Gestione TPM

Gestione TPM è uno snap-in MMC (Microsoft Management Console) che consente agli amministratori di interagire con i servizi TPM (Trusted Platform Module). I servizi TPM vengono utilizzati per amministrare l'hardware di sicurezza del computer. L'architettura dei servizi TPM offre l'infrastruttura necessaria per la sicurezza basata su hardware, garantendo l'accesso e la condivisione a livello di applicazione di TPM.

In questo file della Guida sono inclusi gli argomenti seguenti:

  • Panoramica di Gestione TPM

  • Utilizzare lo snap-in Gestione TPM

  • Gestire il TPM

  • Configurare il TPM per il primo utilizzo

  • Informazioni sulle chiavi e le password utilizzate dal TPM

  • Risolvere i problemi relativi a Gestione TPM

  • Risorse su Gestione TPM


Panoramica di Gestione TPM

Gestione TPM è uno snap-in MMC (Microsoft Management Console) che consente agli amministratori di interagire con i servizi TPM (Trusted Platform Module). I servizi TPM vengono utilizzati per amministrare l'hardware di sicurezza del computer. L'architettura dei servizi TPM offre l'infrastruttura necessaria per la sicurezza basata su hardware, garantendo l'accesso e la condivisione a livello di applicazione di TPM.

Che cos'è un TPM (Trusted Platform Module)?

Un TPM è un microchip progettato per fornire funzioni di base relative alla sicurezza che prevedono principalmente l'utilizzo di chiavi di crittografia. Il TPM viene in genere installato sulla scheda madre di un computer e comunica con il resto del sistema attraverso un bus hardware.

Nei computer in cui è incorporato un TPM è possibile creare chiavi di crittografia e crittografarle in modo che possano essere decrittografate solo dal TPM. Questo processo, spesso chiamato di wrapping della chiave, contribuisce a proteggere la chiave da un'eventuale diffusione. All'interno di ogni TPM viene archiviata una chiave master di "wrapping", detta chiave radice di archiviazione. La parte privata della chiave creata in un TPM non viene mai esposta ad altri componenti, software, processi o utenti.

Nei computer in cui è incorporato un TPM è inoltre possibile creare una chiave sulla quale non viene solo eseguito il processo di wrapping, ma che viene anche associata a misure di piattaforma specifiche. Su questo tipo di chiave può essere eseguito il processo di wrapping soltanto quando le misure di piattaforma hanno gli stessi valori che avevano al momento della creazione della chiave. Questo processo è noto come esecuzione del sealing della chiave nel TPM. La decrittografia è denominata "rimozione del sealing". Il TPM può inoltre eseguire il sealing e l'unsealing dei dati generati al di fuori del TPM. Con questa chiave sealed e il software, ad esempio Crittografia unità BitLocker, è possibile bloccare i dati fino a quando non vengono soddisfatte le condizioni hardware o software specifiche.

Quando si utilizza un TPM, le parti private di coppie di chiavi vengono mantenute separate dalla memoria controllata dal sistema operativo. Le chiavi possono essere sealed nel TPM ed è possibile dare determinate garanzie sullo stato di un sistema, garanzie che definiscono l'"affidabilità" di un sistema, prima che il sealing della chiave sealed venga rimosso e rilasciato per l'utilizzo. Poiché il TPM utilizza firmware e circuiti logici interni propri per l'elaborazione delle istruzioni, esso non si basa sul sistema operativo e non è esposto alle eventuali vulnerabilità del sistema operativo o dell'applicazione.

Componenti dei servizi TPM

Nella tabella seguente sono elencati i singoli componenti che costituiscono l'insieme di funzionalità dei servizi TPM:

Componente TPM | Funzioni
Driver TPM | Il driver del TPM è un driver di periferica in modalità kernel progettato per l'hardware di sicurezza TPM conforme alle specifiche TCG 1.2 (Trusted Computing Group). La conformità alla specifica TCG 1.2 garantisce maggiore stabilità di piattaforma ed elimina la necessità di driver di periferica specifici del fornitore.
Servizi di base TPM | TBS è un servizio che consente la condivisione delle risorse limitate nel TPM. Questo servizio funge da controller delle risorse per tutte le applicazioni che utilizzano il TPM.
Provider Strumentazione gestione Windows (WMI) del TPM | Il provider WMI del TPM espone attività comuni di configurazione del TPM agli amministratori a livello di programmazione. Gli amministratori possono scrivere uno script che utilizza questo provider.
Snap-in Gestione TPM | Lo snap-in Gestione TPM presenta agli amministratori le attività di configurazione del TPM più comuni tramite un'interfaccia utente. Gli amministratori possono utilizzare questo snap-in per accedere all'Inizializzazione guidata TPM.
Inizializzazione guidata TPM | L'Inizializzazione guidata TPM consente di attivare e configurare il TPM per l'utilizzo con applicazioni o servizi che fanno uso del TPM, ad esempio Crittografia unità BitLocker.

Per ulteriori informazioni, esaminare altri argomenti del file della Guida e le risorse elencate in Risorse su Gestione TPM.


Utilizzare lo snap-in Gestione TPM

Gestione TPM è uno snap-in MMC (Microsoft Management Console) che può essere eseguito come console autonoma oppure aggiunto a qualsiasi console MMC.

