PowerEdge : dépannage de Trusted Platform module (TPM), Secure Boot et ESXi

• L’état de l’hôte dans la colonne Attestation indique « Host Secure Boot was disabled »
• Un appareil Trusted Platform Module (TPM) 2.0 a été détecté mais aucune connexion ne peut être établie
• L’état de l’hôte dans la colonne Attestation indique « N/A »
• Lors de l’utilisation d’un appareil Trusted Platform Module (TPM) 2.0 sur un hôte ESXi, l’hôte ne réussit pas la phase d’attestation
• Le message d’erreur est « Impossible de provisionner la clé d’approbation sur l’appareil TPM 2.0 : Échec de la création de la clé d’approbation sur l’appareil »

Résolution des problèmes de TPM et Secure Boot sur les serveurs Dell

Sommaire :

Introduction
Conditions préalables
Résolution des problèmes TPM et Secure Boot
Résolution des problèmes d’attestation
Activation de la hiérarchie TPM

Introduction

Cet article de la base de connaissances fournit des instructions étape par étape pour dépanner et résoudre les problèmes courants liés au module TPM (Trusted Platform module) et à Secure Boot sur les serveurs Dell. Ces problèmes peuvent entraver l’attestation et le bon fonctionnement du système. Suivez les instructions décrites dans ce document pour garantir des performances optimales de votre serveur Dell.

Configuration requise

• Assurez-vous que l’appareil TPM 2.0 est détecté et intègre à partir de l’iDRAC.
• Assurez-vous que UEFI, TPM et Secure Boot sont activés.
• Utilisez l’algorithme TPM 2.0 « SHA256 », activez Intel TXT. 

Pour obtenir des informations détaillées et des conseils de résolution concernant le problème « Le module TPM 2.0 a été détecté, mais aucune connexion ne peut être établie. », voir l’article 000193231 disponible ici :

PowerEdge : erreur sur ESXi 7.0. Le module TPM 2.0 a été détecté mais aucune connexion ne peut être établie
 

Résolution des problèmes TPM et Secure Boot

Activation de Secure Boot

1. Affichez l’état d’alarme de l’hôte ESXi et le message d’erreur qui l’accompagne.
2. Connectez-vous à vCenter Server à l’aide de vSphere Client.
3. Sélectionnez un centre de données, puis cliquez sur l’onglet Surveiller.
4. Cliquez sur Securité.
5. Vérifiez l’état de l’hôte dans la colonne Attestation et lisez le message qui l’accompagne dans la colonne Message.
6. Si le message d’erreur est « Host Secure Boot was disabled », procédez comme suit pour résoudre le problème :
   • Vérifiez si Secure Boot peut être activé. S’il ne peut pas être activé, contactez le support Dell.
   • Pour activer Secure Boot, procédez comme suit :
     • Depuis le client VMware vSphere vCenter, déplacez un nœud en mode maintenance.
     • Connectez-vous à l’iDRAC pour configurer Secure Boot, puis sélectionnez l’onglet Configurer > Paramètres du BIOS > Sécurité du système > Paramètres avancés de TPM.
     • Sélectionnez Secure Boot « Activer », puis cliquez sur Appliquer > OK > Appliquer et Redémarrer.
     • Cliquez sur File d’attente des tâches. Attendez que toutes les tâches se terminent à 100 %.
     • Connectez-vous au client VMware vSphere vCenter et définissez le nœud sur Sortie du mode maintenance.
   • Effectuez l’étape 6 sur chaque nœud jusqu’à ce que Secure Boot soit activé sur tous les nœuds à partir de l’iDRAC.
   • Connectez-vous à VMware vCenter vSphere Client et sélectionnez le centre de données.
   • Cliquez sur l’onglet Surveiller > Sécurité pour vérifier que le dernier état de l’attestation indique « Passed ».
   • Si vous voyez une alarme avec une icône rouge, sélectionnez-la et cliquez sur Réinitialiser en vert.

