「PowerEdge：Trusted Platform Module (TPM)、セキュア ブート、ESXiのトラブルシューティング

• ［Attestation］列のホスト ステータスに「Host Secure Boot was disabled」と表示される
• TPM 2.0デバイスが検出されるが、接続を確立できない
• ［Attestation］列のホスト ステータスに「N/A」と表示される
• ESXiホストでTPM 2.0 (Trusted Platform Module)デバイスを使用している場合、ホストはAttestationフェーズに合格しない
• エラー メッセージは、「Unable to provision Endorsement Key on TPM 2.0 device: Endorsement Key creation failed on the device」である

DellサーバーでのTPMおよびセキュア ブートの問題のトラブルシューティング

目次:

はじめに
前提条件
TPMおよびセキュア ブートの問題のトラブルシューティング
Attestationの問題のトラブルシューティング
TPM階層の有効化

概要

このナレッジベース記事では、Dellサーバー上のTrusted Platform Module (TPM)およびセキュア ブートに関連する一般的な問題をトラブルシューティングして解決するための詳細な手順について説明します。これらの問題は、適切な認証とシステム機能を妨げる可能性があります。このマニュアルに記載されている手順に従って、お使いのDellサーバーのパフォーマンスを最適にしてください。

必要条件

• TPM 2.0デバイスがiDRACから検出され、正常であることを確認します。
• UEFI、TPM、およびセキュア ブートが有効になっていることを確認します。
• TPM 2.0アルゴリズム「SHA256」を使用し、インテルTXTを有効にします。 

「TPM 2.0デバイスが検出されるが、接続を確立できない」の問題の詳細とトラブルシューティング ガイダンスについては、次の記事000193231を参照してください。

「PowerEdge：ESXi 7.0のエラー：TPM 2.0デバイスが検出されるが、接続を確立できない
 

TPMおよびセキュア ブートの問題のトラブルシューティング

セキュア ブートを有効にする方法

1. ESXiホストのアラーム ステータスとそれに伴うエラー メッセージを表示します。
2. vSphere Clientを使用してvCenter Serverに接続します。
3. データ センターを選択し、［Monitor］タブをクリックします。
4. [Security](セキュリティ)をクリックします。
5. ［Attestation］列でホストのステータスを確認し、［Message］列に付随するメッセージを読みます。
6. エラー メッセージが「Host secure boot was disabled」の場合は、次の手順にしたがって問題を解決します。
   • セキュア ブートを有効にできるかどうかを確認します。有効にできない場合は、Dellテクニカル サポートにお問い合わせください。
   • セキュア ブートを有効にするには、次の手順に従います。
     • VMware vCenter vSphere Clientから、1つのノードを［Enter Maintenance Mode］に移行します。
     • iDRACにログインしてセキュア ブートを設定し、［Configure］タブ＞［BIOS Settings］＞［System Security］＞［TPM Advanced Settings］の順に選択します。
     • セキュア ブートの［Enable］を選択し、［Apply］＞［OK］ ＞［Apply］＞［Reboot］の順にクリックします。
     • ［Job queue］をクリックします。すべてのジョブが100%完了するまで待ちます。
     • VMware vCenter vSphere Clientにログインし、ノードを［Exit Maintenance Mode］に設定します。
   • すべてのノードでiDRACからセキュア ブートが有効になるまで、各ノードで手順6を実行します。
   • VMware vCenter vSphere Clientにログインし、データ センターを選択します。
   • ［Monitor］タブで［Security］をクリックして、最新のAttestationステータスに［Passed］と表示されていることを確認します。
   • 赤色のアイコンが付いたアラームが表示されている場合は、それを選択して［RESET TO GREEN］をクリックします。

