ESXi ホストが物理 TPM モジュールとの通信に失敗する

Products

• VMware vSphere ESXi

Issue/Introduction

免責事項： これは英文の記事 ESXi Host Fails to Communicate with Physical TPM Module (436517) の日本語訳です。記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。最新情報は英語版の記事で参照してください。

• ESXi ホストが物理 TPM 2.0 モジュールとの通信に失敗します
  これにより esxcli system settings encryption get コマンドを含む暗号化関連のコマンドの実行が妨げられ、
  ホストのセキュリティ認証ステータスに影響します。
  
  
•  /var/run/log/vmkernel.log にはハードウェアインターフェイスのタイムアウトを示す以下の出力が記録されます:

tpmDriver: TpmWrite:###: still expects data after 12 bytes transfered
tpmDriver: Tpm_Transmit:###: Send to TPM failed: Failure (0xbad0001)
tpmDriver: Tpm2ResMgr_Transmit:####: Error: Tpm_Transmit failed

• 以下の通り tpmdriver は認識されますが、vsish および esxcli コマンドによるベンダー情報やファームウェア情報の取得に失敗します:

[root@<ESXi_host> :~ ] vsish -e get /vmkModules/tpmdriver/vendor
VSISHCmdGetInt () :Get failed: Failure

[root@<ESXi_host> :~ ] vsish -e get /vmkModules/tpmdriver/firmware/version
VSISHCmdGetInt () :Get failed: Failure
Checking the status and connectivity to the TPM module returns errors:

[root@<ESXi_host> :~ ] esxcli system settings encryption get
Unable to get the encryption mode and policy.

[root@<ESXi_host> :~ ] esxcli system settings encryption set -m TPM
Unable to change the encryption mode and policy. Verify that the current host configuration can satisfy the new requirement.

Environment

VMware vSphere ESXi 8.x

Cause

• ESXi の VMkernel と物理 TPM マイクロコントローラ間で、一時的なハードウェアインターフェイスのハングが発生します
• TPM チップが応答できなくなり、最初のパケットヘッダー以降のデータ書き込みが認識できなくなります
  結果としてタイムアウトステータス 0xbad0001（General Failure）が出力されます

Resolution

1. 該当の ESXi ホストをメンテナンスモードに移行してください。
2. 該当の ESXi ホストを再起動して、TPM チップのハードウェアリセットを実行し、tpmdriver スタックを再初期化します
3. 該当の ESXi ホストへ SSH 接続し’、以下のコマンドを実行して問題が解決したかどうかを確認:

vsish -e get /vmkModules/tpmdriver/vendor


4. コマンドの実行結果にベンダー文字列（例：STM）が出力されるかを確認してください.
5. 問題が解決せず、再起動してもハードウェアバッファのハングが解消されない場合は、
   該当するハードウェアベンダーにお問い合わせください

Additional Information

ESXi ホストの再起動により、TPM マイクロコントローラの再起動が実施され、
ESXi Trusted Installation Services (TIS) インターフェイスが再読み込みされます。
このプロセスにより、TpmWrite:594 エラーとして出力されるハードウェアバッファのハングが解消され、
Jumpstart プラグインが TPM 2.0リソースマネージャとの新しいセッションを正常に確立できるようになります。