☰

無法在 AD 中儲存 TPM 訊息

tag-icon • tag-icon windows group-policy bitlocker tpm
無法在 AD 中儲存 TPM 訊息

我正在嘗試使用GP在AD中儲存TPM訊息。我已驗證該架構是否包含正確的物件屬性，並驗證該屬性和 ACE 是否存在於給定的電腦物件上。

Require TPM back to AD DS我確實注意到，在最新的 ADMX 中， GP 中似乎缺少該內容Turn on TPM backup to Active Directory Domain Services，而是替換為以下語句：

If you enable this policy setting, TPM owner information will be automatically and silently backed up to AD DS when you use Windows to set or change a TPM owner password.

dsa.msc's Attribute Editor重設 TPM 密碼後，我使用adsiedit.msc和 腳本Get-TPMOwnerInfo.vbs來檢查資料是否存在，但沒有成功。

為什麼我無法將 TPM 資訊儲存在 AD 中？

[更新回覆：評論]

Could you maybe add some details about precisely how you're trying to get the TPM recovery info into AD, and precisely how it's failing?

如中所述文件，將 GP ( Turn on TPM backup to Active Directory Domain Services) 應用於客戶端電腦後：

TPM recovery information is backed up when you:
- Set the TPM owner password during TPM initialization.
- Change the TPM owner password.

此時，我不確定在哪裡可以看到相關錯誤...除了我沒有看到儲存在msTPM-OwnerInformation電腦物件屬性中的更新的 TPM 資訊。需要明確的是，問題是 TPM 資訊沒有儲存在 AD 中，我希望將其儲存在 AD 中。

What operating system(s) are running on the machine(s) with the TPM(s)?

我正在運行 Windows 8.1，但將同時針對 Windows 8.1 和 Windows 7。

[附加資訊]

請注意，在組策略設定參考，以下註冊表​​項反映了 GP 應用程式：

HKLM\Software\Policies\Microsoft\TPM REG_DWORD: ActiveDirectoryBackup = 0x1
HKLM\Software\Policies\Microsoft\TPM REG_DWORD: RequireActiveDirectoryBackup = 0x1

我執行了以下操作：

  1. 驗證AD 中的電腦物件上是否存在具有權限集的SELFACE 。Write msTPM-OwnerInformation
  2. 這些註冊表值在客戶端上按預期設定
  3. 然後我使用 tpm.msc 重設密碼
  4. 沒有設定任何值msTPM-OwnerInformation

答案1

事實證明，將 TPM 資訊儲存到 AD 的功能（或嘗試將 TPM 資訊儲存到 AD）僅在您執行以下操作時才會發生：改變密碼。我沒有更改密碼，而是使用相同的密碼。

由於可恥的是，我們的 AD 模式是超級老派 [看起來像伺服器 2008 SP1，甚至不是 R2]，我使用了BitLockerTPMSchemaExtension.ldf（可用這裡) 擴展架構以包含屬性：

  • msTPM-所有者訊息
  • msFVE-恢復指南
  • msFVE-恢復密碼
  • msFVE-恢復訊息
  • msFVE-卷指南
  • msFVE-金鑰包

（當然，值得注意的是msTPM-OwnerInformation已經存在）

所以，希望這能順利進行，我實際上開始了改變TPM 密碼，並立即收到There is no such object on the server (error code: 0x80072030).帶有具體錯誤的錯誤代碼Cannot change TPM owner password.

非常簡單，該msTPM-OwnerInformation屬性由 Windows 7 及更低版本使用，但 Windows 8+（我的測試盒是）使用，msTPM-TPMInformationForComputer如中更詳細討論的此 MSFT TechNet 線程。

要解決此問題，請遵循MSFT 文檔TpmSchemaExtension.ldf，使用和擴展 AD 架構TpmSchemaExtensionACLChanges.ldf。

ldifde -i -v -f TpmSchemaExtension.ldf -c "DC=X" "dc=contoso,dc=corp" -k -j .
ldifde -i -v -f TpmSchemaExtensionACLChanges.ldf -c "DC=X" "dc=contoso,dc=corp" -k -j .

相關內容