PowerEdge: risoluzione dei problemi relativi a TPM (Trusted Platform Module), Secure Boot e ESXi

• Lo stato dell'host nella colonna Attestation indica "Host Secure Boot was disabled"
• Dispositivo TPM (Trusted Platform Module) 2.0 rilevato ma impossibile stabilire una connessione
• Lo stato dell'host nella colonna Attestation indica "N/A"
• Quando si utilizza un dispositivo TPM (Trusted Platform Module) 2.0 su un host ESXi, l'host non supera la fase di attestazione
• Il messaggio di errore è "Unable to provision Endorsement Key on TPM 2.0 device: Endorsement Key creation failed on the device"

Risoluzione dei problemi relativi a TPM e Secure Boot sui server Dell

Sommario:

Introduzione
Prerequisiti
Risoluzione dei problemi relativi a TPM e Secure Boot
Risoluzione dei problemi di attestazione
Abilitazione di TPM Hierarchy

Introduzione

Questo articolo della Knowledge base fornisce istruzioni dettagliate per la risoluzione dei problemi più comuni relativi a TPM (Trusted Platform Module) e Secure Boot sui server Dell. Questi problemi possono impedire la corretta funzionalità dell'attestazione e del sistema. Seguire le istruzioni descritte in questo documento per garantirsi prestazioni ottimali del server Dell.

Prerequisiti

• Verificare in iDRAC che il dispositivo TPM 2.0 sia rilevato e integro.
• Assicurarsi che le funzioni UEFI, TPM e Secure Boot siano abilitate.
• Utilizzare l'algoritmo TPM 2.0 "SHA256" e abilitare Intel TXT. 

Per informazioni dettagliate e indicazioni sulla risoluzione del problema di dispositivo TPM 2.0 rilevato ma impossibile stabilire una connessione, consultare l'articolo 000193231 disponibile qui:

PowerEdge: errore su ESXi 7.0: dispositivo TPM 2.0 rilevato ma impossibile stabilire una connessione (in inglese)
 

Risoluzione dei problemi relativi a TPM e Secure Boot

Come abilitare Secure Boot

1. Visualizzare lo stato dell'allarme dell'host ESXi e il messaggio di errore associato.
2. Connettersi a vCenter Server utilizzando vSphere Client.
3. Selezionare un data center e cliccare sulla scheda Monitor.
4. Cliccare su Security.
5. Esaminare lo stato dell'host nella colonna Attestation e leggere il messaggio associato nella colonna Message.
6. Se il messaggio di errore è "Host Secure Boot was disabled", attenersi alla seguente procedura per risolvere il problema:
   • Verificare se è possibile abilitare Secure Boot. Se non è possibile abilitarlo, contattare il supporto tecnico Dell.
   • Per abilitare Secure Boot, attenersi alla seguente procedura:
     • Da VMware vCenter vSphere Client, impostare un nodo su Enter Maintenance Mode.
     • Accedere a iDRAC per configurare Secure Boot, quindi selezionare la scheda Configure > BIOS Settings > System Security > TPM Advanced Settings.
     • Selezionare "Enable"per Secure Boot e cliccare su Apply > OK > Apply e Reboot.
     • Cliccare su Job queue. Attendere il completamento al 100% di tutti i processi.
     • Accedere a VMware vCenter vSphere Client e impostare il nodo su Exit Maintenance Mode.
   • Eseguire il passaggio 6 su ciascun nodo fino a quando Secure Boot non è abilitato per tutti i nodi in iDRAC.
   • Accedere a VMware vCenter vSphere Client e selezionare il data center.
   • Cliccare sulla scheda Monitor > Security per verificare che lo stato Attestation più recente indichi "Passed".
   • Se viene visualizzato un allarme con un'icona rossa, selezionarlo e cliccare su RESET TO GREEN.