In questa sezione vengono descritti gli argomenti seguenti:

  • Avviare Gestione TPM

  • Aggiungere lo snap-in Gestione TPM a MMC


Avviare Gestione TPM

Gestione TPM è uno snap-in MMC (Microsoft Management Console) che può essere eseguito come console autonoma oppure aggiunto a qualsiasi console MMC. Per avviare Gestione TPM come console autonoma, è possibile utilizzare Windows Explorer oppure una riga di comando.

L'appartenenza al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per avviare Gestione TPM mediante Esplora risorse

  1. Fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Esegui.

  2. Nella casella Apri digitare tpm.msc e quindi premere INVIO.

  3. Se viene visualizzata la finestra di dialogo Controllo account utente, confermare che l'azione visualizzata è quella desiderata e quindi fare clic su Sì.
Per avviare Gestione TPM mediante la riga di comando

  • Al prompt dei comandi digitare tpm.msc e quindi premere INVIO.

Ulteriori considerazioni

  • È possibile configurare una console MMC personalizzata che includa Gestione TPM. Per ulteriori informazioni, vedere la sezione "Ulteriori riferimenti" in questo argomento.

  • A seconda della configurazione del computer, è possibile che venga visualizzato il messaggio di Controllo account utente. Il messaggio non verrà visualizzato se è stato effettuato l'accesso con l'account Administrator incorporato (l'account Administrator locale è disabilitato per impostazione predefinita in questa versione di Windows).

  • Se Controllo account utente è abilitato, è possibile configurarlo per consentire agli utenti non amministratori di immettere le credenziali di un amministratore allo scopo di eseguire attività amministrative senza dover essere membri del gruppo Administrators.

  • Per impostazione predefinita i membri del gruppo locale Administrators dispongono di diritti e privilegi sufficienti per completare questa attività. È possibile che nell'ambiente in uso la sicurezza sia gestita in modo da assegnare diritti aggiuntivi agli utenti senza privilegi di amministratore.

Ulteriori riferimenti

  • Aggiungere lo snap-in Gestione TPM a MMC


Aggiungere lo snap-in Gestione TPM a MMC

Gestione TPM è uno snap-in MMC (Microsoft Management Console) che può essere eseguito come console autonoma oppure aggiunto a qualsiasi console MMC.

L'appartenenza al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Aggiungere lo snap-in Gestione TPM a MMC

  1. Fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Esegui.

  2. Nella casella Apri digitare mmc e quindi premere INVIO.

  3. Se viene visualizzata la finestra di dialogo Controllo account utente, confermare che l'azione visualizzata è quella desiderata e quindi fare clic su Sì.

  4. Scegliere Aggiungi/Rimuovi snap-in dal menu File.

  5. Nell'elenco Snap-in disponibili fare clic su Gestione TPM e quindi su Aggiungi.

  6. Nella finestra di dialogo Seleziona computer fare clic su Computer locale.

    Nota

    È inoltre possibile utilizzare questo metodo per gestire il TPM (Trusted Platform Module) in un computer remoto.

  7. Fare clic su OK e quindi di nuovo OK.

Ulteriori considerazioni

  • A seconda della configurazione del computer, è possibile che venga visualizzato il messaggio di Controllo account utente. Il messaggio non verrà visualizzato se è stato effettuato l'accesso con l'account Administrator incorporato (l'account Administrator locale è disabilitato per impostazione predefinita in questa versione di Windows).

  • Se Controllo dell'account utente è abilitato, è possibile configurarlo per consentire agli utenti non amministratori di immettere le credenziali di un amministratore per eseguire attività amministrative senza essere membri del gruppo Administrators.

  • Per impostazione predefinita i membri del gruppo locale Administrators dispongono di diritti e privilegi sufficienti per completare questa attività. È possibile che nell'ambiente in uso la sicurezza sia gestita in modo da assegnare diritti aggiuntivi agli utenti senza privilegi di amministratore.

Ulteriori riferimenti

  • Gestire il TPM


Gestire il TPM

In questa sezione vengono descritti gli argomenti seguenti:

  • Archiviare le informazioni di ripristino del TPM in Servizi di dominio Active Directory

  • Cancellare il TPM

  • Reimpostare il blocco TPM

  • Attivare o disattivare il TPM

  • Gestione comandi


Archiviare le informazioni di ripristino del TPM in Servizi di dominio Active Directory

Per archiviare le informazioni di ripristino del TPM è possibile utilizzare i Servizi di dominio Active Directory.

Poiché per ogni computer è possibile definire una sola password del proprietario del TPM, l'hash della password del proprietario del TPM viene archiviata in Active Directory come attributo dell'oggetto computer. Il nome comune (CN) dell'attributo è ms-TPM-OwnerInformation.

Requisiti di Active Directory

Per poter archiviare le informazioni del TPM in Servizi di dominio Active Directory, in tutti i controller di dominio deve essere in esecuzione Windows Server 2003 con Service Pack 1 o versioni successive. È inoltre necessario installare le estensioni dello schema se tutti i controller di dominio eseguono Windows Server 2003.

Istruzioni dettagliate

Per istruzioni dettagliate su come configurare Servizi di dominio Active Directory e Criteri di gruppo per supportare l'archiviazione delle informazioni di ripristino e del proprietario, vedere la Guida alla configurazione di Crittografia unità BitLocker: backup delle informazioni di ripristino relative a BitLocker e al TPM in Active Directory all'indirizzo http://go.microsoft.com/fwlink/?linkid=140308.

