PowerEdge: Fehlerbehebung bei Trusted Platform Module (TPM), Secure Boot und ESXi

• Der Hoststatus in der Spalte „Bestätigung“ zeigt „Host Secure Boot war deaktiviert“ an.
• TPM 2.0-Gerät (Trusted Platform Module) erkannt, aber eine Verbindung kann nicht hergestellt werden
• Der Hoststatus in der Spalte „Bestätigung“ wird als „N/A“ angezeigt
• Bei Verwendung eines TPM 2.0-Geräts (Trusted Platform Module) auf einem ESXi-Host kann der Host die Bestätigungsphase nicht bestehen
• Die Fehlermeldung lautet „Endorsement Key kann auf TPM 2.0-Gerät nicht bereitgestellt werden: Endorsement Key konnte auf dem Gerät nicht erstellt werden“

Troubleshooting von TPM- und Secure Boot-Problemen auf Dell Servern

Inhaltsverzeichnis:

Einleitung
Voraussetzungen
Troubleshooting von TPM- und Secure Boot-Problemen
Troubleshooting von Bestätigungsproblemen
TPM-Hierarchie aktivieren

Einführung

Dieser Wissensdatenbank-Artikel enthält schrittweise Anleitungen zur Behebung häufiger Probleme im Zusammenhang mit dem Trusted Platform Module (TPM) und Secure Boot auf Dell Servern. Diese Probleme können eine ordnungsgemäße Zertifizierung und Systemfunktionalität behindern. Befolgen Sie die Anweisungen in diesem Dokument, um die optimale Leistung Ihres Dell Servers sicherzustellen.

Voraussetzungen

• Stellen Sie sicher, dass das TPM 2.0-Gerät vom iDRAC erkannt wird und fehlerfrei funktioniert.
• Stellen Sie sicher, dass UEFI, TPM und Secure Boot aktiviert sind.
• TPM 2.0-Algorithmus „SHA256“ verwenden, Intel TXT aktivieren 

Detaillierte Informationen und Anleitungen zur Fehlerbehebung zum Problem „TPM 2.0-Gerät erkannt, aber eine Verbindung kann nicht hergestellt werden“ finden Sie im Artikel 000193231, der hier verfügbar ist:

PowerEdge: Fehler bei ESXi 7.0 – TPM 2.0-Gerät erkannt, aber eine Verbindung kann nicht hergestellt werden
 

Troubleshooting von TPM- und Secure Boot-Problemen

So aktivieren Sie Secure Boot

1. Zeigen Sie den Alarmstatus des ESXi-Hosts und der zugehörigen Fehlermeldung an.
2. Stellen Sie über den vSphere Client eine Verbindung zu vCenter Server her.
3. Wählen Sie ein Rechenzentrum aus und klicken Sie auf die Registerkarte „Monitoring“.
4. Klicken Sie auf Security.
5. Überprüfen Sie den Hoststatus in der Spalte „Bestätigung“ und lesen Sie die dazugehörige Meldung in der Spalte „Meldung“.
6. Wenn die Fehlermeldung „Host Secure Boot wurde deaktiviert“ lautet, aktivieren Sie Secure Boot erneut, um das Problem zu beheben.
   • Überprüfen Sie, ob Secure Boot aktiviert werden kann. Wenn es nicht aktiviert werden kann, wenden Sie sich an den Dell Support.
   • Gehen Sie folgendermaßen vor, um Secure Boot zu aktivieren:
     • Verschieben Sie im VMware vCenter vSphere Client einen Node in „In den Wartungsmodus wechseln“.
     • Melden Sie sich bei iDRAC an, um Secure Boot zu konfigurieren, und wählen Sie die Registerkarte „Konfigurieren > BIOS-Einstellungen > Systemsicherheit > Erweiterte TPM-Einstellungen“ aus.
     • Wählen Sie für Secure Boot „aktivieren“ aus und klicken Sie auf Anwenden > OK > Anwenden und Neustarten.
     • Klicken Sie auf Job-Warteschlange. Warten Sie, bis alle Jobs zu 100 % abgeschlossen sind.
     • Melden Sie sich beim VMware vCenter vSphere Client an und setzen Sie den Node auf „Wartungsmodus beenden“.
   • Führen Sie Schritt 6 auf jedem Node aus, bis auf allen Nodes Secure Boot von iDRAC aktiviert ist.
   • Melden Sie sich beim VMware vCenter vSphere Client an und wählen Sie das Rechenzentrum aus.
   • Klicken Sie auf die Registerkarte Monitoring > Sicherheit, um zu überprüfen, ob der neueste Bestätigungsstatus „Bestanden“ lautet.
   • Wenn ein Alarm mit einem roten Symbol angezeigt wird, wählen Sie ihn aus und klicken Sie auf AUF GRÜN ZURÜCKSETZEN.