Come abilitare TPM e Secure Boot

1. Visualizzare lo stato dell'allarme dell'host ESXi e il messaggio di errore associato.
2. Connettersi a VMware vCenter Server utilizzando VMware vSphere Client.
3. Selezionare un data center e cliccare sulla scheda Monitor.
4. Cliccare su Security.
5. Esaminare lo stato dell'host nella colonna Attestation e leggere il messaggio associato nella colonna Message.
6. Se il messaggio di errore è "N/A", è necessario abilitare TPM e Secure Boot per risolvere il problema.
   • Verificare se è possibile abilitare Secure Boot. Se non è possibile abilitarlo, contattare il supporto tecnico Dell.
   • Per abilitare TPM e Secure Boot, attenersi alla seguente procedura:
     • Da VMware vCenter vSphere Client, impostare un nodo su Enter Maintenance Mode.
     • Accedere a iDRAC per configurare Secure Boot, quindi selezionare la scheda Configure > BIOS Settings > System Security > TPM Security "On" > TPM Advanced Settings.
     • Selezionare "Enable"per Secure Boot e cliccare su Apply > OK > Apply e Reboot.
     • Cliccare su Job queue. Attendere il completamento al 100% di tutti i processi.
     • Andare a Dashboard > Virtual Console per vedere se la console indica "successfully completed". In caso affermativo, continuare.
     • Accedere a VMware vCenter vSphere Client e disconnettere il nodo.
     • Riconnettere il nodo, quindi scegliere Exit Maintenance Mode.
   • Eseguire il passaggio 6 su ciascun nodo fino a quando TPM e Secure Boot non sono abilitati per tutti i nodi in iDRAC.
   • Accedere a VMware vCenter vSphere Client e passare al data center.
   • Cliccare sulla scheda Monitor > Security per verificare che il messaggio Attestation più recente indichi "Passed".
   • Se viene visualizzato un allarme con un'icona rossa, selezionare l'allarme attivato specifico e cliccare su RESET TO GREEN.

Problemi relativi all'attestazione dell'host

Quando si utilizza un dispositivo TPM 2.0 su un host ESXi, l'attestazione potrebbe avere esito negativo senza informazioni dettagliate su vSphere Client. Per risolvere il problema, procedere come segue:

1. Accedere a un data center e cliccare sulla scheda Monitor.
2. Cliccare su Security.
3. Esaminare lo stato dell'host nella colonna Attestation e leggere il messaggio associato nella colonna Message.

Ora, a seconda del messaggio di errore visualizzato, è possibile identificare una soluzione:

• Se il messaggio di errore è Host Secure Boot was disabled, consultare la sezione Come abilitare Secure Boot per risolvere il problema. Assicurarsi prima che Secure Boot funzioni.
• Se lo stato Attestation dell'host è "Failed", cercare il seguente messaggio nel registro di vCenter Server: "No cached identity key, loading from DB". Questo messaggio indica che si sta aggiungendo un chip TPM 2.0 a un host ESXi che vCenter Server già gestisce. Occorre prima disconnettere l'host, quindi riconnetterlo.

Come abilitare TPM Hierarchy

Se il messaggio di errore è "Unable to provision Endorsement Key on TPM 2.0 device: Endorsement Key creation failed on the device", è necessario abilitare TPM Hierarchy per risolvere il problema. Attenersi alla procedura riportata di seguito per abilitare TPM Hierarchy:

1. Visualizzare lo stato dell'allarme dell'host ESXi e il messaggio di errore associato.
2. Connettersi a VMware vCenter Server utilizzando VMware vSphere Client.
3. Selezionare un data center e cliccare sulla scheda Monitor.
4. Cliccare su Security.
5. Esaminare lo stato dell'host nella colonna Attestation e leggere il messaggio associato nella colonna Message.
6. Se il messaggio di errore è "Unable to provision Endorsement Key on TPM 2.0 device: Endorsement Key creation failed on the device", è necessario abilitare TPM Hierarchy per risolvere il problema.
7. Se viene visualizzato un allarme con un'icona rossa, selezionare l'allarme attivato specifico e cliccare su RESET TO GREEN.
8. Per attivare TPM Hierarchy, attenersi alla seguente procedura:
   • Da VMware vCenter vSphere Client, impostare un nodo su Enter Maintenance Mode.
   • Accedere a iDRAC per configurare Secure Boot, quindi selezionare la scheda Configure > BIOS Settings > System Security > TPM.
   • Selezionare "Enable" per TPM Hierarchy e cliccare su Apply > OK > Apply e Reboot.
   • Cliccare su Job queue. Attendere il completamento al 100% di tutti i processi.
   • Andare a Dashboard > Virtual Console per vedere se la console indica "successfully completed". In caso affermativo, continuare.
   • Accedere a VMware vCenter vSphere Client e selezionare Exit Maintenance Mode.
9. Eseguire i passaggi 7 e 8 su ciascun nodo fino a quando TPM e Secure Boot non sono abilitati per tutti i nodi in iDRAC.
10. Accedere a VMware vCenter vSphere Client e selezionare un data center.
11. Cliccare sulla scheda Monitor > Security per verificare che il messaggio Attestation più recente indichi "Passed".

Se la procedura non risolve il problema, contattarci.