PowerEdge : dépannage de Trusted Platform module (TPM), Secure Boot et ESXi

• L’état de l’hôte dans la colonne Attestation indique « Host Secure Boot was disabled »
• Un appareil Trusted Platform Module (TPM) 2.0 a été détecté mais aucune connexion ne peut être établie
• L’état de l’hôte dans la colonne Attestation indique « N/A »
• Lors de l’utilisation d’un appareil Trusted Platform Module (TPM) 2.0 sur un hôte ESXi, l’hôte ne réussit pas la phase d’attestation
• Le message d’erreur est « Impossible de provisionner la clé d’approbation sur l’appareil TPM 2.0 : Échec de la création de la clé d’approbation sur l’appareil »

Dépannage des problèmes de TPM et de Secure Boot sur les serveurs Dell.

Sommaire :

Introduction
Conditions préalables
Résolution des problèmes TPM et Secure Boot
Résolution des problèmes d’attestation
Activation de la hiérarchie TPM

Introduction

Cet article de la base de connaissances fournit des instructions étape par étape pour dépanner et résoudre les problèmes courants liés au module TPM (Trusted Platform module) et à Secure Boot sur les serveurs Dell. Ces problèmes peuvent entraver l’attestation et le bon fonctionnement du système. Suivez les instructions décrites dans ce document pour garantir des performances optimales de votre serveur Dell.

Configuration requise

• Assurez-vous que le périphérique TPM 2.0 est détecté et intègre à partir de l’iDRAC.
• Assurez-vous que UEFI, TPM et Secure Boot sont activés.
• Utilisez l’algorithme TPM 2.0 « SHA256 », activez Intel TXT. 

Pour obtenir des informations détaillées et des conseils de résolution concernant le problème « Le module TPM 2.0 a été détecté, mais aucune connexion ne peut être établie. », voir l’article 000193231 disponible ici :

PowerEdge : erreur sur ESXi 7.0. Le module TPM 2.0 a été détecté mais aucune connexion ne peut être établie 

Résolution des problèmes TPM et Secure Boot

Comment activer Secure Boot.

1. Affichez l’état d’alarme de l’hôte ESXi et le message d’erreur qui l’accompagne.
2. Connectez-vous à vCenter Server à l’aide de vSphere Client.
3. Sélectionnez un datacenter , puis cliquez sur l’onglet Surveiller .
4. Cliquez sur Securité.
5. Vérifiez l’état de l’hôte dans la colonne Attestation et lisez le message qui l’accompagne dans la colonne Message.
6. Si le message d’erreur est « Host Secure Boot was disabled », procédez comme suit pour résoudre le problème :
   • Vérifiez si Secure Boot peut être activé. S’il ne peut pas être activé, contactez le support Dell.
   • Pour activer Secure Boot, procédez comme suit :
     • Dans VMware vCenter vSphere Client, déplacez un nœud pour passer en mode Maintenance.
     • Connectez-vous à l’iDRAC pour configurer Secure Boot, puis sélectionnez l’onglet >Configurer Paramètres du BIOS Sécurité>>du systèmeParamètres avancés du module TPM.
     • Sélectionnez Secure Boot « Activer », puis cliquez sur Appliquer > OK > Appliquer et Redémarrer.
     • Cliquez sur File d’attente des tâches. Attendez que toutes les tâches se terminent à 100 %.
     • Connectez-vous à VMware vCenter vSphere Client et configurez le nœud pour quitter le mode maintenance.
   • Effectuez l’étape 6 sur chaque nœud jusqu’à ce que Secure Boot soit activé sur tous les nœuds à partir de l’iDRAC.
   • Connectez-vous à VMware vCenter vSphere Client et sélectionnez le datacenter.
   • Cliquez sur l’onglet >Surveiller Sécurité pour vérifier que le dernier état de l’attestation indique « Réussi ».
   • Si vous voyez une alarme avec une icône rouge, sélectionnez-la et cliquez sur Réinitialiser en vert.

Activation du module TPM et de Secure Boot.