So aktivieren Sie TPM und Secure Boot

1. Zeigen Sie den Alarmstatus des ESXi-Hosts und der zugehörigen Fehlermeldung an.
2. Stellen Sie mit dem VMware vSphere Client eine Verbindung zu VMware vCenter Server her.
3. Wählen Sie ein Rechenzentrum aus und klicken Sie auf die Registerkarte Monitoring.
4. Klicken Sie auf Security.
5. Überprüfen Sie den Hoststatus in der Spalte „Bestätigung“ und lesen Sie die dazugehörige Meldung in der Spalte „Meldung“.
6. Wenn die Fehlermeldung „N/A“ lautet, müssen Sie TPM und Secure Boot aktivieren, um das Problem zu beheben.
   • Überprüfen Sie, ob Secure Boot aktiviert werden kann. Wenn es nicht aktiviert werden kann, wenden Sie sich an den Dell Support.
   • Gehen Sie folgendermaßen vor, um TPM und Secure Boot zu aktivieren:
     • Verschieben Sie im VMware vCenter vSphere Client einen Node in „In den Wartungsmodus wechseln“.
     • Melden Sie sich bei iDRAC an, um Secure Boot zu konfigurieren, und wählen Sie die Registerkarte „Konfigurieren > BIOS-Einstellungen > Systemsicherheit > TPM-Sicherheit „Ein“ > Erweiterte TPM-Einstellungen“ aus.
     • Wählen Sie für Secure Boot „aktivieren“ aus und klicken Sie auf Anwenden > OK > Anwenden und Neustarten.
     • Klicken Sie auf Job-Warteschlange. Warten Sie, bis alle Jobs zu 100 % abgeschlossen sind.
     • Gehen Sie zu „Dashboard > Virtual Console“, um festzustellen, ob die Konsole „erfolgreich abgeschlossen“ anzeigt. Falls ja, fahren Sie fort.
     • Melden Sie sich beim VMware vCenter vSphere Client an und trennen Sie den Node.
     • Stellen Sie die Verbindung zum Node wieder her und wählen Sie „Wartungsmodus beenden“ aus.
   • Führen Sie Schritt 6 auf jedem Node aus, bis auf allen Nodes TPM und Secure Boot von iDRAC aktiviert sind.
   • Melden Sie sich beim VMware vCenter vSphere Client an und rufen Sie das Rechenzentrum auf.
   • Klicken Sie auf die Registerkarte Monitor > Sicherheit, um zu überprüfen, ob die letzte Bestätigungsmeldung „bestanden“ lautet.
   • Wenn ein Alarm mit einem roten Symbol angezeigt wird, wählen Sie den spezifischen ausgelösten Alarm aus und klicken Sie auf AUF GRÜN ZURÜCKSETZEN.

Probleme mit der Hostbestätigung

Bei Verwendung eines TPM 2.0-Geräts auf einem ESXi-Host schlägt die Bestätigung ohne detaillierte vSphere Client-Informationen möglicherweise fehl. So beheben Sie dieses Problem:

1. Navigieren Sie zu einem Rechenzentrum und klicken Sie auf die Registerkarte Monitoring.
2. Klicken Sie auf Security.
3. Überprüfen Sie den Status des Hosts in der Spalte „Bestätigung“ und lesen Sie die dazugehörige Meldung in der Spalte „Nachricht“.

