PowerEdge: Solución de problemas del módulo de plataforma segura (TPM), Inicio seguro y ESXi

• El estado del host en la columna Attestation muestra “Se deshabilitó el Inicio seguro del host”
• Se detecta el dispositivo del módulo de plataforma segura (TPM) 2.0, pero no se puede establecer una conexión.
• El estado del host en la columna Attestation muestra “N/A”
• Cuando se utiliza un dispositivo del TPM 2.0 (módulo de plataforma segura) en un host ESXi, el host no pasa la fase de atestación
• El mensaje de error es “Unable to provision Endorsement Key on TPM 2.0 device: Endorsement Key creation failed on the device”

Solución de problemas de TPM e Inicio seguro en servidores Dell

Índice:

Introducción
Prerrequisitos
Solución de problemas de TPM e Inicio seguro
Solución de problemas de atestación
Activación de la jerarquía de TPM

Introducción

En este artículo de la base de conocimientos, se proporcionan instrucciones paso a paso para solucionar problemas comunes relacionados con el módulo de plataforma segura (TPM) y el inicio seguro en servidores Dell. Estos problemas pueden dificultar la atestación correcta y la funcionalidad del sistema. Siga las instrucciones descritas en este documento para garantizar el rendimiento óptimo del servidor Dell.

Requisitos previos

• Asegúrese de que el dispositivo TPM 2.0 se detecte y esté en buen estado desde el iDRAC.
• Asegúrese de que UEFI, TPM y el Inicio seguro estén activados.
• Utilice el algoritmo de TPM 2.0 "SHA256" para habilitar Intel TXT 

Para obtener información detallada y orientación con la solución del problema “TPM 2.0 device detected but a connection cannot be established”, consulte el artículo 000193231 disponible aquí:

PowerEdge: Error en ESXi 7.0, “TPM 2.0 device detected but a connection cannot be established”
 

Solución de problemas de TPM e Inicio seguro

Cómo activar el Inicio seguro

1. Vea el estado de alarma del host ESXi y el mensaje de error adjunto.
2. Conéctese a vCenter Server mediante vSphere Client.
3. Seleccione un centro de datos y haga clic en la pestaña Monitor.
4. Haga clic en Security.
5. Revise el estado del host en la columna Attestation y lea el mensaje adjunto en la columna Message.
6. Si aparece el mensaje de error “Host Secure Boot was disabled”, siga estos pasos para resolver el problema.
   • Verifique si se puede habilitar el Inicio seguro. Si no se puede habilitar, comuníquese con el soporte técnico de Dell.
   • Para habilitar el inicio seguro, siga estos pasos:
     • En VMware vCenter vSphere Client, transfiera un nodo a Enter Maintenance Mode.
     • Inicie sesión en iDRAC para configurar el Inicio seguro y seleccione la pestaña > BIOS Settings > System Security > TPM Advanced Settings.
     • Seleccione Secure Boot “enable” y haga clic en Apply>OK>Apply y Reboot.
     • Haga clic en Job queue. Espere hasta que todos los trabajos se completen al 100 %.
     • Inicie sesión en VMware vCenter vSphere Client y establezca el nodo en Exit Maintenance Mode.
   • Realice el paso 6 en cada nodo hasta que todos tengan habilitado el Inicio seguro desde iDRAC.
   • Inicie sesión en VMware vCenter vSphere Client y seleccione el centro de datos.
   • Haga clic en la pestaña Monitor > Security para verificar que el estado de la Atestación más reciente muestre “Aprobado”.
   • Si ve una alarma con un ícono rojo, selecciónela y haga clic en RESET TO GREEN.