Ulteriori riferimenti

  • Guida dettagliata relativa a Crittografia unità BitLocker di Windows all'indirizzo http://go.microsoft.com/fwlink/?LinkId=140225

  • Guida dettagliata relativa a Trusted Platform Module di Windows all'indirizzo http://go.microsoft.com/fwlink?linkid=139769


Cancellare il TPM

La cancellazione del TPM (Trusted Platform Module) comporta la reimpostazione del TPM su uno stato di non proprietà. Dopo la cancellazione, è necessario completare il processo di inizializzazione del TPM prima di utilizzare il software che usufruisce del TPM, ad esempio Crittografia unità BitLocker.

Importante

La cancellazione del TPM può comportare una perdita di dati. Per evitare una perdita di dati, verificare di disporre di un backup o di un metodo di ripristino per gli eventuali dati protetti o crittografati dal TPM.

Dopo averlo cancellato, il TPM viene anche disattivato.

Per interrompere temporaneamente le operazioni del TPM, disattivarlo anziché cancellarlo. Per ulteriori informazioni, vedere Attivare o disattivare il TPM.

L'appartenenza al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per cancellare il TPM

  1. Fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Esegui.

  2. Nella casella Apri digitare tpm.msc e quindi premere INVIO.

  3. Se viene visualizzata la finestra di dialogo Controllo account utente, confermare che l'azione visualizzata è quella desiderata e quindi fare clic su Sì.

  4. In Azioni fare clic su Cancella TPM. Se il TPM è disattivato, eseguire la procedura Inizializzare il TPM per reinizializzarlo prima di cancellarlo.

    Attenzione

    La cancellazione del TPM comporta il ripristino delle impostazioni di fabbrica e la disattivazione. Tutte le chiavi e i dati creati protetti da queste chiavi verranno persi.

  5. Nella finestra di dialogo Cancellazione hardware di sicurezza TPM selezionare un metodo per immettere la password e cancellare il TPM:

    • Se si dispone di un supporto rimovibile sul quale è stata salvata la password del proprietario del TPM, inserirlo e fare clic su File di backup con la password del proprietario del TPM. Nella finestra di dialogo Selezionare il file di backup con la password del proprietario del TPM utilizzare Sfoglia per individuare il file con estensione tpm salvato sul supporto rimovibile. Fare clic su Apri e quindi scegliere Cancella TPM.

    • Se non si dispone del supporto rimovibile sul quale è stata salvata la password, fare clic su Password del proprietario del TPM da digitare. Nella finestra di dialogo Digitare la password del proprietario del TPM immettere la password, compresi i trattini, e fare clic su Cancella TPM.

    • Se non si conosce la password del proprietario del TPM, fare clic su Nessuna password del proprietario del TPM e seguire le istruzioni fornite per la cancellazione del TPM senza immettere la password.

    Nota

    Se si è fisicamente presenti al computer, sarà possibile cancellare il TPM ed eseguire un numero limitato di attività di gestione senza immettere la password del proprietario del TPM.

    In Gestione TPM lo stato del TPM viene visualizzato in Stato.


Reimpostare il blocco TPM

Per impedire manomissioni o attacchi, il TPM (Trusted Platform Module) si blocca automaticamente, condizione nota appunto come blocco TPM. Questo blocco spesso si protrae per un intervallo di tempo variabile o fino allo spegnimento del computer. Mentre il TPM è in modalità di blocco, in genere restituisce un errore quando riceve comandi che richiedono un valore di autorizzazione. Un'eccezione a tale comportamento è rappresentata dal fatto che il TPM in modalità di blocco consente sempre al proprietario almeno un tentativo di reimpostazione del blocco. Se il TPM è passato alla modalità di blocco o risponde con lentezza ai comandi, è infatti consigliabile reimpostare il valore di blocco. Tale reimpostazione richiede l'autorizzazione del proprietario del TPM, che viene impostata quando l'amministratore inizialmente assume la priorità del TPM. La password dell'autorizzazione del proprietario viene sottoposta a hashing per creare un valore di autorizzazione del proprietario, che viene archiviato dal TPM. È opportuno che l'amministratore salvi il valore hash dell'autorizzazione del proprietario in un file della password del proprietario del TPM (con estensione tpm) contenente il valore hash all'interno di una struttura XML. Per motivi di sicurezza, in tale file non è inclusa la password del proprietario originale. La proprietà del TPM di solito viene assunta alla prima attivazione di Crittografia unità BitLocker per il computer. In questo caso la password dell'autorizzazione del proprietario del TPM viene salvata insieme alla chiave di ripristino di BitLocker. Quando tale chiave viene salvata in un file, viene inoltre salvato un file della password del proprietario del TPM (con estensione tpm) con il valore hash della password. Quando invece tale chiave viene stampata, viene contemporaneamente stampata anche la password del proprietario del TPM. Se le impostazioni di Criteri di gruppo dell'organizzazione sono configurate specificamente, sarà inoltre possibile salvare il valore hash della password del proprietario del TPM in Servizi di dominio Active Directory.

