AD에 TPM 정보를 저장할 수 없습니다.

Question

나는 노력하고있다GP를 사용하여 AD에 TPM 정보 저장. 스키마에 적절한 개체 속성이 포함되어 있는지 확인하고 해당 속성과 ACE가 지정된 컴퓨터 개체에 있는지 확인했습니다.

최신 ADMX에서는 Require TPM back to AD DSGP에 이 누락된 것으로 보이며 Turn on TPM backup to Active Directory Domain Services다음 문으로 대체되었습니다.

If you enable this policy setting, TPM owner information will be automatically and silently backed up to AD DS when you use Windows to set or change a TPM owner password.

운 없이 TPM 비밀번호를 재설정한 후 데이터 존재 여부를 확인하기 위해 , dsa.msc's Attribute Editor및 adsiedit.msc스크립트를 모두 사용합니다 .Get-TPMOwnerInfo.vbs

TPM 정보를 AD에 저장할 수 없는 이유는 무엇입니까?

[다시 업데이트: 댓글]

Could you maybe add some details about precisely how you're trying to get the TPM recovery info into AD, and precisely how it's failing? 

에 명시된 바와 같이선적 서류 비치, GP( Turn on TPM backup to Active Directory Domain Services)를 클라이언트 컴퓨터에 적용한 후:

TPM recovery information is backed up when you:
- Set the TPM owner password during TPM initialization.
- Change the TPM owner password.

msTPM-OwnerInformation현재로서는 컴퓨터 개체의 속성 에 저장된 업데이트된 TPM 정보가 표시되지 않는 것 외에 관련된 오류를 어디에서 볼 수 있는지 잘 모르겠습니다. 분명히 말하면 문제는 TPM 정보가 AD에 저장되지 않고 AD에 저장되기를 원한다는 것입니다.

What operating system(s) are running on the machine(s) with the TPM(s)?

Windows 8.1을 실행하고 있지만 Windows 8.1과 Windows 7을 모두 대상으로 할 예정입니다.

[추가 정보]

참고하세요그룹 정책 설정 참조, 다음 레지스트리 키는 GP 응용 프로그램을 반영합니다.

HKLM\Software\Policies\Microsoft\TPM REG_DWORD: ActiveDirectoryBackup = 0x1
HKLM\Software\Policies\Microsoft\TPM REG_DWORD: RequireActiveDirectoryBackup = 0x1

나는 다음을 수행했습니다.

1. AD의 컴퓨터 개체에 설정된 권한을 SELF가진 ACE가 있는지 확인하세요 .Write msTPM-OwnerInformation
2. 이러한 레지스트리 값은 클라이언트에서 예상대로 설정됩니다.
3. 그런 다음 tpm.msc를 사용하여 비밀번호를 재설정합니다.
4. 에 설정된 값이 없습니다.msTPM-OwnerInformation

Answer 1

TPM 정보를 AD에 저장하는 기능(또는 TPM 정보를 AD에 저장하려는 시도)은변화비밀번호. 비밀번호를 변경한 것이 아니라 동일한 비밀번호를 사용하고 있었습니다.

부끄럽게도 우리의 AD 스키마는 매우 구식이기 때문에[R2가 아닌 서버 2008 SP1처럼 보임], 나는 BitLockerTPMSchemaExtension.ldf(사용 가능)여기) 속성을 포함하도록 스키마를 확장하려면 다음을 수행합니다.

• msTPM-소유자 정보
• msFVE-RecoveryGuid
• msFVE-복구 비밀번호
• msFVE-복구 정보
• msFVE-VolumeGuid
• msFVE-KeyPackage

msTPM-OwnerInformation( 이미 존재하는 것은 인정되고 주목할 가치가 있습니다 )

그래서 이것이 문제 없이 작동할 것으로 예상하고 실제로 진행했습니다.변화TPM 비밀번호를 입력하고 There is no such object on the server (error code: 0x80072030).특정 오류와 함께 오류 코드를 즉시 받았습니다.Cannot change TPM owner password.

매우 간단하게 말하면 이 msTPM-OwnerInformation속성은 Windows 7 이하에서 사용되지만 Windows 8+(내 테스트 상자) msTPM-TPMInformationForComputer에서는 다음에서 자세히 설명한 대로 사용합니다.이 MSFT TechNet 스레드.

이 문제를 해결하려면 다음을 따르십시오.MSFT 문서TpmSchemaExtension.ldf, 및 를 사용하여 AD 스키마를 확장합니다 TpmSchemaExtensionACLChanges.ldf.

ldifde -i -v -f TpmSchemaExtension.ldf -c "DC=X" "dc=contoso,dc=corp" -k -j .
ldifde -i -v -f TpmSchemaExtensionACLChanges.ldf -c "DC=X" "dc=contoso,dc=corp" -k -j .