Nếu sau khi triển khai thành công Windows 10 và bạn nhận thấy rằng Mô-đun nền tảng đáng tin cậy (TPM) đang ở chế độ giảm chức năng, thì bài đăng này nhằm giúp bạn. Trong bài đăng này, chúng tôi sẽ xác định một số nguyên nhân tiềm ẩn đã biết cho hành vi này và sau đó đưa ra giải pháp cho sự cố này cũng như biện pháp bạn có thể thực hiện để ngăn sự cố xảy ra trong quá trình triển khai Windows 10 .

Bạn có thể gặp phải sự cố này dựa trên tình huống sau.

Bạn sử dụng Bộ công cụ triển khai^{(Deployment Toolkit)} của Microsoft (Đây có thể là bất kỳ phiên bản MDT nào hỗ trợ Windows 10 ) để triển khai Windows 10 bằng cách sử dụng bước “ Bật BitLocker (ngoại tuyến)^{(Enable BitLocker (offline))} ” (tập lệnh ZTIBDE.wsf)^{((ZTIBDE.wsf script))} để cung cấp trước BitLocker trong Windows PE trong phần “ Nhóm cài đặt sẵn^(Preinstall) ”và việc triển khai thành công.

Tuy nhiên, trong trường hợp này, bạn nhận thấy rằng Mô-đun nền tảng đáng tin cậy^{(Trusted Platform Module)} ( TPM ) đang ở chế độ giảm chức năng. Trong tình huống này, Bảng điều khiển quản lý TPM^{(TPM Management)} ( TPM.msc ) báo cáo sự cố sau:

TPM đã sẵn sàng để sử dụng, với chức năng bị giảm bớt . Cờ thông tin: 0x900
Ủy quyền của chủ sở hữu TPM không được lưu trữ đúng cách trong sổ đăng ký.
Thông tin đăng ký của Windows về Khóa gốc^{(Storage Root Key)} lưu trữ TPM không khớp với Khóa gốc lưu trữ TPM^{(TPM Storage Root Key)} hoặc bị thiếu.

TPM đã sẵn sàng để sử dụng, với chức năng giảm

TPM đã sẵn sàng để sử dụng , với chức năng giảm

Nếu bạn gặp phải sự cố giảm chức năng TPM^{(TPM reduced functionality )} , bạn có thể khắc phục sự cố này để triển khai mới cho đến khi có phiên bản MDT mới - thêm lệnh bên dưới vào tập lệnh ZTIBDE.wsf ở đầu phần “ Chức năng chính^{(Function Main)} ” :

reg add hklm\system\currentcontrolset\services\tpm\wmi -v UseNullDerivedOwnerAuth -t REG_DWORD -d 0x01 -f

Cần lưu ý rằng các thiết bị trong đó TPM đã ở chế độ giảm chức năng, TPM phải được xóa^{(TPM must be cleared)} trước khi bạn có thể giảm thiểu vấn đề này.

Để ngăn sự cố này xảy ra, bạn sẽ không cần cung cấp trước BitLocker , thay vào đó hãy đợi để kích hoạt toàn bộ hệ thống. Lưu ý rằng việc triển khai sẽ mất nhiều thời gian hơn để hoàn thành bằng cách sử dụng phương pháp này.

Theo Microsoft, sự cố giảm chức năng TPM^{(TPM reduced functionality )} xảy ra do hàm TpmValidate trong tập lệnh ZTIBDE.wsf chiếm quyền sở hữu TPM từ Windows PE một cách không cần thiết. Windows sẽ có thể chiếm quyền sở hữu chính xác TPM trước Trải nghiệm Out-of-Box (OOBE)^{(Out-of-Box Experience (OOBE))} để cung cấp cho nó bằng cách sử dụng các tham số chính xác.

Khi sự thay đổi này về quyền sở hữu TPM từ Windows PE xảy ra, TPM được cung cấp các tham số mà Windows không hiểu. Do đó, các cấu trúc phân cấp chính trong TPM bị vô hiệu hóa và vĩnh viễn không khả dụng đối với Windows .

The TPM is ready for use, with reduced functionality

If after a successfυl deрloyment of Windows 10 and you notіce that the Trusted Platform Module (TPM) is in reduced functionality mode, then this post is intended to help you. In this post, we will identify ѕome potential known cаuses for this behavior and then рrovide the workaround for this issυe aѕ well as the measure уou can take to prevent the issue from occurring during the deployment оf Windows 10.

You might encounter this issue based on the following scenario.

You use Microsoft Deployment Toolkit (This can be any version of MDT that supports Windows 10) to deploy Windows 10 by using the “Enable BitLocker (offline)” step (ZTIBDE.wsf script) to pre-provision BitLocker during Windows PE in the “Preinstall” group and the deployment is successful.

However, in this scenario, you notice that the Trusted Platform Module (TPM) is in reduced functionality mode. In this situation, the TPM Management console (TPM.msc) reports the following issue:

The TPM is ready for use, with reduced functionality. Information Flags: 0x900
The TPM owner authorization is not properly stored in the registry.
Windows’s registry information about the TPM’s Storage Root Key does not match the TPM Storage Root Key or is missing.

The TPM is ready for use, with reduced functionality

If you’re faced with the TPM reduced functionality issue, you can work around this issue for new deployments until a new version of MDT is available – add the command below to the ZTIBDE.wsf script at the start of the “Function Main” section:

reg add hklm\system\currentcontrolset\services\tpm\wmi -v UseNullDerivedOwnerAuth -t REG_DWORD -d 0x01 -f

It is worth noting that devices in which the TPM is already in reduced functionality mode, the TPM must be cleared before you can mitigate this issue.

To prevent this issue from occurring, you’ll need to not pre-provision BitLocker, instead wait to enable the full system. Be aware that the deployment will take longer to complete by using this method.

According to Microsoft, the TPM reduced functionality issue occurs because the TpmValidate function in the ZTIBDE.wsf script takes ownership of the TPM from Windows PE unnecessarily. Windows should be able to correctly take ownership of the TPM before Out-of-Box Experience (OOBE) to provision it by using the correct parameters.

When this change in ownership of the TPM from Windows PE occurs, the TPM is given parameters that Windows does not understand. Therefore, the key hierarchies in the TPM are disabled and made permanently unavailable to Windows.

Bách Châu

About the author

Tôi là kỹ sư phần mềm và có kinh nghiệm với cả Microsoft Office và trình duyệt Chrome. Tôi am hiểu nhiều khía cạnh của phát triển web, bao gồm nhưng không giới hạn ở: HTML, CSS, JavaScript, jQuery và React. Sở thích làm việc với công nghệ của tôi cũng có nghĩa là tôi đã quen thuộc với các nền tảng khác nhau (Windows, Mac, iOS) và hiểu cách chúng hoạt động.

TPM đã sẵn sàng để sử dụng, với chức năng giảm

TPM đã sẵn sàng để sử dụng , với chức năng giảm

The TPM is ready for use, with reduced functionality