TPM wyłączony przez politykę

TPM wyłączony przez politykę wskazuje na zasadę GPO lub Intune ograniczającą dostęp do modułu na urządzeniach zarządzanych.

Co oznacza komunikat o wyłączeniu TPM przez politykę

TPM wyłączony przez politykę oznacza, że moduł Trusted Platform Module nie jest udostępniany systemowi Windows zgodnie z ustawieniami zarządzania urządzeniem. Przyczyną może być zasada grupy GPO stosowana w domenie Active Directory albo profil zarządzania urządzeniem MDM, na przykład wdrożony przez Microsoft Intune. Taki komunikat nie musi oznaczać awarii samego układu TPM, jego braku na płycie głównej ani uszkodzenia firmware’u. Oznacza przede wszystkim, że konfiguracja administracyjna ogranicza korzystanie z funkcji modułu.

TPM jest układem bezpieczeństwa przeznaczonym między innymi do przechowywania materiału kryptograficznego, pomiaru procesu uruchamiania systemu oraz obsługi mechanizmów takich jak BitLocker, Windows Hello for Business i poświadczenia powiązane ze sprzętem. Współczesne komputery często używają TPM 2.0, który może być dostępny jako osobny układ albo jako implementacja firmware’owa dostarczana przez producenta procesora lub płyty głównej. Polityka systemowa może ograniczyć dostęp Windows do TPM nawet wtedy, gdy sprzęt poprawnie wykrywa moduł podczas uruchamiania komputera.

Różnica między blokadą systemową a wyłączeniem w UEFI

TPM może zostać wyłączony na kilku różnych poziomach. Ustawienie w UEFI, dawniej określanym jako BIOS, może dezaktywować moduł bezpieczeństwa przed uruchomieniem systemu. W takim przypadku Windows zwykle nie otrzymuje informacji o obecności TPM albo raportuje, że urządzenie nie zawiera zgodnego modułu. Odmienna sytuacja występuje wtedy, gdy moduł jest obecny i widoczny dla firmware’u, lecz dostęp do niego został ograniczony przez politykę Windows.

Weryfikacja powinna rozdzielać te dwa przypadki. Narzędzie systemowe tpm.msc otwiera konsolę zarządzania modułem TPM i może pokazać jego stan, wersję specyfikacji oraz komunikat dotyczący dostępności. W PowerShellu polecenie Get-Tpm zwraca między innymi wartości TpmPresent, TpmReady i TpmEnabled. Wynik nie jest jednak samodzielnym dowodem przyczyny problemu. Jeżeli moduł jest obecny, ale niegotowy lub niedostępny, trzeba jeszcze sprawdzić ustawienia UEFI, zasady lokalne albo domenowe oraz sposób zarządzania urządzeniem.

Nie należy pochopnie używać funkcji czyszczenia TPM. Operacja Clear-Tpm usuwa klucze zapisane w module i może spowodować utratę dostępu do danych chronionych przez BitLocker lub innych poświadczeń zależnych od TPM, jeżeli wcześniej nie przygotowano kluczy odzyskiwania i nie ustalono wpływu operacji na system. Samo wyczyszczenie modułu nie usuwa polityki, która ogranicza jego używanie, dlatego nie jest uniwersalną metodą naprawy komunikatu.

Jak ustalić źródło polityki GPO lub Intune

W środowisku domenowym przydatne jest wygenerowanie raportu zasad poleceniem gpresult /h C:\Temp\gpresult.html. Raport pokazuje zasady zastosowane do komputera i użytkownika, a także źródło ich pochodzenia. Analiza powinna obejmować ustawienia dotyczące modułu TPM, ochrony kluczy, szyfrowania dysków, Windows Hello oraz dodatkowych ograniczeń bezpieczeństwa. Zmiana lokalnej zasady może nie przynieść rezultatu, jeżeli przy każdym odświeżeniu konfiguracji urządzenie ponownie otrzymuje ustawienia z domeny.

Na komputerach zarządzanych przez Intune źródła konfiguracji należy szukać w profilach konfiguracyjnych, zasadach zgodności, zasadach zabezpieczeń punktów końcowych oraz innych profilach przypisanych do urządzenia lub grupy. Istotne jest ustalenie, czy komunikat wynika z bezpośredniego ustawienia TPM, czy z szerszej reguły dotyczącej szyfrowania, logowania bezhasłowego albo wymagań sprzętowych. W konsoli zarządzania można sprawdzić stan wdrożenia profilu, czas ostatniej synchronizacji oraz ewentualne konflikty między profilami. Jeżeli dwa profile ustawiają tę samą funkcję w różny sposób, końcowy stan może zależeć od sposobu rozstrzygania konfliktu w danym mechanizmie zarządzania.

Warto także sprawdzić Podgląd zdarzeń, zwłaszcza dzienniki związane z aplikacją Microsoft-Windows-TPM-WMI, modułem BitLocker oraz mechanizmem zasad grupy. Powtarzające się zdarzenia po synchronizacji GPO lub MDM mogą wskazać, że ustawienie jest narzucane cyklicznie. Jeżeli problem pojawił się po aktualizacji firmware’u, wymianie płyty głównej, zmianie trybu uruchamiania albo zmianie ustawień Secure Boot, należy porównać stan TPM przed i po tej zmianie. Diagnostyka powinna zachować klucz odzyskiwania BitLocker i nie modyfikować polityk organizacyjnych bez potwierdzenia ich właściciela.

Diagnostyka komputera z ograniczonym dostępem do TPM

Praktyczna diagnostyka rozpoczyna się od ustalenia, czy problem dotyczy jednego komputera, konkretnego konta, czy całej grupy urządzeń. Jeżeli identyczny model działa poprawnie poza domeną lub na innym profilu zarządzania, bardziej prawdopodobna jest różnica konfiguracji niż uszkodzenie sprzętowe. Gdy komunikat występuje niezależnie od konta, także poza bieżącą sesją użytkownika, należy sprawdzić ustawienia UEFI, wersję firmware’u, stan Secure Boot i zgodność konfiguracji z wymaganiami systemu Windows.

Przywrócenie dostępu do TPM powinno polegać na korekcie właściwego źródła ustawienia: zasad GPO, profilu Intune albo konfiguracji UEFI. W przypadku komputera należącego do organizacji decyzję o zmianie polityki powinien podjąć administrator, ponieważ odblokowanie TPM może zmienić sposób realizacji szyfrowania dysku, logowania i kontroli zgodności urządzenia. Po zmianie konfiguracji należy ponownie wykonać synchronizację zasad, uruchomić komputer i zweryfikować stan za pomocą tpm.msc oraz Get-Tpm. Samo pojawienie się modułu jako obecnego nie potwierdza jeszcze, że jest gotowy do użycia przez wszystkie wymagane funkcje.

Warszawskie Pogotowie Komputerowe wykonuje diagnostykę i naprawę laptopów, komputerów PC oraz ich podzespołów, gdy komunikat o TPM wyłączonym przez politykę wymaga rozróżnienia problemu sprzętowego od konfiguracji Windows. Zakres prac może obejmować sprawdzenie stanu modułu, ustawień firmware’u, szyfrowania oraz lokalnych objawów po zmianie konfiguracji. W urządzeniach zarządzanych centralnie konieczne jest zachowanie zgodności z obowiązującymi zasadami organizacji, ponieważ serwisowa zmiana ustawień bez usunięcia nadrzędnej polityki nie rozwiąże przyczyny problemu.