apt - 使用安全启动自定义密钥更新后运行脚本

Question

如果我通过 UEFI 工具将 Microsoft 的安全启动密钥替换为我自己的密钥以添加您自己的密钥，并正确配置所有内容，我是否需要重新签名 shim/内核/等。每次我的电脑更新时？是否有任何简单的方法可以自动签署这些（假设私钥在更新时位于特定目录中）？

看起来如果是这种情况并且 apt 中没有内置设施（Debian Secure Boot CA 软件包经过预先签名并与 shim 一起使用），有没有办法在更新特定软件包后运行脚本？

哪些文件我每次都必须重新签名？