Informazioni sui meccanismi di protezione del TPM

In alcuni scenari le chiavi di crittografia sono protette da un TPM e per accedervi è necessario un valore di autorizzazione valido. Un tipico esempio è rappresentato da Crittografia unità BitLocker configurata per l'utilizzo della protezione con chiave (costituita dal TPM e da un PIN), situazione in cui l'utente deve digitare il PIN corretto durante il processo di avvio per accedere alla chiave di crittografia del volume protetta dal TPM. Per impedire a entità dannose o a malintenzionati di individuare i valori di autorizzazione, i TPM implementano una logica di protezione sviluppata per rallentare o arrestare le risposte del TPM nel caso di un tentativo di risalire ai valori di autorizzazione.

Gli standard di settore del Trusted Computing Group (TCG) prevedono che i produttori di TPM implementino una forma di logica di protezione nei chip TPM 1.2. I diversi produttori implementano perciò comportamenti e meccanismi di protezione diversi. La tendenza generale è che il chip TPM richieda un tempo esponenzialmente più lungo per rispondere quando riceve valori di autorizzazione non corretti. Alcuni chip TPM con il tempo possono non archiviare i tentativi non riusciti, altri possono archiviare ogni tentativo non riuscito a tempo indeterminato. Alcuni utenti, digitando in modo errato un valore di autorizzazione inviato al TPM, potrebbero pertanto incorrere in ritardi sempre più estesi e non essere in grado di utilizzare il TPM per un certo periodo di tempo. Gli utenti possono reimpostare i meccanismi di protezione del TPM eseguendo la procedura seguente.

Nota

La logica di protezione del TPM inoltre si applica al valore di autorizzazione del proprietario del TPM. Gli standard di settore prevedono che all'utente sia consentito almeno un tentativo di reimpostazione del blocco TPM mediante l'utilizzo del valore di autorizzazione del proprietario, anche mentre il TPM è bloccato. Se viene utilizzato il valore errato quando si tenta di reimpostare il blocco TPM, ai successivi tentativi di immettere il valore di autorizzazione del proprietario, il TPM potrebbe rispondere come se il valore corretto fosse errato o rispondere che è bloccato.

Per reimpostare il blocco TPM

  1. Aprire lo snap-in Gestione TPM (tpm.msc).

  2. Nel riquadro Azioni fare clic su Reimposta blocco TPM per avviare la relativa procedura guidata.

  3. Scegliere il metodo per immettere la password del proprietario del TPM:

    • Se la password è stata salvata in un file con estensione tpm, fare clic su File della password del proprietario disponibile e quindi digitare il percorso del file oppure fare clic su Sfoglia per accedere al percorso del file.

    • Se si desidera inserire manualmente la password, fare clic su Password del proprietario da immettere e quindi digitare la password nello spazio visualizzato. Se BitLocker e il TPM sono stati attivati contemporaneamente e si è scelto di stampare la password di ripristino di BitLocker al momento dell'attivazione di BitLocker, è possibile che anche la password del proprietario del TPM sia stata stampata sullo stesso foglio.

Dopo l'autenticazione della password del proprietario del TPM, verrà visualizzata una finestra di dialogo a conferma dell'avvenuta reimpostazione del blocco TPM.

Domande frequenti

Quando è consigliabile reimpostare il blocco TPM?

Il caso più probabile è quando, durante il processo di avvio, gli utenti rilevano lunghi tempi di risposta se si avvalgono di una protezione con chiave (costituita dal TPM e da un PIN) e immettono un PIN errato. Il sistema potrebbe risultare bloccato per un certo periodo di tempo prima di segnalare l'immissione del PIN errato e il blocco del TPM. Quando il TPM è bloccato, è inoltre possibile che l'utente immetta il PIN corretto, ma che per un determinato intervallo il TPM risponda come se fosse errato. Un comportamento analogo può essere riscontrato anche per altre applicazioni che utilizzano il TPM con valori di autorizzazione, ma è più probabile che non risponda solo l'applicazione che comunica con il TPM se il sistema operativo si è già avviato. Poiché un TPM può archiviare per un periodo di tempo infinito tutti i tentativi di autorizzazione errati che riceve, gli utenti possono scegliere preventivamente di reimpostarne il blocco se spesso commettono errori durante la digitazione dei valori di autorizzazione, ad esempio del PIN di BitLocker.

Quale comportamento è possibile prevedere se la logica di protezione del TPM è attivata allo scopo di proteggere i valori di autorizzazione?

Il comportamento della piattaforma hardware varierà in base alle scelte di implementazione effettuate dal produttore. È prassi comune che i produttori hardware facciano ritardare esponenzialmente le risposte del chip TPM. È inoltre possibile che per un certo periodo di tempo tale chip risponda, ma come se il valore di autorizzazione non fosse corretto, anche se effettivamente lo è. Per informazioni più specifiche sul comportamento, contattare il produttore della piattaforma.

Se attualmente il TPM è bloccato mentre si utilizza BitLocker, durante il processo di avvio si avrà la possibilità di aprire la console di ripristino di BitLocker oppure di attendere di poter reinserire il PIN.

Dopo l'avvio di Windows, in Gestione TPM lo stato del TPM risulterà bloccato.

Qualsiasi comando riguardante valori di autorizzazione o qualsiasi tentativo di inviare al TPM la password del proprietario darà luogo a un errore mentre il TPM è bloccato.

Come è possibile procedere se si dimentica la propria password di proprietario del TPM?

