☰

TPM情報をADに保存できません

tag-icon • tag-icon windows group-policy bitlocker tpm
TPM情報をADに保存できません

私は試みているGPを使用してTPM情報をADに保存するスキーマに適切なオブジェクト プロパティが含まれていることを確認し、プロパティと ACE が指定されたコンピュータ オブジェクトに存在することを確認しました。

Require TPM back to AD DS最新の ADMX では、 がGP でなくなりTurn on TPM backup to Active Directory Domain Services、次のステートメントに置き換えられていることに気付きました。

If you enable this policy setting, TPM owner information will be automatically and silently backed up to AD DS when you use Windows to set or change a TPM owner password.

dsa.msc's Attribute EditorTPM パスワードをリセットした後、adsiedit.mscとスクリプトの両方を使用してGet-TPMOwnerInfo.vbsデータの存在を確認しましたが、うまくいきませんでした。

TPM 情報を AD に保存できないのはなぜですか?

[コメントに関する更新]

Could you maybe add some details about precisely how you're trying to get the TPM recovery info into AD, and precisely how it's failing?

前述の通りドキュメンテーションGP ( Turn on TPM backup to Active Directory Domain Services) をクライアントコンピュータに適用した後:

TPM recovery information is backed up when you:
- Set the TPM owner password during TPM initialization.
- Change the TPM owner password.

現時点では、関連するエラーをどこで確認すればよいかわかりません...ただし、更新された TPM 情報がmsTPM-OwnerInformationコンピューター オブジェクトの属性に保存されていないことはわかります。明確に言えば、問題は TPM 情報が AD に保存されていないことであり、私はそれを AD に保存したいと考えています。

What operating system(s) are running on the machine(s) with the TPM(s)?

私は Windows 8.1 を実行していますが、Windows 8.1 と Windows 7 の両方をターゲットにします。

[追加情報]

注意：グループポリシー設定リファレンス次のレジストリ キーは GP アプリケーションを反映します。

HKLM\Software\Policies\Microsoft\TPM REG_DWORD: ActiveDirectoryBackup = 0x1
HKLM\Software\Policies\Microsoft\TPM REG_DWORD: RequireActiveDirectoryBackup = 0x1

私は次のことを実行しました:

  1. AD 内のコンピュータ オブジェクトに権限が設定されたSELFACEがあることを確認します。Write msTPM-OwnerInformation
  2. これらのレジストリ値はクライアント上で期待通りに設定されます
  3. 次にtpm.mscを使ってパスワードをリセットします
  4. 値は設定されていませんmsTPM-OwnerInformation

答え1

TPM情報をADに保存する機能（またはTPM情報をADに保存しようとする試み）は、次の場合にのみ発生することが判明しました。変化パスワード。パスワードを変更せず、同じパスワードを使用していました。

恥ずかしながら、私たちのADスキーマは超古いもの（R2ではなく、Server 2008 SP1のように見える）なので、BitLockerTPMSchemaExtension.ldf（利用可能なここ) を使用してスキーマを拡張し、次のプロパティを含めます。

  • msTPM 所有者情報
  • msFVE リカバリガイド
  • msFVE-回復パスワード
  • msFVE-回復情報
  • msFVE-ボリュームガイド
  • msFVE-キーパッケージ

（すでに存在していたことは認めるが、注目に値するmsTPM-OwnerInformation）

それで、問題なく動作するだろうと期待して、実際に変化TPMパスワードを入力し、すぐにThere is no such object on the server (error code: 0x80072030).特定のエラーを含むエラーコードを受信しましたCannot change TPM owner password.

簡単に言うと、このmsTPM-OwnerInformation属性はWindows 7以下で使用されますが、Windows 8以降（私のテストボックス）msTPM-TPMInformationForComputerでは、より詳細に説明されているように、この MSFT TechNet スレッド。

この問題を解決するには、MSFTドキュメントTpmSchemaExtension.ldfおよびを使用して AD スキーマを拡張しますTpmSchemaExtensionACLChanges.ldf。

ldifde -i -v -f TpmSchemaExtension.ldf -c "DC=X" "dc=contoso,dc=corp" -k -j .
ldifde -i -v -f TpmSchemaExtensionACLChanges.ldf -c "DC=X" "dc=contoso,dc=corp" -k -j .

関連情報