「PowerEdge：Trusted Platform Module (TPM)、セキュア ブート、ESXiのトラブルシューティング

• ［Attestation］列のホスト ステータスに「Host Secure Boot was disabled」と表示される
• TPM 2.0デバイスが検出されるが、接続を確立できない
• ［Attestation］列のホスト ステータスに「N/A」と表示される
• ESXiホストでTPM 2.0 (Trusted Platform Module)デバイスを使用している場合、ホストはAttestationフェーズに合格しない
• エラー メッセージは、「Unable to provision Endorsement Key on TPM 2.0 device: Endorsement Key creation failed on the device」である

DellサーバーでのTPMおよびセキュア ブートの問題のトラブルシューティング。

目次:

はじめに
前提条件
TPMおよびセキュア ブートの問題のトラブルシューティング
Attestationの問題のトラブルシューティング
TPM階層の有効化

概要

このナレッジベース記事では、Dellサーバー上のTrusted Platform Module (TPM)およびセキュア ブートに関連する一般的な問題をトラブルシューティングして解決するための詳細な手順について説明します。これらの問題は、適切な認証とシステム機能を妨げる可能性があります。このマニュアルに記載されている手順に従って、お使いのDellサーバーのパフォーマンスを最適にしてください。

必要条件

• TPM 2.0デバイスがiDRACから検出され、正常であることを確認します。
• UEFI、TPM、およびセキュア ブートが有効になっていることを確認します。
• TPM 2.0アルゴリズム「SHA256」を使用し、インテルTXTを有効にします。 

「TPM 2.0デバイスが検出されるが、接続を確立できない」の問題の詳細とトラブルシューティング ガイダンスについては、次の記事000193231を参照してください。

「PowerEdge：ESXi 7.0のエラー：TPM 2.0デバイスが検出されるが、接続を確立できない 

TPMおよびセキュア ブートの問題のトラブルシューティング

「セキュア ブートを有効にする方法」を参照してください。

1. ESXiホストのアラーム ステータスとそれに伴うエラー メッセージを表示します。
2. vSphere Clientを使用して vCenter Server に接続します。
3. データセンターを選択し、監視タブをクリックします。
4. [Security](セキュリティ)をクリックします。
5. ［Attestation］列でホストのステータスを確認し、［Message］列に付随するメッセージを読みます。
6. エラー メッセージが「Host secure boot was disabled」の場合は、次の手順にしたがって問題を解決します。
   • セキュア ブートを有効にできるかどうかを確認します。有効にできない場合は、Dellテクニカル サポートにお問い合わせください。
   • セキュア ブートを有効にするには、次の手順に従います。
     • VMware vCenter vSphere Clientから、1つのノードを メンテナンス モードに移行します。
     • iDRACにログインしてセキュア ブートを設定し、[BIOS設定]>>[システム セキュリティ]>[TPMの詳細設定][構成]タブを選択します。
     • セキュア ブートの［Enable］を選択し、［Apply］＞［OK］ ＞［Apply］＞［Reboot］の順にクリックします。
     • ［Job queue］をクリックします。すべてのジョブが100%完了するまで待ちます。
     • VMware vCenter vSphere Clientにログインし、ノードを Exit Maintenance Modeに設定します。
   • すべてのノードでiDRACからセキュア ブートが有効になるまで、各ノードで手順6を実行します。
   • VMware vCenter vSphere Client にログインし、 データ センターを選択します。
   • [セキュリティ] > [監視] タブをクリックして、最新の構成証明ステータスに [合格] と表示されていることを確認します。
   • 赤色のアイコンが付いたアラームが表示されている場合は、それを選択して［RESET TO GREEN］をクリックします。