È possibile che il valore hash di autorizzazione del proprietario del TPM sia stato salvato in un file con estensione tpm quando l'amministratore ha originariamente assunto la proprietà del TPM nel computer in uso. Ricercare nel file system un file con estensione tpm. Se la password di ripristino di BitLocker è stata stampata, è possibile che con essa sia stata stampata anche la password del proprietario del TPM. Se non si riesce a reperire la password del proprietario del TPM, è possibile cancellare il TPM e assumerne di nuovo la proprietà. Adottare questa soluzione con cautela perché i dati crittografati con il TPM andranno perduti. Se si sta utilizzando BitLocker, sospenderlo o disattivarlo prima di cancellare il TPM. Per ulteriori informazioni sulla cancellazione del TPM, vedere Cancellare il TPM.

È importante mantenere segreto il proprio valore hash di autorizzazione del proprietario del TPM?

Sì. Se un'entità dannosa o un malintenzionato ottiene tale valore, può effettuare diversi tentativi per risalire a un valore di autenticazione con chiave di crittografia, quale ad esempio il PIN BitLocker, utilizzare il valore hash per reimpostare il blocco TPM e ripetere queste operazioni all'infinito. Se le dimensioni sono ridotte, è persino possibile che alla fine il valore di autenticazione venga individuato.

In che modo la password del proprietario del TPM è correlata al valore hash di autorizzazione del proprietario del TPM?

La prima viene sottoposta a hashing tramite SHA-1 e codificata in base 64 per creare il secondo.


Attivare o disattivare il TPM

Il TPM viene in genere attivato nel corso del processo di inizializzazione del TPM. Non è in genere necessario attivare o disattivare il TPM. Se indispensabile, è comunque possibile procedere utilizzando lo snap-in Gestione TPM.

Attivare il TPM

Se il TPM è stato inizializzato ma non è mai stato utilizzato o si desidera utilizzarlo di nuovo dopo averlo disattivato, è consigliabile attivarlo.

Per attivare il TPM

  1. Aprire lo snap-in Gestione TPM (tpmadmin.msc).

  2. Nel riquadro Azioni fare clic su Attiva TPM per visualizzare la pagina Attivazione hardware di sicurezza. Leggere le istruzioni in essa contenute.

  3. Fare clic su Arresto o Riavvia e quindi seguire le richieste delle schermate del BIOS.

    Dopo il riavvio del computer ma prima dell'accesso a Windows, verrà richiesto di accettare la riconfigurazione del TPM. Tale operazione ha lo scopo di verificare che l'utente sia fisicamente al computer e che non vi sia software dannoso che tenta di apportare modifiche al TPM.

Disattivare il TPM

Se si desidera interrompere l'utilizzo dei servizi forniti dal TPM, è possibile disattivare il TPM da Gestione TPM. Se si dispone della password del proprietario del TPM, per disattivarlo non è necessario l'accesso fisico al computer. Se non si dispone della password del proprietario del TPM, per disattivarlo è necessario l'accesso fisico al computer.

È inoltre possibile disattivare il TPM per simulare o sottoporre a test di verifica il processo di ripristino di Crittografia unità BitLocker.

Per disattivare il TPM

  1. Aprire lo snap-in Gestione TPM (tpmadmin.msc).

  2. Nel riquadro Azioni fare clic su Disattiva TPM per visualizzare la pagina Disattivazione hardware di sicurezza TPM.

  3. Nella finestra di dialogo Disattivazione hardware di sicurezza TPM selezionare un metodo per immettere la password del proprietario e disattivare il TPM:

    • Se si dispone di un supporto rimovibile sul quale è stata salvata la password del proprietario del TPM, inserirlo e quindi fare clic su File di backup con la password del proprietario del TPM. Nella finestra di dialogo Selezionare il file di backup con la password del proprietario del TPM fare clic su Sfoglia per individuare il file con estensione tpm salvato sul supporto rimovibile, fare clic su Apri e quindi su Disattiva TPM.

    • Se non si dispone del supporto rimovibile sul quale è stata salvata la password del proprietario del TPM, fare clic su Password del proprietario del TPM da digitare. Nella finestra di dialogo Digitare la password del proprietario del TPM immettere la password, compresi i trattini, e quindi fare clic su Disattiva TPM.

    • Se non si conosce la password del proprietario del TPM, fare clic su Nessuna password del proprietario del TPM e seguire le istruzioni visualizzate nella finestra di dialogo e nelle successive schermate del BIOS per disattivare il TPM senza immettere la password.

Ulteriori riferimenti

  • Informazioni sull'inizializzazione del TPM

  • Inizializzare il TPM


Gestione comandi

Dopo aver assunto la proprietà del TPM (Trusted Platform Module), il proprietario del TPM può limitare l'esecuzione dei comandi TPM utilizzando Criteri di gruppo o Gestione TPM.

Informazioni sui comandi TPM

L'hardware TPM è un dispositivo hardware passivo, nel senso che non avvia o interrompe processi nel computer, ma accetta e risponde ai comandi di altre applicazioni, quali ad esempio driver di dispositivo e sistemi operativi. La versione corrente della specifica sui comandi TPM definita dal Trusted Computing Group offre un set di 120 comandi standard da utilizzare per controllare il funzionamento del TPM. Questi comandi vengono visualizzati selezionando Gestione comandi in Gestione TPM.

Per l'elenco dei comandi di Gestione TPM, vedere le specifiche TPM (Trusted Platform Module) all'indirizzo http://go.microsoft.com/fwlink/?LinkID=139770.