Je nachdem, welche Fehlermeldung angezeigt wird, können Sie nun eine Lösung ermitteln:

• Wenn die Fehlermeldung Secure Boot für Host wurde deaktiviert lautet, lesen Sie den Abschnitt Secure Boot aktivieren, um dieses Problem zu beheben. Stellen Sie als Erstes sicher, dass Secure Boot funktioniert.
• Wenn der Bestätigungsstatus des Hosts „fehlgeschlagen“ ist, überprüfen Sie das vCenter Serverprotokoll auf die folgende Meldung hin: „Kein zwischengespeicherter Identitätsschlüssel, Laden aus DB.“ Diese Meldung weist darauf hin, dass Sie einen TPM 2.0-Chip zu einem ESXi-Host hinzufügen, den vCenter Server bereits verwaltet. Sie müssen zuerst den Host trennen und ihn dann wieder verbinden.

So aktivieren Sie die Hierarchie

Wenn die Fehlermeldung Endorsement Key kann auf TPM 2.0-Gerät nicht bereitgestellt werden: Endorsement Key konnte auf dem Gerät nicht erstellt werden angezeigt wird, müssen Sie die TPM-Hierarchie aktivieren, um das Problem zu beheben. Gehen Sie wie folgt vor, um die TPM-Hierarchie zu aktivieren:

1. Zeigen Sie den Alarmstatus des ESXi-Hosts und der zugehörigen Fehlermeldung an.
2. Stellen Sie mit dem VMware vSphere Client eine Verbindung zu VMware vCenter Server her.
3. Wählen Sie ein Rechenzentrum aus und klicken Sie auf die Registerkarte „Monitoring“.
4. Klicken Sie auf Security.
5. Überprüfen Sie den Status des Hosts in der Spalte „Bestätigung“ und lesen Sie die dazugehörige Meldung in der Spalte „Nachricht“.
6. Wenn die Fehlermeldung Endorsement Key kann auf TPM 2.0-Gerät nicht bereitgestellt werden: Endorsement Key konnte auf dem Gerät nicht erstellt werden angezeigt wird, müssen Sie die TPM-Hierarchie aktivieren, um das Problem zu beheben.
7. Wenn ein Alarm mit einem roten Symbol angezeigt wird, wählen Sie den spezifischen ausgelösten Alarm aus und klicken Sie auf AUF GRÜN ZURÜCKSETZEN.
8. Gehen Sie folgendermaßen vor, um die TPM-Hierarchie zu aktivieren:
   • Verschieben Sie im VMware vCenter vSphere Client einen Node in „In den Wartungsmodus wechseln“.
   • Melden Sie sich bei iDRAC an, um Secure Boot zu konfigurieren, und wählen Sie die Registerkarte „Konfigurieren > BIOS-Einstellungen > Systemsicherheit > TPM“ aus.
   • Wählen Sie für TPM-Hierarchie „aktivieren“ aus und klicken Sie auf Anwenden > OK > Anwenden und Neustarten.
   • Klicken Sie auf Job-Warteschlange. Warten Sie, bis alle Jobs zu 100 % abgeschlossen sind.
   • Gehen Sie zu „Dashboard > Virtual Console“, um festzustellen, ob die Konsole „erfolgreich abgeschlossen“ anzeigt. Falls ja, fahren Sie fort.
   • Melden Sie sich beim VMware vCenter vSphere Client an und wählen Sie „Wartungsmodus beenden“ aus.
9. Führen Sie die Schritte 7 und 8 auf jedem Node aus, bis auf allen Nodes die TPM-Hierarchie von iDRAC aktiviert ist.
10. Melden Sie sich bei VMware vCenter vSphere Client an und wählen Sie ein Rechenzentrum aus.
11. Klicken Sie auf die Registerkarte Monitor > Sicherheit, um zu überprüfen, ob die letzte Bestätigungsmeldung „bestanden“ lautet.

Kontaktieren Sie uns, wenn das Problem durch die Schritte zur Fehlerbehebung nicht behoben werden konnte.