PowerEdge: Fehlerbehebung bei Trusted Platform Module (TPM), Secure Boot und ESXi

Summary: Dieser Wissensdatenbank-Artikel enthält eine detaillierte Anleitung zur Fehlerbehebung von Problemen mit Trusted Platform Module (TPM) 2.0, Secure Boot und ESXi auf Dell Servern. Er enthält Schritt-für-Schritt-Anleitungen zur Behebung häufiger Probleme, um die ordnungsgemäße Funktion und Sicherheit Ihres Servers zu gewährleisten. ...

This article applies to This article does not apply to This article is not tied to any specific product. Not all product versions are identified in this article.

Symptoms

  • Der Hoststatus in der Spalte „Bestätigung“ zeigt „Host Secure Boot war deaktiviert“ an.
  • TPM 2.0-Gerät (Trusted Platform Module) erkannt, aber eine Verbindung kann nicht hergestellt werden
  • Der Hoststatus in der Spalte „Bestätigung“ wird als „N/A“ angezeigt
  • Bei Verwendung eines TPM 2.0-Geräts (Trusted Platform Module) auf einem ESXi-Host kann der Host die Bestätigungsphase nicht bestehen
  • Die Fehlermeldung lautet „Endorsement Key kann auf TPM 2.0-Gerät nicht bereitgestellt werden: Endorsement Key konnte auf dem Gerät nicht erstellt werden“

Cause

Zu den Ursachen für Secure Boot- und TPM-Probleme gehören deaktivierter Secure Boot, falsch konfiguriertes BIOS, Hardwarekompatibilität, fehlerhaftes TPM 2.0-Modul und TPM-Einstellungen.

Resolution

Troubleshooting von TPM- und Secure Boot-Problemen auf Dell Servern.

Inhaltsverzeichnis:

Einleitung
Voraussetzungen
Troubleshooting von TPM- und Secure Boot-Problemen
Troubleshooting von Bestätigungsproblemen
TPM-Hierarchie aktivieren


Einführung

Dieser Wissensdatenbank-Artikel enthält schrittweise Anleitungen zur Behebung häufiger Probleme im Zusammenhang mit dem Trusted Platform Module (TPM) und Secure Boot auf Dell Servern. Diese Probleme können eine ordnungsgemäße Zertifizierung und Systemfunktionalität behindern. Befolgen Sie die Anweisungen in diesem Dokument, um die optimale Leistung Ihres Dell Servers sicherzustellen.


Voraussetzungen

  • Stellen Sie sicher, dass das TPM 2.0-Gerät vom iDRAC erkannt wird und fehlerfrei funktioniert.
  • Stellen Sie sicher, dass UEFI, TPM und Secure Boot aktiviert sind.
  • TPM 2.0-Algorithmus „SHA256“ verwenden, Intel TXT aktivieren 

Detaillierte Informationen und Anleitungen zur Fehlerbehebung zum Problem „TPM 2.0-Gerät erkannt, aber eine Verbindung kann nicht hergestellt werden“ finden Sie im Artikel 000193231, der hier verfügbar ist:

PowerEdge: Fehler bei ESXi 7.0 – TPM 2.0-Gerät erkannt, aber eine Verbindung kann nicht hergestellt werden 


Troubleshooting von TPM- und Secure Boot-Problemen

So aktivieren Sie Secure Boot.

  1. Zeigen Sie den Alarmstatus des ESXi-Hosts und der zugehörigen Fehlermeldung an.
  2. Stellen Sie über den vSphere Client eine Verbindung zu vCenter Server her.
  3. Wählen Sie ein Rechenzentrum aus und klicken Sie auf die Registerkarte Monitor .
  4. Klicken Sie auf Security.
  5. Überprüfen Sie den Hoststatus in der Spalte „Bestätigung“ und lesen Sie die dazugehörige Meldung in der Spalte „Meldung“.
  6. Wenn die Fehlermeldung „Host Secure Boot wurde deaktiviert“ lautet, aktivieren Sie Secure Boot erneut, um das Problem zu beheben.
    • Überprüfen Sie, ob Secure Boot aktiviert werden kann. Wenn es nicht aktiviert werden kann, wenden Sie sich an den Dell Support.
    • Gehen Sie folgendermaßen vor, um Secure Boot zu aktivieren:
      • Verschieben Sie im VMware vCenter vSphere Client einen Node in den Wartungsmodus wechseln.
      • Melden Sie sich bei iDRAC an, um Secure Boot zu konfigurieren, und wählen Sie die Registerkarte Konfigurieren >BIOS-Einstellungen>Systemsicherheit>TPM Erweiterte Einstellungen aus.
      • Wählen Sie für Secure Boot „aktivieren“ aus und klicken Sie auf Anwenden > OK > Anwenden und Neustarten.
      • Klicken Sie auf Job-Warteschlange. Warten Sie, bis alle Jobs zu 100 % abgeschlossen sind.
      • Melden Sie sich beim VMware vCenter vSphere Client an und setzen Sie den Node auf Exit Maintenance Mode.
    • Führen Sie Schritt 6 auf jedem Node aus, bis auf allen Nodes Secure Boot von iDRAC aktiviert ist.
    • Melden Sie sich beim VMware vCenter vSphere Client an und wählen Sie das Rechenzentrum aus.
    • Klicken Sie auf die Registerkarte > Monitoring Sicherheit, um zu überprüfen, ob der neueste Nachweisstatus "bestanden" lautet.
    • Wenn ein Alarm mit einem roten Symbol angezeigt wird, wählen Sie ihn aus und klicken Sie auf AUF GRÜN ZURÜCKSETZEN.