Bloccare e consentire comandi TPM

È possibile controllare i comandi che il TPM del computer può accettare e a cui può rispondere selezionandoli in Gestione comandi e decidendo per ognuno se deve essere consentito oppure bloccato. Vi sono tre elenchi possibili di comandi bloccati, ovvero l'elenco predefinito disponibile con il sistema operativo, un elenco presente nel computer locale e gestito dagli amministratori locali e l'elenco dei comandi controllati dagli oggetti Criteri di gruppo. Se un comando TPM è incluso in uno qualsiasi di questi elenchi, viene bloccato per il TPM. Se un servizio o un'applicazione tenta di eseguire un comando bloccato, al servizio o all'applicazione che ha inviato il comando verrà restituito un errore.

Per ulteriori informazioni, vedere Controllare il blocco dei comandi TPM tramite Gestione TPM.

Utilizzare Criteri di gruppo per controllare i comandi TPM

Le impostazioni di Criteri di gruppo per i servizi TPM sono disponibili in Configurazione computer\Modelli amministrativi\Sistema\Servizi Trusted Platform Module. Nella tabella seguente sono riportate le impostazioni che è possibile utilizzare per controllare i comandi TPM.

Nome dell'impostazione Descrizione

Configura l'elenco dei comandi TPM bloccati

Questa impostazione consente di gestire l'elenco di Criteri di gruppo contenente i comandi TPM bloccati da Windows. Se la si attiva, i comandi specificati verranno bloccati da Windows e non potranno essere inviati al TPM del computer. I comandi TPM sono contrassegnati da un numero di riferimento. Il numero di comando 129 ad esempio corrisponde a TPM_OwnerReadInternalPub, mentre il numero di comando 170 corrisponde a TPM_FieldUpgrade. Per aggiungere comandi a questo elenco, attivare l'impostazione e quindi fare clic su Mostra per aprire l'elenco dei comandi bloccati. Nella finestra di dialogo Mostra contenuto fare clic nel campo Valore e digitare il numero del comando che si desidera bloccare. Per bloccare più comandi, immettere i relativi numeri ognuno in una riga diversa dell'elenco.

Se questa impostazione è disattivata o non configurata, l'elenco di blocco di Criteri di gruppo non verrà utilizzato e saranno bloccati da Windows solo i comandi TPM specificati mediante l'elenco predefinito o quello locale.

Ignora l'elenco predefinito di comandi TPM bloccati

Questa impostazione consente di applicare o ignorare l'elenco predefinito di comandi TPM bloccati del computer. Se la si attiva, l'elenco predefinito del computer verrà ignorato da Windows e saranno bloccati solo i comandi TPM specificati mediante Criteri di gruppo o l'elenco locale. L'elenco predefinito dei comandi TPM bloccati è preconfigurato da Windows. I comandi di tale elenco sono stati dichiarati obsoleti dal Trusted Computing Group o presentano implicazioni per la privacy di cui tenere conto prima di consentirne l'utilizzo con i TPM nella propria organizzazione.

Ignora l'elenco locale di comandi TPM bloccati

Questa impostazione consente di applicare o ignorare l'elenco locale di comandi TPM bloccati del computer. Se la si attiva, l'elenco locale del computer verrà ignorato da Windows e saranno bloccati solo i comandi TPM specificati mediante Criteri di gruppo o l'elenco predefinito.

Per ulteriori informazioni, vedere Controllare il blocco dei comandi TPM tramite Criteri di gruppo.

Bloccare nuovi comandi

Poiché alcuni fornitori di hardware possono rendere disponibili comandi aggiuntivi o il Trusted Computing Group può decidere di aggiungere nuovi comandi in futuro, Gestione TPM consente di bloccare i nuovi comandi mediante la voce Blocca nuovo comando del menu Azione. Se pertanto non si desidera che un comando aggiuntivo venga accettato dal TPM, scegliere Blocca nuovo comando e quindi digitare il numero appropriato.


Controllare il blocco dei comandi TPM tramite Gestione TPM

I comandi TPM (Trusted Platform Module) possono essere gestiti tramite Gestione TPM. Gli amministratori possono esplorare i comandi disponibili nel TPM. Possono inoltre bloccare o consentire comandi specifici.

L'appartenenza al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per bloccare e consentire i comandi TPM utilizzando Gestione TPM

  1. Fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Esegui.

  2. Nella casella Apri digitare tpm.msc e quindi premere INVIO.

  3. Se viene visualizzata la finestra di dialogo Controllo account utente, confermare che l'azione visualizzata è quella desiderata e quindi fare clic su Sì.

  4. Nell'albero della console fare clic su Gestione disco. Verrà visualizzato un elenco dei comandi TPM.

  5. Nell'elenco selezionare un comando che si desidera bloccare o consentire.

  6. In Azioni scegliere Blocca comando selezionato oppure Consenti comando selezionato secondo le necessità.

    Nota

    Gli amministratori locali non possono consentire i comandi TPM bloccati tramite i Criteri di gruppo. Non è inoltre possibile consentire i comandi dell'elenco di blocco predefinito per il TPM fino a quando le impostazioni di Criteri di gruppo non vengono modificate in modo da ignorare tale elenco.

