修正 VMware 中的主機 TPM 認證警告問題

要點

vSphere 中的主機驗證可驗證主機系統的完整性，以確保其未被竄改，從而為虛擬機器 (VM) 建立安全的環境。
「TPM 主機認證警報」通常是由實體 TPM 2.0 晶片出現問題引起的，這通常是由於 UEFI 設定不正確或添加了新的 TPM 晶片造成的。
若要解決此錯誤，請確保已啟用安全啟動、TPM 設定正確，且 vCenter Server/ESXi 版本是最新的；此外，如果新增了新的 TPM，斷開主機與 vCenter 的連線並重新連線也可以解決此問題。

在VMware中，更具體地說是在vSphere中，您可能會遇到「主機 TPM 驗證警報」的錯誤訊息。如果您剛剛在主機系統中安裝了新的 TPM 2.0 晶片，那麼看到此訊息可能會讓您感到困惑。在本指南中，我們將討論主機身份驗證的含義以及如何解決此問題。

什麼是主機認證？

簡單來說，主機驗證用於驗證執行在vSphere上的多個虛擬機器所在的電腦（主機）的完整性。這確保系統未被篡改，並為虛擬機器提供安全的環境。試想一下，您（虛擬機器）會希望您的家（主機）有多安全。

系統會產生一份包含系統關鍵資料的報告，並將其與已知值或預期值進行比較，以確定主機是否可信。這在伺服器環境中至關重要，因為價值數十億美元的資料會傳輸到遠端機器，而您需要確保這些機器的可靠性。

通常情況下，vSphere不需要TPM。 vSphere環境中的每台虛擬機器都使用vTPM （虛擬可信任平台模組）來確保基本安全性。使用 vTPM 不需要物理 TPM。 vTPM 允許為每台虛擬機器單獨使用BitLocker等服務。

「主機 TPM 驗證警報」問題是由實體 TPM 引起的。這可能是由多種因素造成的：新增了新的 TPM晶片、 TPM 硬體不足、 UEFI設定不正確或vSphere / vCenter版本問題。

如何解決「TPM主機認證告警」？

幸運的是，修復主機 TPM 身份驗證警報並不難。首先，我們需要找出問題的根本原因。為此，我們可以查看相關的錯誤訊息或查看日誌。

稱呼 vCenter 服務器.
選擇一個資料中心，然後轉到“監控器“。
之內 ”性能“，輕按 ”安全性“。
確定出現此問題的設備，並檢查“留言（來源： VMware的)
如果訊息內容為：主機安全啟動已停用所以請跟隨 第1步 下面啟用 安全啟動 從您的 UEFI 設定中。如果“證明書它只是指支付失敗那你就得檢查一下了。 紀錄檔案 僅適用於 vCenter Server。有關日誌文件的更多信息，請參閱此連結。指導.
找到文件後 vpxd.log檢查它是否包含以下記錄：“沒有隱藏的身份密鑰；資料載入自資料庫。如果是這樣，請遵循 第2步.

1）您的房東是否符合要求？

如果您的虛擬機器配置為使用主機驗證，則必須符合以下特定要求：

片 TPM 2.0 物理層
必須啟用 安全啟動
TPM必須使用基於加密的 SHA-256
版本需要更新 vCenter 服務器 和 ESXi的 إ 6.7 或更高

幾乎所有情況下，用戶都是誤禁用了 TPM 或安全啟動。若要重新啟用這些設置，請按照下列步驟操作：

重新啟動電腦並按下“刪除“，”F1“，”F2或者 ”F10“。
轉到標籤“船“並尋找名為“安全啟動將其設為“啟用“。
接下來，我們需要啟用TPM。請轉到“設定在我們的案例中，TPM位於“可信計算具體情況可能因係統而異，最好參考主機板手冊。
如果您的應用程式不是最新版本，您應該將其升級到最新版本。 6.7 至少，根據要求是這樣。由於 vSphere 和 vCenter 都是複雜的應用程序，建議遵循正確的操作手冊。的vSphere, 的vCenter為確保不會發生意外問題。

2) 將TPM晶片安裝到現有主機中

如果您的日誌檔案中包含「 No cached identity key, loading from DB 」的文本，則表示您已在 vCenter 管理的主機上安裝了 TPM 2.0 晶片。要解決此問題，只需將主機置於維護模式，並斷開 ESXi 主機與 vCenter 伺服器的連接，然後重新連接即可。

登入 إ vSphere Client.
右鍵點擊 在主機上 ESXi的 意義。
定位“維護模式（維護模式）並點選“進入維護模式（進入維護模式）。（來源： 星風軟體)
進入維護模式後， 右鍵點擊 返回伺服器。轉到“連線設定（連接）並選擇“斷開（斷開連接）如圖所示。（來源： VMware的)
成功斷開與伺服器的連接後，再次右鍵單擊伺服器，然後轉到“連線設定（連接）並選擇“連結（連線）等待任務狀態更新為「已完成」。
如果文件已不再可用 vpxd.log 它包含相同的訊息，所以請執行以下操作：重啟（重設）顏色警報 綠色的 （綠色）手動。（來源：聯想)

TPM的可靠性如何？

主機認證依賴位於主機上的 TPM（可信任平台模組）設備。系統會產生一份報告，其中包含主機目前狀態、軟體、韌體和其他資訊的雜湊。由於採用了稱為雜湊鏈的演算法，一旦將這些資訊組合起來，幾乎不可能偽造或重新產生該雜湊值。

主機上的實體 TPM 模組無法傳遞給安裝在其上的虛擬機器 (VM)。虛擬機器使用虛擬TPM 模組 ( vTPM )，它在軟體層面提供 TPM 2.0 晶片的功能。實體 TPM 模組確保主機安全運行，並且與安裝在其上的虛擬機器幾乎沒有任何關聯。

如果伺服器使用主機證明，並且由於實體 TPM 模組導致證明失敗，則可能會發生這種情況：主機將無法解密虛擬機器設定文件，因為vCenter Server不信任它。

因此，如果您需要額外的保護和安全層，TPM 模組會非常有用。但是，也要注意它的缺點，因為像 BitLocker 這樣的服務可能會加密整個驅動器，導致沒有有效憑證就無法存取。

結論

「主機 TPM 認證警報」是一個複雜且細節繁多的主題，如果您深入研究其細節，會發現它非常棘手；然而，解決此問題只需進行幾個簡單的檢查即可。請注意，設定此功能時可能會出現一些問題，例如雜湊演算法、管理多個主機等，但具體情況可能非常具體。

然而，由於流程簡化和抽象化，這種錯誤通常是由錯誤的UEFI設定或TPM晶片安裝不當引起的。無論如何，儘管 TPM 晶片有其優勢，但在極少數情況下，它也可能導致您完全無法存取系統。因此，我們建議用戶權衡利弊，謹慎操作。

常見問題

什麼是主機認證？

主機認證是驗證主機硬體是否可信任的程序，只有驗證通過該程序，使用者才能與主機互動。認證服務會根據已知的良好實務或預先定義的策略來檢查主機的完整性。

這個問題會影響主機上的虛擬機器嗎？

這取決於問題的嚴重程度。通常，主機 TPM 認證警報與主機或實體 TPM 模組相關。在最壞的情況下，如果 vCenter Server 偵測到您的主機已被入侵，您可能會被鎖定在虛擬機器之外。

VMware 是否需要實體 TPM 單元？

安裝在主機上的虛擬機器使用所謂的虛擬TPM（類型執行設備）。虛擬TPM不以任何方式依賴實體TPM。