PowerEdge: Solução de problemas de inicialização segura do Trusted Platform Module (TPM) e ESXi

• O status do host na coluna Attestation mostra "Host Secure Boot was disabled"
• Trusted Platform Module (TPM) 2.0 device detected but a connection cannot be established
• O status do host na coluna Attestation mostra "N/A"
• Ao usar um dispositivo TPM 2.0 (Trusted Platform Module) em um host do ESXi, o host apresenta falha na fase de atestado.
• A mensagem de erro é "Unable to provision Endorsement Key on TPM 2.0 device: Endorsement Key creation failed on the device"

Solução de problemas de TPM e inicialização segura em servidores Dell

Sumário:

Introdução
Pré-requisitos
Solução de problemas de TPM e inicialização segura
Solução de problemas de atestado
Como ativar a hierarquia do TPM

Introdução

Este artigo da base de conhecimentos fornece instruções detalhadas para solucionar problemas comuns relacionados ao Trusted Platform Module (TPM) e à inicialização segura em servidores Dell. Esses problemas podem prejudicar o atestado adequado e a funcionalidade do sistema. Siga as instruções descritas neste documento para garantir o desempenho ideal do seu servidor Dell.

Pré-requisitos

• Certifique-se de que o dispositivo TPM 2.0 seja detectado e esteja íntegro no iDRAC.
• Verifique se a UEFI, o TPM e a inicialização segura estão ativados.
• Use o algoritmo "SHA256" do TPM 2.0, ative o Intel TXT 

Para obter informações detalhadas e orientações sobre a solução do problema "TPM 2.0 device detected but a connection cannot be established", consulte o artigo 000193231 disponível aqui:

PowerEdge: Erro no ESXi 7.0: O dispositivo TPM 2.0 foi detectado mas uma conexão não pode ser estabelecida
 

Solução de problemas de TPM e inicialização segura

Como ativar a inicialização segura

1. Visualize o status do alarme do host do ESXi e a mensagem de erro que o acompanha.
2. Conecte-se ao vCenter Server usando o vSphere Client.
3. Selecione um data center e clique na guia Monitor.
4. Clique em Security.
5. Analise o status do host na coluna Attestation e leia a mensagem na coluna Message.
6. Se a mensagem de erro for Host secure boot was disabled, siga estas etapas para resolver o problema:
   • Verifique se a inicialização segura pode ser ativada. Se não for possível, entre em contato com o suporte técnico Dell.
   • Para ativar a inicialização segura, siga estas etapas:
     • No VMware vCenter vSphere Client, mova um nó para Enter Maintenance Mode.
     • Faça log-in no iDRAC para configurar a inicialização segura e selecione a guia Configure > BIOS Settings > System Security > TPM Advanced Settings.
     • Selecione Secure Boot "enable" e clique em Apply > OK > Apply e Reboot.
     • Clique em Job queue. Aguarde até que todos os trabalhos sejam 100% concluídos.
     • Faça log-in no VMware vCenter vSphere Client e defina o nó como Exit Maintenance Mode.
   • Execute a etapa 6 em cada nó até que todos os nós tenham a inicialização segura ativada no iDRAC.
   • Faça log-in no VMware vCenter vSphere Client e selecione o data center.
   • Clique na guia Monitor > Security para verificar se o status de atestado mais recente mostra "Passed".
   • Se houver um alarme com um ícone vermelho, selecione-o e clique em RESET TO GREEN.