So aktivieren Sie TPM und Secure Boot.

  1. Zeigen Sie den Alarmstatus des ESXi-Hosts und der zugehörigen Fehlermeldung an.
  2. Stellen Sie mit dem VMware vSphere Client eine Verbindung zu VMware vCenter Server her.
  3. Wählen Sie ein Rechenzentrum aus und klicken Sie auf die Registerkarte Monitor .
  4. Klicken Sie auf Security.
  5. Überprüfen Sie den Hoststatus in der Spalte „Bestätigung“ und lesen Sie die dazugehörige Meldung in der Spalte „Meldung“.
  6. Wenn die Fehlermeldung „N/A“ lautet, müssen Sie TPM und Secure Boot aktivieren, um das Problem zu beheben.
    • Überprüfen Sie, ob Secure Boot aktiviert werden kann. Wenn sie nicht aktiviert werden kann, wenden Sie sich an den Dell Support.
    • Gehen Sie folgendermaßen vor, um TPM und Secure Boot zu aktivieren:
      • Verschieben Sie im VMware vCenter vSphere Client einen Node in den Wartungsmodus wechseln.
      • Melden Sie sich bei iDRAC an, um Secure Boot zu konfigurieren, und wählen Sie die Registerkarte>Konfigurieren BIOS-Einstellungen>Systemsicherheit>TPM-Sicherheit "Ein">TPM Erweiterte Einstellungen aus.
      • Wählen Sie für Secure Boot „aktivieren“ aus und klicken Sie auf Anwenden > OK > Anwenden und Neustarten.
      • Klicken Sie auf Job-Warteschlange. Warten Sie, bis alle Jobs zu 100 % abgeschlossen sind.
      • Gehen Sie zu Dashboard >Virtual Console , um festzustellen, ob die Konsole "successfully completed" anzeigt. Falls ja, fahren Sie fort.
      • Melden Sie sich beim VMware vCenter vSphere Client an und trennen Sie den Node.
      • Verbinden Sie den Node wieder und beenden Sie dann den Wartungsmodus.
    • Führen Sie Schritt 6 auf jedem Node aus, bis auf allen Nodes TPM und Secure Boot von iDRAC aktiviert sind.
    • Melden Sie sich beim VMware vCenter vSphere Client an und rufen Sie das Rechenzentrum auf.
    • Klicken Sie auf die Registerkarte "Monitor" > Sicherheit, um zu überprüfen, ob die letzte Bestätigungsmeldung "bestanden" lautet.
    • Wenn ein Alarm mit einem roten Symbol angezeigt wird, wählen Sie den spezifischen ausgelösten Alarm aus und klicken Sie auf AUF GRÜN ZURÜCKSETZEN.

Probleme mit der Hostbestätigung

Bei Verwendung eines TPM 2.0-Geräts auf einem ESXi-Host schlägt die Bestätigung ohne detaillierte vSphere Client-Informationen möglicherweise fehl. So beheben Sie dieses Problem:

  1. Navigieren Sie zu einem Rechenzentrum und klicken Sie auf die Registerkarte Monitor .
  2. Klicken Sie auf Security.
  3. Überprüfen Sie den Status des Hosts in der Spalte „Bestätigung“ und lesen Sie die dazugehörige Meldung in der Spalte „Nachricht“.