Cómo habilitar el TPM y el Inicio seguro

1. Vea el estado de alarma del host ESXi y el mensaje de error adjunto.
2. Conéctese a VMware vCenter Server mediante VMware vSphere Client.
3. Seleccione un centro de datos y haga clic en la pestaña Monitor.
4. Haga clic en Security.
5. Revise el estado del host en la columna Attestation y lea el mensaje adjunto en la columna Message.
6. Si el mensaje de error es “N/A”, debe habilitar el TPM y el Inicio seguro para resolver el problema.
   • Verifique si se puede habilitar el Inicio seguro. Si no se puede habilitar, comuníquese con el soporte técnico de Dell.
   • Para habilitar el TPM y el Inicio seguro, siga estos pasos:
     • En VMware vCenter vSphere Client, transfiera un nodo a Enter Maintenance Mode.
     • Inicie sesión en iDRAC para configurar el Inicio seguro y seleccione la pestaña > BIOS Settings > System Security > TPM Security “On” > TPM Advanced Settings.
     • Seleccione Secure Boot “enable” y haga clic en Apply>OK>Apply y Reboot.
     • Haga clic en Job queue. Espere hasta que todos los trabajos se completen al 100 %.
     • Vaya a Dashboard > Virtual Console para ver si en la consola se muestra “se completó correctamente”. Si es así, continúe.
     • Inicie sesión en VMware vCenter vSphere Client y desconecte el nodo.
     • Vuelva a conectar el nodo y, luego, seleccione Exit Maintenance Mode.
   • Realice el paso 6 en cada nodo hasta que todos tengan habilitado el TPM y el Inicio seguro desde iDRAC.
   • Inicie sesión en VMware vCenter vSphere Client y diríjase al centro de datos.
   • Haga clic en la pestaña Monitor > Security para verificar el mensaje de Atestación más reciente como “Passed”.
   • Si ve una alarma con un ícono rojo, seleccione la alarma activada específica y haga clic en RESET TO GREEN.

Problemas de atestación de host

Cuando se utiliza un dispositivo TPM 2.0 en un host ESXi, puede fallar la atestación sin información detallada de vSphere Client. Para solucionar este problema, siga estos pasos:

1. Vaya a un centro de datos y haga clic en la pestaña Monitor.
2. Haga clic en Security.
3. Revise el estado del host en la columna Attestation y lea el mensaje adjunto en la columna Message.

Ahora, según el mensaje de error que encuentre, puede identificar una solución:

• Si el mensaje de error es Host Secure Boot was disabled, consulte la sección Cómo activar el Inicio seguro para resolver este problema. Asegúrese de que el Inicio seguro funcione primero.
• Si el estado de atestación del host falla, compruebe el registro de vCenter Server en busca del siguiente mensaje: “No cached identity key, loading from DB”. Este mensaje indica que está agregando un chip TPM 2.0 a un host ESXi que vCenter Server ya administra. Primero debe desconectar el host y, luego, volver a conectarlo.

Cómo habilitar la jerarquía

Si el mensaje de error es “Unable to provision Endorsement Key on TPM 2.0 device: Endorsement Key creation failed on the device”, debe habilitar la jerarquía del TPM para resolver el problema. Siga estos pasos para activarla jerarquía de TPM:

1. Vea el estado de alarma del host ESXi y el mensaje de error adjunto.
2. Conéctese a VMware vCenter Server mediante VMware vSphere Client.
3. Seleccione un centro de datos y haga clic en la pestaña Monitor.
4. Haga clic en Security.
5. Revise el estado del host en la columna Attestation y lea el mensaje adjunto en la columna Message.
6. Si el mensaje de error es “Unable to provision Endorsement Key on TPM 2.0 device: Endorsement Key creation failed on the device”, debe habilitar la jerarquía del TPM para resolver el problema.
7. Si ve una alarma con un ícono rojo, seleccione la alarma activada específica y haga clic en RESET TO GREEN.
8. Para habilitar la jerarquía del TPM, siga estos pasos:
   • En VMware vCenter vSphere Client, transfiera un nodo a Enter Maintenance Mode.
   • Inicie sesión en iDRAC para configurar el Inicio seguro y seleccione la pestaña > BIOS Settings > System Security > TPM.
   • Seleccione TPM Hierarchy “Enable” y haga clic en Apply>OK>Apply y Reboot.
   • Haga clic en Job queue. Espere hasta que todos los trabajos se completen al 100 %.
   • Vaya a Dashboard > Virtual Console para ver si en la consola se muestra “se completó correctamente”. Si es así, continúe.
   • Inicie sesión en VMware vCenter vSphere Client y seleccione Exit Maintenance Mode.
9. Realice los pasos 7 y 8 en cada nodo hasta que todos los nodos tengan la jerarquía de TPM habilitada desde iDRAC.
10. Inicie sesión en VMware vCenter vSphere Client y seleccione un centro de datos.
11. Haga clic en la pestaña Monitor > Security para verificar el mensaje de Atestación más reciente como “Passed”.

Comuníquese con nosotros si los pasos de solución de problemas no resolvieron el problema.