TPMとセキュア ブートを有効にする方法。

1. ESXiホストのアラーム ステータスとそれに伴うエラー メッセージを表示します。
2. VMware vSphere Clientを使用して VMware vCenter Server に接続します。
3. データセンターを選択し、監視タブをクリックします。
4. [Security](セキュリティ)をクリックします。
5. ［Attestation］列でホストのステータスを確認し、［Message］列に付随するメッセージを読みます。
6. エラー メッセージが［N/A］の場合、問題を解決するにはTPMとセキュア ブートを有効にする必要があります。
   • セキュア ブートを有効にできるかどうかを確認します。有効にできない場合は、 Dellサポートにお問い合わせください。
   • TPMとセキュア ブートを有効にするには、次の手順を実行します。
     • VMware vCenter vSphere Clientから、1つのノードを メンテナンス モードに移行します。
     • iDRACにログインしてセキュア ブートを設定し、[BIOS設定]>[システムセキュリティ]>[TPMセキュリティ]>[TPMの詳細設定][TPM詳細設定]>[構成]タブを選択します。
     • セキュア ブートの［Enable］を選択し、［Apply］＞［OK］ ＞［Apply］＞［Reboot］の順にクリックします。
     • ［Job queue］をクリックします。すべてのジョブが100%完了するまで待ちます。
     • [Dashboard]>[Virtual Console]に移動して、コンソールに「successfully completed」と表示されているかどうかを確認します。表示されている場合は、続行します。
     • VMware vCenter vSphere Client にログインし、ノードを切断します。
     • ノードを再接続し、 メンテナンス モードを終了します。
   • すべてのノードでTPMとセキュア ブートがiDRACから有効になるまで、各ノードで手順6を実行します。
   • VMware vCenter vSphere Client にログインし、 データ センターに移動します。
   • [セキュリティ>監視]タブをクリックして、最新の構成証明メッセージが「合格」であることを確認します。
   • 赤色のアイコンが付いたアラームが表示された場合は、トリガーされた特定のアラームを選択し、［RESET TO GREEN］をクリックします。

ホストAttestationの問題

ESXiホストでTPM 2.0デバイスを使用している場合、詳細なvSphere Client情報がないと、Attestationに失敗することがあります。この問題をトラブルシューティングするには、次の手順に従います。

1. データ センターに移動し、Monitorタブをクリックします。
2. [Security](セキュリティ)をクリックします。
3. ［Attestation］列でホストのステータスを確認し、［Message］列に付随するメッセージを読みます。

これで、発生したエラーメッセージに応じて、解決策を特定できます。

• 「 ホスト セキュア ブートが無効になりました」というエラー メッセージが表示される場合は、「 セキュア ブートを有効にする方法 」セクションを参照して、この問題を解決してください。まず、セキュア ブートが機能していることを確認します。
• ホストのAttestationステータスが「fail」の場合は、vCenter Serverのログに次のメッセージがないか確認してください。「No cached identity key, loading from DB.」このメッセージは、vCenter Serverにすでに管理されているESXiホストにTPM 2.0チップを追加しようとしていることを意味しています。ホストを切断してから、もう一度接続し直してください。

階層を有効にする方法

エラー メッセージが「Unable to provision Endorsement Key on TPM 2.0 device: Endorsement Key creation failed on the device」の場合は、TPM階層を有効にして問題を解決する必要があります。TPM階層を有効にするには、次の手順に従います。

1. ESXiホストのアラーム ステータスとそれに伴うエラー メッセージを表示します。
2. VMware vSphere Clientを使用してVMware vCenter Serverに接続します。
3. データの中心を選択し、[モニター]タブをクリックします。
4. [Security](セキュリティ)をクリックします。
5. ［Attestation］列でホストのステータスを確認し、［Message］列に付随するメッセージを読みます。
6. エラー メッセージが「Unable to provision Endorsement Key on TPM 2.0 device: Endorsement Key creation failed on the device」の場合は、TPM階層を有効にして問題を解決する必要があります。
7. 赤色のアイコンが付いたアラームが表示された場合は、トリガーされた特定のアラームを選択し、［RESET TO GREEN］をクリックします。
8. TPM階層を有効にするには、次の手順に従います。
   • VMware vCenter vSphere Clientから、1つのノードを メンテナンス モードに移行します。
   • iDRACにログインしてセキュア ブートを設定し、BIOS設定>構成タブ>システム セキュリティ>TPMを選択します。
   • [TPM Hierarchy]で[Enable]を選択し、[Apply]をクリックして>[OK]>[Apply and Reboot]をクリックします。
   • ［Job queue］をクリックします。すべてのジョブが100%完了するまで待ちます。
   • [Dashboard]>[Virtual Console]に移動して、コンソールに「successfully completed」と表示されているかどうかを確認します。表示されている場合は、続行します。
   • VMware vCenter vSphere Client にログインし、 メンテナンス モードの終了を選択します。
9. すべてのノードのTPM階層が有効になるまで、iDRACを使用して各ノードで手順7と8を実行します。
10. VMware vCenter vSphere Client にログインし、 データ センターを選択します。
11. [セキュリティ>監視]タブをクリックして、最新の構成証明メッセージが「合格」であることを確認します。

トラブルシューティングの手順で問題が解決しない場合は、 Dellサポート にお問い合わせください。