><?><?><?> <?><?><?><?><?><?><?><?> sbctl <?><?> <?><?><?><?> YAML
       <?><?><?>. <?><?><?> <?><?><?><?> <?><?> <?><?><?><?> <?><?><?><?>
       <?><?><?><?><?> <?><?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?>
       <?><?><?><?><?><?>.

       <?><?> <?><?><?> <?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?>
       <?><?><?><?><?><?><?><?><?><?> <?> <?><?><?><?><?><?><?><?>
       <?><?><?><?><?> <?><?><?> sbctl <?><?><?><?><?><?><?> <?><?><?>.

<?><?><?><?><?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?><?><?> <?>
       <?><?><?><?><?><?> (CONFIGURATION DIRECTORIES AND PRECEDENCE)
       <?><?><?><?> <?><?><?><?><?><?><?><?> <?><?> <?><?><?> <?><?><?><?>
       <?><?><?> <?><?> <?><?><?><?> /etc/sbctl <?><?><?><?><?><?>
       <?><?><?><?><?><?>. <?><?><?> <?><?><?><?><?> <?><?><?><?> <?><?><?>
       <?><?> <?><?><?><?><?> <?><?><?><?><?> <?><?><?>.

<?><?><?><?><?><?><?><?> (OPTIONS)
       keydir: /path/to/key/dir
           <?><?><?><?><?><?><?><?><?><?><?><?> <?><?> <?><?><?><?>
           <?><?><?><?><?><?> <?><?> sbctl <?><?> <?><?> <?><?>
           <?><?><?><?><?> <?><?><?><?><?><?> <?><?><?><?><?><?><?>.

           <?><?><?><?><?><?><?>: /var/lib/sbctl/keys

       guid: /path/to/guid/file
           <?><?><?><?> <?><?><?><?><?> <?><?> <?><?><?><?><?> GUID
           <?><?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?><?> <?><?>
           <?><?><?><?> <?><?><?><?><?><?>.

           <?><?><?><?><?> GUID <?><?><?><?> <?><?><?><?><?><?><?>
           <?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?><?><?><?>
           <?><?><?><?><?><?><?><?><?> <?><?> <?><?><?><?><?><?><?><?> EFI
           <?><?><?><?><?><?><?> <?><?><?><?><?><?>.

           <?><?><?><?><?><?><?>: /var/lib/sbctl/GUID

       files_db: /path/to/files/json
           <?><?><?><?> <?><?><?><?> json <?><?> <?><?><?><?><?><?><?><?>
           <?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?> sbctl <?><?> <?><?>
           <?><?><?> <?><?><?><?><?> <?><?><?><?><?><?>.

           <?><?><?><?><?><?><?>: /var/lib/sbctl/files.json

       bundles_db: /path/to/bundles/json
           <?><?><?><?> <?><?><?><?> json <?><?> <?><?><?><?><?><?><?><?>
           <?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?> sbctl <?><?> <?><?>
           <?><?><?> <?><?><?><?><?> <?><?><?><?><?><?>.

           <?><?><?><?><?><?><?>: /var/lib/sbctl/bundles.json

       landlock: bool
           <?><?><?><?><?><?><?><?><?> <?><?>
           <?><?><?><?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?><?><?><?>
           <?><?><?><?><?><?> (sandboxing) <?><?><?><?><?><?> landlock
           <?><?><?><?> sbctl.

           <?><?><?><?><?><?><?>: true

       db_additions: [ options... ] <?><?><?><?><?><?> <?><?>
       <?><?><?><?><?><?><?><?><?><?> <?><?><?><?><?> <?><?> <?><?>
       <?><?><?><?><?><?><?><?><?><?><?> <?><?><?><?> (authorization database)
       <?><?><?><?> Secure Boot <?><?><?><?><?> <?><?><?><?><?><?>. <?><?><?>
       <?><?><?><?><?><?> <?><?><?><?><?><?> <?><?>
       <?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?><?><?><?> <?><?> sbctl
       enroll-keys <?><?><?><?><?>. <?><?><?><?><?><?> <?><?><?><?><?>:
       microsoft<?> tpm-eventlog<?> firmware-builtin<?> custom

       files: [ [path: /path/to/file output: /path/to/output ], ... ]
           <?><?><?><?><?><?> <?><?> <?><?><?><?><?><?><?><?><?> <?><?> sbctl
           <?><?><?><?><?> <?><?><?><?><?><?><?><?><?><?> <?><?><?><?><?>
           <?><?><?><?> <?><?><?><?><?> <?><?><?>. <?><?> <?><?><?>
           <?><?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?><?>
           <?><?><?><?><?> files_db <?><?> <?><?><?>
           <?><?><?><?><?><?><?><?><?><?> <?><?><?><?><?>
           <?><?><?><?><?><?><?> <?><?><?><?><?><?>.

           path
               <?><?><?><?> <?><?><?><?> <?><?> <?><?><?><?><?> <?><?> sbctl
               <?><?><?><?> <?><?> <?><?> <?><?><?><?> <?><?><?>.

           output
               <?><?> <?><?><?><?> <?><?><?><?><?> <?><?><?><?>
               <?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?>
               <?><?><?><?><?><?><?>.