Ulteriori riferimenti

  • Controllare il blocco dei comandi TPM tramite Criteri di gruppo


Controllare il blocco dei comandi TPM tramite Criteri di gruppo

Gli amministratori possono utilizzare Criteri di gruppo per bloccare o consentire comandi TPM (Trusted Platform Module) specifici. Non è possibile abilitare i comandi bloccati dai criteri utilizzando Gestione TPM. È possibile tuttavia bloccare i comandi consentiti dai criteri utilizzando Gestione TPM.

L'appartenenza al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per bloccare e consentire i comandi TPM utilizzando l'Editor Criteri di gruppo locali

  1. Fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Esegui.

  2. Nella casella Apri digitare gpedit.msc e quindi premere INVIO.

  3. Se viene visualizzata la finestra di dialogo Controllo account utente, confermare che l'azione visualizzata è quella desiderata e quindi fare clic su Sì.

  4. Verrà visualizzato l'Editor Criteri di gruppo locali con Criteri Computer locale aperto per le modifiche.

    Nota

    Gli amministratori con privilegi appropriati in un dominio possono configurare un oggetto Criteri di gruppo da applicare mediante Servizi di dominio Active Directory.

  5. Nell'albero della console espandere Modelli amministrativi e quindi Sistema in Configurazione computer.

  6. In Sistema fare clic su Servizi Trusted Platform Module.

  7. Nel riquadro dei dettagli fare doppio clic su Configura l'elenco dei comandi TPM bloccati.

  8. Fare clic su Attivata e quindi su Mostra.

  9. Per ogni comando che si desidera bloccare, fare clic su Aggiungi, immettere il numero del comando e quindi fare clic su OK.

    Nota

    In Gestione TPM attualmente sono elencati 120 comandi, organizzati in 27 categorie di funzionalità. Per l'elenco dei comandi di Gestione TPM, vedere le specifiche TPM (Trusted Platform Module) all'indirizzo http://go.microsoft.com/fwlink/?LinkID=139770.

  10. Dopo aver aggiunto i numeri per ogni comando che si desidera bloccare, fare clic su OK e quindi di nuovo su OK.

  11. Se lo si desidera, è possibile attivare i criteri che impediscono il blocco dei comandi basato sull'elenco di blocco predefinito o sull'elenco locale. Per ulteriori informazioni su ognuna di queste opzioni, leggere il testo della Guida visualizzato nell'Editor Criteri di gruppo locali per le impostazioni Ignora l'elenco predefinito di comandi TPM bloccati e Ignora l'elenco locale di comandi TPM bloccati.

    Nota

    Gli amministratori locali non possono consentire i comandi TPM bloccati tramite Criteri di gruppo. I comandi bloccati dagli amministratori locali utilizzando Gestione TPM e i comandi dell'elenco di blocco predefinito rimangono inoltre bloccati fino a quando le impostazioni di Criteri di gruppo non vengono modificate rispetto alle impostazioni predefinite.

  12. Chiudere l'Editor Criteri di gruppo locali.


Configurare il TPM per il primo utilizzo

Prima di poter utilizzare il TPM (Trusted Platform Module) per proteggere il sistema o crittografare i dati, è necessario che un amministratore esegua una serie di operazioni.

In questa sezione vengono descritti gli argomenti seguenti:

  • Informazioni sull'inizializzazione del TPM

  • Inizializzare il TPM


Informazioni sull'inizializzazione del TPM

Un TPM (Trusted Platform Module) può risultare in uno degli stati seguenti:

  • Senza proprietario e disattivato

  • Senza proprietario e attivato

  • Con proprietario ma disattivato

  • Con proprietario e attivato

Prima di utilizzare il TPM per la protezione del computer, è necessario attivarlo. Il processo che assicura che il TPM è attivato e con proprietario viene chiamato inizializzazione. Durante l'inizializzazione, il TPM crea chiavi radice nuove che vengono utilizzate dal TPM.

Nei computer prodotti per soddisfare i requisiti specificati per questa versione di Windows, è disponibile la funzionalità Pre-boot BIOS che facilita l'inizializzazione del TPM di un computer mediante l'Inizializzazione guidata TPM. L'inizializzazione del TPM normalmente richiede l'accesso fisico al computer allo scopo di attivare il TPM. Questo requisito consente la protezione contro il rischio di malware in grado di inizializzare un TPM.

Nota

In un'azienda o impresa, l'amministratore di rete può aver inizializzato il TPM oppure l'organizzazione può aver disposto processi specifici con il produttore di hardware per supportare l'inizializzazione del TPM senza alcun intervento da parte dell'utente.

Se il TPM non è inizializzato, l'Inizializzazione guidata TPM consentirà di eseguire in modo semplificato i passaggi richiesti per attivare e assumere la proprietà del TPM.

Per poter essere utilizzato con il software, ad esempio Crittografia unità BitLocker, è necessario che il TPM sia inizializzato. L'Installazione guidata di BitLocker avvia automaticamente il processo di inizializzazione durante la configurazione di BitLocker, se richiesto.

Per ulteriori informazioni sull'inizializzazione del TPM, vedere Inizializzare il TPM.


Inizializzare il TPM

Prima di poter utilizzare il TPM (Trusted Platform Module) per proteggere il computer, è necessario inizializzarlo.

Nei computer prodotti per soddisfare i requisiti per Windows Vista Logo Program, è disponibile una funzionalità Pre-boot BIOS che facilita l'inizializzazione del TPM di un computer mediante l'Inizializzazione guidata TPM.