Je nachdem, welche Fehlermeldung angezeigt wird, können Sie nun eine Lösung ermitteln:

  • Wenn die Fehlermeldung " Sicherer Start für Host wurde deaktiviert" lautet, lesen Sie den Abschnitt "Aktivieren des sicheren Starts ", um dieses Problem zu beheben. Stellen Sie zunächst sicher, dass Secure Boot funktioniert.
  • Wenn der Bestätigungsstatus des Hosts „fehlgeschlagen“ ist, überprüfen Sie das vCenter Serverprotokoll auf die folgende Meldung hin: „Kein zwischengespeicherter Identitätsschlüssel, Laden aus DB.“ Diese Meldung weist darauf hin, dass Sie einen TPM 2.0-Chip zu einem ESXi-Host hinzufügen, den vCenter Server bereits verwaltet. Sie müssen zuerst den Host trennen und ihn dann wieder verbinden.

So aktivieren Sie die Hierarchie

Wenn die Fehlermeldung Endorsement Key kann auf TPM 2.0-Gerät nicht bereitgestellt werden: Endorsement Key konnte auf dem Gerät nicht erstellt werden angezeigt wird, müssen Sie die TPM-Hierarchie aktivieren, um das Problem zu beheben. Gehen Sie wie folgt vor, um die TPM-Hierarchie zu aktivieren:

  1. Zeigen Sie den Alarmstatus des ESXi-Hosts und der zugehörigen Fehlermeldung an.
  2. Stellen Sie mit dem VMware vSphere Client eine Verbindung zu VMware vCenter Server her.
  3. Wählen Sie einDatumszentrum aus und klicken Sie auf die Registerkarte Monitor .
  4. Klicken Sie auf Security.
  5. Überprüfen Sie den Status des Hosts in der Spalte „Bestätigung“ und lesen Sie die dazugehörige Meldung in der Spalte „Nachricht“.
  6. Wenn die Fehlermeldung Endorsement Key kann auf TPM 2.0-Gerät nicht bereitgestellt werden: Endorsement Key konnte auf dem Gerät nicht erstellt werden angezeigt wird, müssen Sie die TPM-Hierarchie aktivieren, um das Problem zu beheben.
  7. Wenn ein Alarm mit einem roten Symbol angezeigt wird, wählen Sie den spezifischen ausgelösten Alarm aus und klicken Sie auf AUF GRÜN ZURÜCKSETZEN.
  8. Gehen Sie folgendermaßen vor, um die TPM-Hierarchie zu aktivieren:
    • Verschieben Sie im VMware vCenter vSphere Client einen Node in den Wartungsmodus wechseln.
    • Melden Sie sich beim iDRAC an, um Secure Boot zu konfigurieren, und wählen Sie die Registerkarte > Konfigurieren BIOS-Einstellungen>Systemsicherheit>TPM aus.
    • Wählen Sie für die TPM-Hierarchie "Enable" aus und klicken Sie auf Apply>OK>Apply und Reboot.
    • Klicken Sie auf Job-Warteschlange. Warten Sie, bis alle Jobs zu 100 % abgeschlossen sind.
    • Gehen Sie zu Dashboard >Virtual Console , um festzustellen, ob die Konsole "successfully completed" anzeigt. Falls ja, fahren Sie fort.
    • Melden Sie sich beim VMware vCenter vSphere Client an und wählen Sie Exit Maintenance Mode aus.
  9. Führen Sie die Schritte 7 und 8 auf jedem Node aus, bis auf allen Nodes die TPM-Hierarchie von iDRAC aktiviert ist.
  10. Melden Sie sich bei VMware vCenter vSphere Client an und wählen Sie ein Rechenzentrum aus.
  11. Klicken Sie auf die Registerkarte "Monitor" > Sicherheit, um zu überprüfen, ob die letzte Bestätigungsmeldung "bestanden" lautet.
Hinweis: VMware QuickBoot wird nicht unterstützt, wenn Secure Boot aktiviert ist.

Wenden Sie sich an den Dell Support , wenn das Problem durch die Schritte zur Fehlerbehebung nicht behoben wurde. 

Affected Products

Dell EMC vSAN Ready Nodes, PowerFlex appliance R650, PowerFlex appliance R6525, PowerFlex appliance R660, PowerFlex appliance R6625, Powerflex appliance R750, PowerFlex appliance R760, PowerFlex appliance R7625, VxFlex Ready Node , VxFlex Ready Node R640, VxFlex Ready Node R740xd, VMware ESXi 7.x, VMware ESXi 8.x, VMware ESXi 9.x, PowerFlex appliance R640, PowerFlex appliance R740XD, PowerFlex appliance R7525, PowerFlex appliance R840, VxFlex Ready Node R840 ...
Article Properties
Article Number: 000218542
Article Type: Solution
Last Modified: 10 رمضان 1447
Version:  5
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.