エラー"新しいホスト TPM の承認キーが DB に保管されているものと一致しません" が vSphere Client 上で発生する

Products

• VMware vCenter Server

Issue/Introduction

免責事項：これは英文の記事「Error: "The new host TPM endorsement key doesn't match the one stored in the DB" appears within the vSphere Client」の日本語訳です。記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。最新情報は英語版の記事で参照してください。

TPM を持つシステムボードを交換後、以下のメッセージが vSphere Client もしくは ESXi ホストのサマリページに発生します。

新しいホスト TPM の承認キーが DB に保管されているものと一致しません

Environment

• vCenter Server 7.0
• vCenter Server 8.0
• vCenter Server 9.0

Cause

新しい TPM によって生成されたキーの値と vCenter Server database(VCDB) の VPX_HOST テーブル内に保存されているキーの値が一致しないために発生します。

Resolution

一時的な対処方法

注: 対象ホストが vSAN クラスタの一部、VVOL ストレージを使用している、分散仮想スイッチへ接続されている場合はこの対処方法は実施しないでください。

1. vCenter vSphere Client から対象ホストをメンテナンスモードへ移行させる
2. vCenter のインベントリから対象ホストを削除する
3. vCenter へ再度対象ホストを追加する
4. 対象ホストをメンテナンスモードから解除する

もし "インベントリから削除" オプションが無効(グレーアウト)な場合、KB "Remove from Inventory" option grayed out for ESXi host を参照ください。

対処方法

重要:

• データベースの変更を実施する前にパワーオフ状態における vCenter のスナップショットを採取する事が推奨されます
• VMware サポートからの指示なしに vCenter データベースを直接変更する事はサポートされていません

1. vCenter の適切なスナップショットを作成

注: 拡張リンクモード(ELM)を構成している場合、スナップショットを取得する前に全てのリンクされた vCenter の電源を OFF としてください。KB Snapshot Best practices for vCenter Server Virtual Machines も参照ください。

2. 対象ホストをメンテナンスモードへ移行

3. SSH を使用して root ユーザで vCenter へ接続

4. もし bash シェルが有効になっていない場合は有効化、詳細は Enable and Access the Bash Shell from the Appliance Shell を参照

5. VPXD サービスを停止

service-control --stop vpxd

6. 対象ホストの ID を確認

確認方法1 - 全てのホストを表示

/opt/vmware/vpostgres/current/bin/psql -U postgres -d VCDB -h localhost -c "select ID,DNS_NAME,endorsement_key,attestation_identity_key from VPX_HOST;"

確認方法2 - 特定のホストの詳細を確認

/opt/vmware/vpostgres/current/bin/psql -U postgres -d VCDB -h localhost -c "select id,dns_name,endorsement_key,attestation_identity_key from VPX_HOST WHERE dns_name = 'FQDN_of_issued_host.domain';"

注: FQDN_of_issued_host.domain を対象ホストの FQDN へ置き換えてください

7. 対象ホストに対する endorsement_key と attestation_identity_key を更新する事でキーの値をクリア

/opt/vmware/vpostgres/current/bin/psql -U postgres -d VCDB -h localhost -c "update VPX_HOST set endorsement_key='', attestation_identity_key='' where id = <Host_ID_from_step_6>;"

8. 対象ホストに対するキーの値がクリアされたことを確認

/opt/vmware/vpostgres/current/bin/psql -U postgres -d VCDB -h localhost -c "select ID,DNS_NAME,endorsement_key,attestation_identity_key from VPX_HOST where id = <Host_ID_from_step_6>;"

9. VPXD サービスを起動

service-control --start vpxd

10. vSphere Client から対象ホストを切断後に再接続

11. VPX_HOST テーブルへ新しいキーの値が保存されている事を確認

/opt/vmware/vpostgres/current/bin/psql -U postgres -d VCDB -h localhost -c "select ID,DNS_NAME,endorsement_key,attestation_identity_key from VPX_HOST where id = <Host_ID_from_step_6>;"

12. 対象ホストのメンテナンスモードを解除

13. 問題が解消されたことを確認後、VCSA 仮想マシンのスナップショットを統合

Additional Information

ホストを削除/追加することなしに本アラームを対処するために下記 KB の対応も有効です。

Alarm: “The new host TPM endorsement key doesn't match the one stored in the DB”.