Como ativar o TPM e a inicialização segura

1. Visualize o status do alarme do host do ESXi e a mensagem de erro que o acompanha.
2. Conecte-se ao VMware vCenter Server usando o VMware vSphere Client.
3. Selecione um data center e clique na guia Monitor.
4. Clique em Security.
5. Analise o status do host na coluna Attestation e leia a mensagem na coluna Message.
6. Se a mensagem de erro for "N/A", você deverá ativar o TPM e a inicialização segura para resolver o problema.
   • Verifique se a inicialização segura pode ser ativada. Se não for possível, entre em contato com o suporte técnico Dell.
   • Para ativar o TPM e a inicialização segura, siga estas etapas:
     • No VMware vCenter vSphere Client, mova um nó para Enter Maintenance Mode.
     • Faça log-in no iDRAC para configurar a inicialização segura e selecione a guia Configure > BIOS Settings > System Security > TPM Security "On" > TPM Advanced Settings.
     • Selecione Secure Boot "enable" e clique em Apply > OK > Apply e Reboot.
     • Clique em Job queue. Aguarde até que todos os trabalhos sejam 100% concluídos.
     • Acesse Dashboard > Virtual Console para verificar se o console exibe "successfully completed". Se sim, continue.
     • Faça log-in no VMware vCenter vSphere Client e desconecte o nó.
     • Reconecte o nó e selecione Exit Maintenance Mode.
   • Execute as etapas 6 em cada nó até que todos os nós tenham o TPM e a inicialização segura ativados no iDRAC.
   • Faça log-in no VMware vCenter vSphere Client e vá para o data center.
   • Clique na guia Monitor > Security para verificar se a mensagem de atestado mais recente mostra "Passed".
   • Se houver um alarme com um ícone vermelho, selecione o alarme específico acionado e clique em RESET TO GREEN.

Problemas de atestado de host

Ao usar um dispositivo TPM 2.0 em um host do ESXi, o atestado poderá falhar sem informações detalhadas do vSphere Client. Para solucionar esse problema, siga estas etapas:

1. Navegue até um data center e clique na guia Monitor.
2. Clique em Security.
3. Analise o status do host na coluna Attestation e leia a mensagem na coluna Message.

Agora, dependendo da mensagem de erro encontrada, você pode identificar uma solução:

• Se a mensagem de erro for Host Secure Boot was disabled, consulte a seção Como ativar a inicialização segura para resolver esse problema. Primeiro certifique-se de que a inicialização segura esteja funcionando.
• Se o status do atestado do host falhar, verifique o log do vCenter Server em busca da seguinte mensagem: "No cached identity key, loading from DB." Essa mensagem indica que você está adicionando um chip TPM 2.0 a um host do ESXi que o vCenter Server já gerencia. Primeiro, desconecte e reconecte o host.

Como ativar a hierarquia

Se a mensagem de erro for Unable to provision Endorsement Key on TPM 2.0 device: Endorsement Key creation failed on the device, ative a hierarquia do TPM para resolver o problema. Siga estas etapas para ativar a hierarquia do TPM:

1. Visualize o status do alarme do host do ESXi e a mensagem de erro que o acompanha.
2. Conecte-se ao VMware vCenter Server usando o VMware vSphere Client.
3. Selecione um data center e clique na guia Monitor.
4. Clique em Security.
5. Analise o status do host na coluna Attestation e leia a mensagem na coluna Message.
6. Se a mensagem de erro for Unable to provision Endorsement Key on TPM 2.0 device: Endorsement Key creation failed on the device, ative a hierarquia do TPM para resolver o problema.
7. Se houver um alarme com um ícone vermelho, selecione o alarme específico acionado e clique em RESET TO GREEN.
8. Para ativar a hierarquia do TPM, siga estas etapas:
   • No VMware vCenter vSphere Client, mova um nó para Enter Maintenance Mode.
   • Faça log-in no iDRAC para configurar a inicialização segura e selecione a guia Configure > BIOS Settings > System Security > TPM.
   • Selecione TPM Hierarchy "Enable" e clique em Apply > OK > Apply e Reboot.
   • Clique em Job queue. Aguarde até que todos os trabalhos sejam 100% concluídos.
   • Acesse Dashboard > Virtual Console para verificar se o console exibe "successfully completed". Se sim, continue.
   • Faça log-in no VMware vCenter vSphere Client e selecione Exit Maintenance Mode.
9. Execute as etapas 7 e 8 em cada nó até que todos os nós tenham a hierarquia do TPM ativada no iDRAC.
10. Faça log-in no VMware vCenter vSphere Client e selecione um data center.
11. Clique na guia Monitor > Security para verificar se a mensagem de atestado mais recente mostra "Passed".

Entre em contato conosco se as etapas de solução de problemas não resolverem o problema.