1. Affichez l’état d’alarme de l’hôte ESXi et le message d’erreur qui l’accompagne.
2. Connectez-vous à VMware vCenter Server à l’aide du VMware vSphere Client.
3. Sélectionnez un datacenter , puis cliquez sur l’onglet Surveiller .
4. Cliquez sur Securité.
5. Vérifiez l’état de l’hôte dans la colonne Attestation et lisez le message qui l’accompagne dans la colonne Message.
6. Si le message d’erreur est « N/A », vous devez activer TPM et Secure Boot pour résoudre le problème.
   • Vérifiez si Secure Boot peut être activé. S’il ne peut pas être activé, contactez le support Dell.
   • Pour activer TPM et Secure Boot, procédez comme suit :
     • Dans VMware vCenter vSphere Client, déplacez un nœud pour passer en mode Maintenance.
     • Connectez-vous à l’iDRAC pour configurer Secure Boot, puis sélectionnez l’onglet >Configurer Paramètres du BIOS Sécurité>>du systèmeSécurité TPM Sécurité activée TPM>Paramètres avancés.
     • Sélectionnez Secure Boot « Activer », puis cliquez sur Appliquer > OK > Appliquer et Redémarrer.
     • Cliquez sur File d’attente des tâches. Attendez que toutes les tâches se terminent à 100 %.
     • Accédez à Tableau de bord >Console virtuelle pour voir si la console affiche « Terminé avec succès ». Si oui, continuez.
     • Connectez-vous à VMware vCenter vSphere Client et déconnectez le nœud.
     • Reconnectez le nœud, puis quittez le mode maintenance.
   • Effectuez l’étape 6 sur chaque nœud jusqu’à ce que TPM et Secure Boot soient activés sur tous les nœuds à partir de l’iDRAC.
   • Connectez-vous à VMware vCenter vSphere Client et accédez au datacenter.
   • Cliquez sur l’onglet >Surveiller Sécurité pour vérifier que le dernier message d’attestation est « Réussi ».
   • Si vous voyez une alarme avec une icône rouge, sélectionnez l’alarme déclenchée spécifique, puis cliquez sur Réinitialiser en vert.

Problèmes d’attestation de l’hôte

Lors de l’utilisation d’un appareil TPM 2.0 sur un hôte ESXi, l’attestation peut échouer sans informations détaillées sur vSphere Client. Pour résoudre ce problème, procédez comme suit :

1. Accédez à un datacenter et cliquez sur l’onglet Surveiller .
2. Cliquez sur Securité.
3. Vérifiez l’état de l’hôte dans la colonne Attestation et lisez le message qui l’accompagne dans la colonne Message.

À présent, en fonction du message d’erreur que vous rencontrez, vous pouvez identifier une solution :

• Si le message d’erreur indique que le démarrage sécurisé de l’hôte a été désactivé, reportez-vous à la section Comment activer le démarrage sécurisé pour résoudre ce problème. Assurez-vous que le démarrage sécurisé fonctionne en premier.
• Si l’état de l’attestation de l’hôte est en échec, consultez le journal vCenter Server et recherchez le message suivant : « No cached identity key, loading from DB. » Ce message indique que vous ajoutez une puce TPM 2.0 à un hôte ESXi que vCenter Server gère déjà. Vous devez d’abord déconnecter l’hôte, puis le reconnecter.

Activation de la hiérarchie

Si le message d’erreur est « Impossible de provisionner la clé d’approbation sur l’appareil TPM 2.0 : Échec de la création de la clé d’approbation sur l’appareil », vous devez activer la hiérarchie TPM pour résoudre le problème. Procédez comme suit pour activer la hiérarchie TPM :

1. Affichez l’état d’alarme de l’hôte ESXi et le message d’erreur qui l’accompagne.
2. Connectez-vous à VMware vCenter Server à l’aide du VMware vSphere Client.
3. Sélectionnez un centre dedonnées , puis cliquez sur l’onglet Surveiller .
4. Cliquez sur Securité.
5. Vérifiez l’état de l’hôte dans la colonne Attestation et lisez le message qui l’accompagne dans la colonne Message.
6. Si le message d’erreur est « Impossible de provisionner la clé d’approbation sur l’appareil TPM 2.0 : Échec de la création de la clé d’approbation sur l’appareil », vous devez activer la hiérarchie TPM pour résoudre le problème.
7. Si vous voyez une alarme avec une icône rouge, sélectionnez l’alarme déclenchée spécifique, puis cliquez sur Réinitialiser en vert.
8. Pour activer la hiérarchie TPM, procédez comme suit :
   • Dans VMware vCenter vSphere Client, déplacez un nœud pour passer en mode Maintenance.
   • Connectez-vous à l’iDRAC pour configurer Secure Boot, puis sélectionnez l’onglet >Configurer Paramètres du BIOS Sécurité>du système>TPM.
   • Sélectionnez Hiérarchie TPM « Activer », puis cliquez sur Appliquer>OK>Appliquer et redémarrer.
   • Cliquez sur File d’attente des tâches. Attendez que toutes les tâches se terminent à 100 %.
   • Accédez à Tableau de bord >Console virtuelle pour voir si la console affiche « Terminé avec succès ». Si oui, continuez.
   • Connectez-vous à VMware vCenter vSphere Client et sélectionnez Quitter le mode maintenance.
9. Effectuez les étapes 7 et 8 sur chaque nœud jusqu’à ce que la hiérarchie TPM soit activée sur tous les nœuds à partir de l’iDRAC.
10. Connectez-vous à VMware vCenter vSphere Client et sélectionnez un datacenter.
11. Cliquez sur l’onglet >Surveiller Sécurité pour vérifier que le dernier message d’attestation est « Réussi ».

Contactez le support Dell si les étapes de dépannage n’ont pas permis de résoudre le problème.