エラー"新しいホスト TPM の承認キーが DB に保管されているものと一致しません" が vSphere Client 上で発生する
search cancel

エラー"新しいホスト TPM の承認キーが DB に保管されているものと一致しません" が vSphere Client 上で発生する

book

Article ID: 421413

calendar_today

Updated On:

Products

VMware vCenter Server VMware vSAN 7.x VMware vSAN 8.x

Issue/Introduction

免責事項：これは英文の記事「Error: "The new host TPM endorsement key doesn't match the one stored in the DB" appears within the vSphere client - VMware vCenter Server」の日本語訳です。
記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。
最新情報は英語版の記事を参照します。

TPM を持つシステムボードを交換後、以下のメッセージが vSphere Client もしくは ESXi ホストのサマリページに表示される場合があります。
新しいホスト TPM の承認キーが DB に保管されているものと一致しません

Environment

  • vCenter Server 7.x
  • vCenter Server 8.x
  • vCenter Server 9.x

Cause

新しい TPM によって生成されたキーの値と、vCenter Server データベース(VCDB) の VPX_HOST テーブルに格納されているキーの値が一致していません。

Resolution

以下の手順に従って（オプション1、2、または3のいずれかを選択）、vCenter Serverデータベースから古いTPMキーをクリアし、ESXiホストの構成証明(Attestation)を再実行します。

注記 ：

オプション1:

  1. 影響を受ける ESXi ホストをメンテナンスモードに移行します。
  2. vCenter Server の vpxd サービスを停止します。
    1. SSH経由でrootユーザーとしてvCenter Server Appliance（VCSA）にログインします。
    2. VMware Virtual Center Server サービス (vpxd) を停止するには、次のコマンドを実行します。
      service-control --stop vpxd
  3. PostgreSQL データベースから古いキーをクリアする：
    1. 以下のコマンドを使用して vCenter データベース（VCDB）にアクセスします。
      /opt/vmware/vpostgres/current/bin/psql -U postgres -d VCDB
    2. 影響を受けるESXiホストの内部ホストIDを特定します。esxi-hostname.example.com を、vSphere インベントリに表示されているとおりの FQDN に置き換えます。
      select id, dns_name FROM vpx_host WHERE dns_name = 'esxi-hostname.example.com';
    3. 対象IDの endorsement_key と attestation_identity_key フィールドをクリアします（123を手順 'b' のホストIDに置き換えます）。
      UPDATE vpx_host SET endorsement_key='', attestation_identity_key='' WHERE id = 123;
    4. データベースからログアウトします。
      \q
  4. vCenter Serverのvpxdサービスを再起動します。
    service-control --start vpxd
  5. ESXi ホストを右クリックし、 「接続」→「切断」を選択します。
  6. 約10秒待ってから、ホストを右クリックして 「接続」→「接続」を選択します。
  7. ホストの「モニター」タブ > 「問題とアラーム」 > 「トリガーされたアラーム」に移動します。
  8. TPM またはアテステーションのアラームがアクティブなままの場合は、アラームを右クリックして「緑色にリセット」を選択します。
  9. 修正を確認するには、vCenter 監視 タブ -> セキュリティ に移動します。
  10. 認証ステータスが「合格」と報告されていることを確認します。

オプション2:

注意 ：ホストが vVOL データストアを使用している場合、または vSphere Distributed Switch（vDS）に接続されている (vSANホストを含​​む) 場合は、この回避策は実行してはいけません。

  1. 影響を受けるESXiホストをメンテナンスモードにします（ ホストを右クリック→メンテナンスモードに移行）。
  2. vCenterのインベントリからホストを削除します。
    注 : 「インベントリから削除」オプションが使用できない場合（グレーアウト表示）は、 "Remove from Inventory" option grayed out for ESXi host を参照します。
  3. vCenterにホストを再度追加します。
  4. ホストのメンテナンスモードを解除します。

オプション3:（vSAN ホストが vSphere Standard Switches [vSS] のみ を使用する場合）

注意 ：ホストがvSANクラスタの一部であり、vSphere Distributed Switch（vDS）に接続されている場合は、この回避策は実行してはいけません。

  1. 事象以外のクラスタが正常であることを確認します（ クラスタ -> 監視 タブ -> Skyline Health を選択 ）。
  2. クラスタが影響を受けるホストなしでも動作するのに十分なリソースがあることを確認します（ ホストを右クリック→メンテナンスモード→メンテナンスモードに移行→事前チェック ）。
  3. vSphere Client から、影響を受けるホストを「アクセシビリティの確保」または「全データの移行」モードでメンテナンスモードに移行し、再同期が完了するまで待ちます。
    詳細については、TechDocs: vSAN クラスタ メンバーのメンテナンス モードへの切り替え および メンテナンス モードでの vSAN クラスタのメンバーの操作 を参照します。
  4. ESXiホストをクラスタ外に移動して、vSAN との関連付けを解除します（ ホストを右クリック→移動先... ）。
  5. vCenterのインベントリからホストを削除します。
    注 : 「インベントリから削除」オプションが使用できない場合（グレーアウト表示）は、 "Remove from Inventory" option grayed out for ESXi host を参照します。
  6. vCenterにホストを再度追加します。
  7. ホストをvSANクラスタに再度追加します。
    詳細については、TechDocs: クイックスタートを使用した vSAN クラスタへのホストの追加 または vSAN クラスタへのホストの追加 を参照します。
  8. ホストのメンテナンスモードを解除します。

 

Additional Information

Powered by Wolken Software