>A unified kernel image is an all-in-one efi binary containing kernel, initrd, cmdline and signature. The secure boot signature covers everything, specifically the initrd is included which is not the case when the initrd gets loaded as separate file from /boot.

リンクの元ソースより
initrdもセキュアブート対象になる
もう一つの理由はユーザーがinitrdを生成することはカーネルパニックを起こす原因になりうるからとある