是否可以仅允许某个安全的 USB 启动媒体启动 UEFI 系统？

Question

我想限制系统中的所有 USB 启动媒体，除了通过某个密钥声明安全的某个 USB 启动驱动器。

使用 UEFI/安全启动/TPM 可以实现吗？也许通过 TPM？TPM 获取私钥并检查 USB 启动驱动器上的公钥是否有效？

它是一个 Debian Linux 系统。