12、企业环境中TPM的配置与管理全解析

企业环境中TPM的配置与管理全解析

1. TPM管理现状与挑战

在企业环境里，Windows系统管理员通常借助TPM MMC管理本地机器上的TPM。不过，TPM MMC无法进行远程TPM管理，也不能批量处理多台机器的管理任务。而企业往往需要一次性部署大量系统，即便不使用TPM及其相关服务，也最好禁止用户本地管理TPM，否则可能因用户自行操作导致数据丢失。

为应对这些挑战，微软提供了实用的部署工具，如Windows Management Instrumentation（WMI）脚本，可让管理员同时在多台系统上完成TPM的所有权获取、开启或关闭等任务。Windows Server 2007（代号Longhorn）的GPO则为管理员提供了一系列配置选项，与部署TPM系统的脚本配合使用。

2. TPM管理最佳实践

为确保企业内TPM硬件和Windows Vista服务的安全且可管理部署，可遵循以下最佳实践：
- 采购符合TCG TPM版本1.2规范的TPM芯片系统。
- 确保计划使用的应用程序符合TCG TSS版本1.2规范，并能与TBS协同工作。
- 若可能，在向用户部署硬件前，使用WMI脚本初始化多台系统的TPM。
- 需要远程操作或处理多台系统时，使用WMI脚本获取TPM所有权。
- 将TPM相关数据存储在Active Directory中。
- 企业内所有系统使用唯一的所有者密码。
- 切勿将TPM所有者密码或授权信息提供给系统用户。
- 若系统用户需执行需要TPM所有者凭证的任务，可根据软件支持情况，将权限委派给用户。
- 使用严格策略维护被阻止的TPM命令列表。