TPMとセキュア ブートを有効にする方法

1. ESXiホストのアラーム ステータスとそれに伴うエラー メッセージを表示します。
2. VMware vSphere Clientを使用してVMware vCenter Serverに接続します。
3. データ センターを選択し、［Monitor］タブをクリックします。
4. [Security](セキュリティ)をクリックします。
5. ［Attestation］列でホストのステータスを確認し、［Message］列に付随するメッセージを読みます。
6. エラー メッセージが［N/A］の場合、問題を解決するにはTPMとセキュア ブートを有効にする必要があります。
   • セキュア ブートを有効にできるかどうかを確認します。有効にできない場合は、Dellテクニカル サポートにお問い合わせください。
   • TPMとセキュア ブートを有効にするには、次の手順を実行します。
     • VMware vCenter vSphere Clientから、1つのノードを［Enter Maintenance Mode］に移行します。
     • iDRACにログインしてセキュア ブートを設定し、［Configure］タブ＞［BIOS Settings］＞［System Security］＞［TPM Security］（オン）＞［TPM Advanced Settings］の順に選択します。
     • セキュア ブートの［Enable］を選択し、［Apply］＞［OK］ ＞［Apply］＞［Reboot］の順にクリックします。
     • ［Job queue］をクリックします。すべてのジョブが100%完了するまで待ちます。
     • ［Dashboard］＞［Virtual Console］の順に移動して、コンソールに［successfully completed］と表示されているかどうかを確認します。表示されている場合は、続行します。
     • VMware vCenter vSphere Clientにログインし、ノードを切断します。
     • ノードを再接続し、［Exit Maintenance Mode］を選択します。
   • すべてのノードでTPMとセキュア ブートがiDRACから有効になるまで、各ノードで手順6を実行します。
   • VMware vCenter vSphere Clientにログインし、データ センターに移動します。
   • ［Monitor］タブ＞［Security］の順にクリックして、最新のAttestationメッセージが［Passed］と表示されていることを確認します。
   • 赤色のアイコンが付いたアラームが表示された場合は、トリガーされた特定のアラームを選択し、［RESET TO GREEN］をクリックします。

ホストAttestationの問題

ESXiホストでTPM 2.0デバイスを使用している場合、詳細なvSphere Client情報がないと、Attestationに失敗することがあります。この問題をトラブルシューティングするには、次の手順に従います。

1. データ センターに移動し、［Monitor］タブをクリックします。
2. [Security](セキュリティ)をクリックします。
3. ［Attestation］列でホストのステータスを確認し、［Message］列に付随するメッセージを読みます。

これで、発生したエラーメッセージに応じて、解決策を特定できます。

• エラー メッセージが「Host Secure Boot was disabled」の場合は、「セキュア ブートを有効にする方法」セクションを参照して、この問題を解決してください。まずセキュア ブートが機能していることを確認します。
• ホストのAttestationステータスが「fail」の場合は、vCenter Serverのログに次のメッセージがないか確認してください。「No cached identity key, loading from DB.」このメッセージは、vCenter Serverにすでに管理されているESXiホストにTPM 2.0チップを追加しようとしていることを意味しています。ホストを切断してから、もう一度接続し直してください。

階層を有効にする方法

エラー メッセージが「Unable to provision Endorsement Key on TPM 2.0 device: Endorsement Key creation failed on the device」の場合は、TPM階層を有効にして問題を解決する必要があります。TPM階層を有効にするには、次の手順に従います。

1. ESXiホストのアラーム ステータスとそれに伴うエラー メッセージを表示します。
2. VMware vSphere Clientを使用してVMware vCenter Serverに接続します。
3. データ センターを選択し、［Monitor］タブをクリックします。
4. [Security](セキュリティ)をクリックします。
5. ［Attestation］列でホストのステータスを確認し、［Message］列に付随するメッセージを読みます。
6. エラー メッセージが「Unable to provision Endorsement Key on TPM 2.0 device: Endorsement Key creation failed on the device」の場合は、TPM階層を有効にして問題を解決する必要があります。
7. 赤色のアイコンが付いたアラームが表示された場合は、トリガーされた特定のアラームを選択し、［RESET TO GREEN］をクリックします。
8. TPM階層を有効にするには、次の手順に従います。
   • VMware vCenter vSphere Clientから、1つのノードを［Enter Maintenance Mode］に移行します。
   • iDRACにログインしてセキュア ブートを設定し、［Configure］タブ＞［BIOS Settings］＞［System Security］＞［TPM］の順に選択します。
   • ［TPM Hierarchy］で［Enable］を選択し、［Apply］＞［OK］＞［Apply］＞［Reboot］の順にクリックします。
   • ［Job queue］をクリックします。すべてのジョブが100%完了するまで待ちます。
   • ［Dashboard］＞［Virtual Console］の順に移動して、コンソールに［successfully completed］と表示されているかどうかを確認します。表示されている場合は、続行します。
   • VMware vCenter vSphere Clientにログインし、ノードを［Exit Maintenance Mode］を選択します。
9. すべてのノードのTPM階層が有効になるまで、iDRACを使用して各ノードで手順7と8を実行します。
10. VMware vCenter vSphere Clientにログインし、データ センターを選択します。
11. ［Monitor］タブ＞［Security］の順にクリックして、最新のAttestationメッセージが［Passed］と表示されていることを確認します。

トラブルシューティングの手順で問題が解決しない場合は、お問い合わせください。