Activation de TPM et de Secure Boot

1. Affichez l’état d’alarme de l’hôte ESXi et le message d’erreur qui l’accompagne.
2. Connectez-vous à VMware vCenter Server à l’aide de VMware vSphere Client.
3. Sélectionnez un centre de données, puis cliquez sur l’onglet Surveiller.
4. Cliquez sur Securité.
5. Vérifiez l’état de l’hôte dans la colonne Attestation et lisez le message qui l’accompagne dans la colonne Message.
6. Si le message d’erreur est « N/A », vous devez activer TPM et Secure Boot pour résoudre le problème.
   • Vérifiez si Secure Boot peut être activé. S’il ne peut pas être activé, contactez le support Dell.
   • Pour activer TPM et Secure Boot, procédez comme suit :
     • Depuis le client VMware vSphere vCenter, déplacez un nœud en mode maintenance.
     • Connectez-vous à l’iDRAC pour configurer Secure Boot, puis sélectionnez l’onglet Configurer > Paramètres du BIOS > Sécurité du système > Sécurité TPM « Activé » > Paramètres avancés de TPM.
     • Sélectionnez Secure Boot « Activer », puis cliquez sur Appliquer > OK > Appliquer et Redémarrer.
     • Cliquez sur File d’attente des tâches. Attendez que toutes les tâches se terminent à 100 %.
     • Accédez au tableau de bord > Console virtuelle pour voir si la console affiche « Terminé avec succès ». Si oui, continuez.
     • Connectez-vous à VMware vCenter vSphere Client et déconnectez le nœud.
     • Reconnectez le nœud, puis sélectionnez Sortie du mode maintenance.
   • Effectuez l’étape 6 sur chaque nœud jusqu’à ce que TPM et Secure Boot soient activés sur tous les nœuds à partir de l’iDRAC.
   • Connectez-vous à VMware vCenter vSphere Client et accédez au centre de données.
   • Cliquez sur l’onglet Surveiller > Sécurité pour vérifier que le dernier message de l’attestation indique « Passed ».
   • Si vous voyez une alarme avec une icône rouge, sélectionnez l’alarme déclenchée spécifique, puis cliquez sur Réinitialiser en vert.

Problèmes d’attestation de l’hôte

Lors de l’utilisation d’un appareil TPM 2.0 sur un hôte ESXi, l’attestation peut échouer sans informations détaillées sur vSphere Client. Pour résoudre ce problème, procédez comme suit :

1. Accédez à un centre de données, puis cliquez sur l’onglet Surveiller.
2. Cliquez sur Securité.
3. Vérifiez l’état de l’hôte dans la colonne Attestation et lisez le message qui l’accompagne dans la colonne Message.

À présent, en fonction du message d’erreur que vous rencontrez, vous pouvez identifier une solution :

• Si le message d’erreur indique Host Secure Boot was disabled, voir la section Activation de Secure Boot pour résoudre ce problème. Assurez-vous d’abord que Secure Boot fonctionne.
• Si l’état de l’attestation de l’hôte est en échec, consultez le journal vCenter Server et recherchez le message suivant : « No cached identity key, loading from DB. » Ce message indique que vous ajoutez une puce TPM 2.0 à un hôte ESXi que vCenter Server gère déjà. Vous devez d’abord déconnecter l’hôte, puis le reconnecter.

Activation de la hiérarchie

Si le message d’erreur est « Impossible de provisionner la clé d’approbation sur l’appareil TPM 2.0 : Échec de la création de la clé d’approbation sur l’appareil », vous devez activer la hiérarchie TPM pour résoudre le problème. Procédez comme suit pour activer la hiérarchie TPM :

1. Affichez l’état d’alarme de l’hôte ESXi et le message d’erreur qui l’accompagne.
2. Connectez-vous à VMware vCenter Server à l’aide de VMware vSphere Client.
3. Sélectionnez un centre de données, puis cliquez sur l’onglet Surveiller.
4. Cliquez sur Securité.
5. Vérifiez l’état de l’hôte dans la colonne Attestation et lisez le message qui l’accompagne dans la colonne Message.
6. Si le message d’erreur est « Impossible de provisionner la clé d’approbation sur l’appareil TPM 2.0 : Échec de la création de la clé d’approbation sur l’appareil », vous devez activer la hiérarchie TPM pour résoudre le problème.
7. Si vous voyez une alarme avec une icône rouge, sélectionnez l’alarme déclenchée spécifique, puis cliquez sur Réinitialiser en vert.
8. Pour activer la hiérarchie TPM, procédez comme suit :
   • Depuis le client VMware vSphere vCenter, déplacez un nœud en mode maintenance.
   • Connectez-vous à l’iDRAC pour configurer Secure Boot, puis sélectionnez l’onglet Configurer > Paramètres du BIOS > Sécurité du système > TPM.
   • Sélectionnez Hiérarchie TPM « Activer », puis cliquez sur Appliquer > OK > Appliquer et Redémarrer.
   • Cliquez sur File d’attente des tâches. Attendez que toutes les tâches se terminent à 100 %.
   • Accédez au tableau de bord > Console virtuelle pour voir si la console affiche « Terminé avec succès ». Si oui, continuez.
   • Connectez-vous au client VMware vSphere vCenter et sélectionnez Sortie du mode maintenance.
9. Effectuez les étapes 7 et 8 sur chaque nœud jusqu’à ce que la hiérarchie TPM soit activée sur tous les nœuds à partir de l’iDRAC.
10. Connectez-vous à VMware vCenter vSphere Client et sélectionnez un centre de données.
11. Cliquez sur l’onglet Surveiller > Sécurité pour vérifier que le dernier message de l’attestation indique « Passed ».

Contactez-nous si les étapes de dépannage n’ont pas permis de résoudre le problème.