跳到主要内容

设置 TPM 策略

在交付更换主板时，TPM 策略默认设置为未定义。您必须修改此设置以匹配待更换主板的设置。

可使用两种方法设置 TPM 策略：

使用 Lenovo XClarity Provisioning Manager
要从 Lenovo XClarity Provisioning Manager 中设置 TPM 策略，请执行以下操作：
1. 启动服务器并按下屏幕说明中指定的键，以显示 Lenovo XClarity Provisioning Manager 界面。（如需更多信息，请参阅 Lenovo XClarity Provisioning Manager portal page 上适用于您的服务器的 LXPM 文档中的“启动”一节。）
2. 如果开机时需要管理员密码，请输入密码。
3. 从“系统摘要”页面中，单击更新 VPD。
4. 将策略设置为以下选项之一。
  - 启用 NationZ TPM 2.0 — 仅限中国。如果安装了 NationZ TPM 2.0 适配器，中国大陆的客户应选择此设置。
  - 启用 TPM — 世界其他地区。中国大陆以外的客户应选择此设置。
  - 永久禁用。如果未安装 TPM 适配器，中国大陆的客户应使用此设置。
  注
  虽然未定义也是一种策略设置，但不应使用此设置。

使用 Lenovo XClarity Essentials OneCLI

注

请注意，必须在 Lenovo XClarity Controller 中设置用于远程访问目标系统的 IPMI 用户和密码。

要从 Lenovo XClarity Essentials OneCLI 中设置 TPM 策略，请执行以下操作：

读取 TpmTcmPolicyLock 以检查 TPM_TCM_POLICY 是否已锁定：
```
OneCli.exe config show imm.TpmTcmPolicyLock --override --imm <userid>:<password>@<ip_address>
```
注
imm.TpmTcmPolicyLock 值必须为“Disabled”，这表示 TPM_TCM_POLICY 未锁定，允许对 TPM_TCM_POLICY 进行更改。如果返回代码为“Enabled”，则不允许更改策略。如果所需设置适用于要更换的系统，则平板仍将可以使用。

将 TPM_TCM_POLICY 配置到 XCC 中：

对于中国大陆内没有 TPM 或需要禁用 TPM 的客户：

OneCli.exe config set imm.TpmTcmPolicy "NeitherTpmNorTcm" --override  --imm <userid>:<password>@<ip_address>

对于中国大陆内需要启用 TPM 的客户：

OneCli.exe config set imm.TpmTcmPolicy "NationZTPM20Only" --override --imm <userid>:<password>@<ip_address>

对于中国大陆之外的其他国家/地区内需要启用 TPM 的客户：

OneCli.exe config set imm.TpmTcmPolicy "TpmOnly" b --imm <userid>:<password>@<ip_address>

发出 reset 命令以重置系统：

OneCli.exe misc ospower reboot --imm <userid>:<password>@<ip_address>

读回值以检查更改是否已被接受：
```
OneCli.exe config show imm.TpmTcmPolicy --override --imm <userid>:<password>@<ip_address>
```
注
- 如果读回值匹配，则表示已正确设置 TPM_TCM_POLICY。
  imm.TpmTcmPolicy 定义如下：
  值 0 使用字符串“Undefined”，这表示 UNDEFINED 策略。
  值 1 使用字符串“NeitherTpmNorTcm”，这表示 TPM_PERM_DISABLED。
  值 2 使用字符串“TpmOnly”，这表示 TPM_ALLOWED。
  值 4 使用字符串“NationZTPM20Only”，这表示 NationZ_TPM20_ALLOWED。
- 在使用 OneCli/ASU 命令时，还必须通过以下 4 步操作“锁定” TPM_TCM_POLICY：

读取 TpmTcmPolicyLock 以检查 TPM_TCM_POLICY 是否已被锁定，命令如下：

OneCli.exe config show imm.TpmTcmPolicyLock --override --imm <userid>:<password>@<ip_address>

值必须为“Disabled”，这表示 TPM_TCM_POLICY 未锁定并且必须设置。

锁定 TPM_TCM_POLICY：

OneCli.exe config set imm.TpmTcmPolicyLock "Enabled"--override --imm <userid>:<password>@<ip_address>

发出 reset 命令以重置系统，命令如下：
```
OneCli.exe misc ospower reboot --imm <userid>:<password>@<ip_address>
```
重置期间，UEFI 将会从 imm.TpmTcmPolicyLock 读取值，如果值为“Enabled”且 imm.TpmTcmPolicy 值有效，UEFI 将会锁定 TPM_TCM_POLICY 设置。
注
imm.TpmTcmPolicy 的有效值包括“NeitherTpmNorTcm”、“TpmOnly”和“NationZTPM20Only”。
如果 imm.TpmTcmPolicyLock 被设置为“Enabled”，但是 imm.TpmTcmPolicy 值无效，UEFI 将会拒绝“锁定”请求并将 imm.TpmTcmPolicyLock 改回为“Disabled”。
读回该值以检查“锁定”请求是被接受还是被拒绝。命令如下：
```
OneCli.exe config show imm.TpmTcmPolicy --override --imm <userid>:<password>@<ip_address>
```
注
如果读回值从“Disabled”更改为“Enabled”，则表示 TPM_TCM_POLICY 已成功锁定。策略在设置之后无法解锁，除非更换主板。
imm.TpmTcmPolicyLock 定义如下：
值 1 使用字符串“Enabled”，这表示锁定策略。不接受其他值。

提供反馈