       keys: {pk: {...}, kek: {...}, db: {...}}
           <?><?> <?><?><?> <?><?><?><?>-<?><?><?><?><?> <?><?><?><?>
           <?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?><?> <?><?>
           <?><?><?><?><?><?><?><?><?><?><?> <?><?><?><?> <?><?><?><?>
           <?><?><?><?><?><?><?> <?><?><?><?> Secure Boot. <?><?> <?><?><?>
           <?><?><?> <?><?><?><?> <?><?><?><?><?><?><?><?><?><?>
           <?><?><?><?><?> (bootstrap) <?><?> <?><?><?>
           <?><?><?><?><?><?><?><?> <?><?><?><?><?><?><?> <?><?><?><?><?><?>.

           o   pk

           o   kek

           o   db

           <?><?> <?><?> <?><?> <?><?><?><?> <?><?><?><?><?><?><?><?><?><?><?>
           <?><?><?><?><?><?><?><?> <?><?><?> <?><?><?><?> <?> <?><?><?><?>
           <?><?><?><?> <?><?><?><?> <?><?><?><?><?> <?> <?><?><?><?><?>
           <?><?> <?><?><?><?><?> <?><?> <?><?><?><?><?><?> <?><?><?><?>
           <?><?><?>. <?><?><?> <?><?><?><?><?><?> <?><?>
           <?><?><?><?><?><?><?> <?><?><?><?><?> <?><?><?><?><?><?>
           <?><?><?><?> <?><?> <?><?><?><?><?><?><?> <?><?><?> <?><?><?><?>
           <?><?><?><?><?><?> <?><?> <?><?><?> <?><?><?><?><?><?><?><?><?>
           <?><?><?><?><?><?><?><?><?><?> <?><?><?><?><?><?><?>
           <?><?><?><?><?><?><?> <?><?><?><?>. <?><?><?><?> <?><?><?><?><?>
           <?><?><?><?><?><?><?> <?><?><?><?> db <?><?> <?><?> <?><?><?><?><?>
           <?><?> <?><?><?><?> <?><?><?><?><?><?><?><?><?><?><?><?><?> <?>
           <?><?> <?><?><?><?><?> <?><?> <?><?><?><?><?> <?><?><?><?>
           <?><?><?><?> <?><?><?> <?><?><?><?><?> <?><?> <?><?><?><?> <?><?>
           PK <?><?><?> <?><?> <?><?><?><?><?> <?><?><?><?><?><?><?><?><?><?>
           <?><?><?> (hardware-backed enclave) <?><?><?><?> <?><?><?><?>
           <?><?> <?><?><?><?><?> <?><?><?><?><?><?> <?><?><?><?> <?><?><?><?>
           <?><?><?><?><?> <?><?><?>.

           privkey: /path/to/privatekey/file
               <?><?><?><?> <?><?><?><?> <?><?><?><?><?>.

               <?><?><?><?><?><?><?><?><?><?>:

               o   pk: /var/lib/sbctl/keys/PK/PK.key

               o   kek: /var/lib/sbctl/keys/KEK/KEK.key

               o   db: /var/lib/sbctl/keys/db/db.key

           pubkey: /path/to/certificate/file
               <?><?><?><?> <?><?><?><?> <?><?><?><?><?>.

               <?><?><?><?><?><?><?><?><?><?>:

               o   pk: /var/lib/sbctl/keys/PK/PK.pem

               o   kek: /var/lib/sbctl/keys/KEK/KEK.pem

               o   db: /var/lib/sbctl/keys/db/db.pem

           type: file
               <?><?><?> <?><?><?><?> <?><?><?><?> <?><?><?><?><?><?><?>
               <?><?><?><?> <?><?><?> <?><?><?><?> <?><?><?><?>.

               <?><?> <?><?><?> <?><?><?><?> <?><?><?><?> <?><?><?>
               <?><?><?><?> file <?><?><?><?> sbctl <?><?><?><?><?><?><?><?>
               <?><?><?><?><?><?>.

               <?><?><?><?><?><?><?>: file

<?><?><?><?><?><?><?> (EXAMPLES)
       <?><?><?><?><?><?><?><?> <?><?> <?><?> <?><?><?><?>
       /etc/sbctl/sbctl.conf <?><?> <?><?><?><?><?><?> <?><?><?><?><?><?><?>.

           ---
           keydir: /var/lib/sbctl/keys
           guid: /var/lib/sbctl/GUID
           files_db: /var/lib/sbctl/files.json
           bundles_db: /var/lib/sbctl/bundles.json
           landlock: true
           db_additions:
           - microsoft
           files:
           - path: /boot/vmlinuz-linux
             output: /boot/vmlinuz-linux
           - path: /efi/EFI/Linux/arch-linux.efi
             output: /efi/EFI/Linux/arch-linux.efi
           keys:
             pk:
               privkey: /var/lib/sbctl/keys/PK/PK.key
               pubkey: /var/lib/sbctl/keys/PK/PK.pem
               type: file
             kek:
               privkey: /var/lib/sbctl/keys/KEK/KEK.key
               pubkey: /var/lib/sbctl/keys/KEK/KEK.pem
               type: file
             db:
               privkey: /var/lib/sbctl/keys/db/db.key
               pubkey: /var/lib/sbctl/keys/db/db.pem
               type: file

<?><?><?><?><?><?> <?><?><?><?><?><?> (SEE ALSO)
       sbctl(8)

<?><?><?><?><?><?><?><?><?> (AUTHORS)
       o   Morten Linderud <morten@linderud.pw>

                                  08/10/2026                     SBCTL.CONF(5)