Quando viene avviata l'Inizializzazione guidata TPM, è possibile stabilire se è stata eseguita o meno l'inizializzazione del TPM del computer.

L'appartenenza al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura. È inoltre necessario che il computer sia dotato di BIOS e TPM compatibili.

Per avviare l'Inizializzazione guidata TPM

  1. Fare clic sul pulsante Start, scegliere Tutti i programmi, Accessori e quindi Esegui.

  2. Nella casella Apri digitare tpm.msc e quindi premere INVIO.

  3. Se viene visualizzata la finestra di dialogo Controllo account utente, confermare che l'azione visualizzata è quella desiderata e quindi fare clic su Sì.

  4. Scegliere Inizializza TPM dal menu Azione per avviare l'Inizializzazione guidata TPM.

  5. Se il TPM non è mai stato inizializzato oppure è disattivato, nell'Inizializzazione guidata TPM verrà visualizzata la finestra di dialogo Attivazione hardware di sicurezza TPM. In questa finestra di dialogo vengono fornite informazioni sull'inizializzazione o la disattivazione del TPM. Continuare la procedura.

    Nota

    Se il TPM è già attivato, nell'Inizializzazione guidata TPM verrà visualizzata la finestra di dialogo Creare la password del proprietario del TPM. Ignorare la parte di questa procedura e continuare con la procedura "Per impostare la proprietà del TPM" più avanti in questo argomento.

    Nota

    Se l'Inizializzazione guidata TPM rileva che non è disponibile un BIOS compatibile, non è possibile continuare e si verrà avvisati di consultare la documentazione fornita dal produttore del computer per le istruzioni sull'inizializzazione del TPM.

  6. Fare clic su Riavvia il sistema.

  7. Seguire le richieste nella schermata del BIOS. Verrà visualizzata una richiesta di accettazione per verificare che al computer abbia fisicamente accesso un utente e che non sia in corso alcun tentativo di attivazione del TPM da parte di software dannoso.

    Nota

    Le richieste nella schermata del BIOS e le combinazioni di tasti richieste dipendono dal produttore del computer.

  8. Dopo il riavvio, accedere al computer con le stesse credenziali amministrative utilizzate per avviare la procedura.

  9. Verrà riavviata automaticamente l'Inizializzazione guidata TPM. Se viene visualizzata la finestra di dialogo Controllo account utente, confermare che l'azione visualizzata è quella desiderata e quindi fare clic su Sì.

  10. Continuare con la procedura successiva.

Per terminare l'inizializzazione per l'utilizzo del TPM, è necessario impostare un proprietario per il TPM. Il processo di assumere la proprietà comprende la creazione di una password del proprietario per il TPM. Per ulteriori informazioni sulla password del proprietario, vedere Informazioni sulla password del proprietario del TPM.

Per impostare la proprietà del TPM

  1. Se non si sta continuando direttamente dall'ultima procedura, avviare l'Inizializzazione guidata TPM. Se è necessario riesaminare i passaggi, vedere "Per avviare l'Inizializzazione guidata TPM" più indietro in questo argomento.

  2. Nella finestra di dialogo Creare la password del proprietario del TPM fare clic su Crea la password automaticamente (scelta consigliata).

  3. Nella finestra di dialogo Salvare la password del proprietario del TPM fare clic su Salva la password.

  4. Nella finestra di dialogo Salva con nome selezionare un percorso in cui salvare la password e quindi fare clic su Salva. Il file delle password viene salvato come nome_computer.tpm.

    Importante

    È consigliabile salvare la password del proprietario del TPM su supporto rimovibile e di archiviare il supporto in un luogo sicuro.

  5. Fare clic su Stampa la password se si desidera stampare una copia su carta della password.

    Importante

    È consigliabile stampare una copia su carta della password del proprietario del TPM e di archiviarla in una posizione sicura.

  6. Fare clic su Inizializza.

    Nota

    Il completamento del processo di inizializzazione del TPM potrebbe richiedere alcuni minuti.

  7. Fare clic su Chiudi.

    Attenzione

    Non perdere la password. In tal caso, non sarà possibile apportare le modifiche amministrative fino a quando non viene cancellato il TPM. Questa operazione potrebbe comportare una perdita di dati.


Informazioni sulle chiavi e le password utilizzate dal TPM

Il TPM (Trusted Platform Module) utilizza coppie di chiavi asimmetriche, dette anche "coppie di chiavi pubbliche-private". La chiave privata viene tenuta segreta, mentre la chiave pubblica corrispondente può essere ampiamente distribuita.

Negli argomenti di questa sezione vengono descritte alcune delle chiavi più importanti utilizzate dall'hardware di sicurezza TPM, oltre alla password del proprietario. In questa sezione vengono descritti gli argomenti seguenti:

  • Informazioni sulla password del proprietario del TPM

  • Modificare la password del proprietario del TPM

  • Informazioni sulla chiave radice di archiviazione del TPM

  • Informazioni sulla chiave di verifica dell'autenticità del TPM


Informazioni sulla password del proprietario del TPM

La password del proprietario del TPM (Trusted Platform Module) definisce il proprietario del TPM. Si è proprietari del TPM se è possibile impostare la password del proprietario del TPM. Esiste una sola password del proprietario del TPM in modo che chi conosce la password è effettivamente il proprietario del TPM. Il proprietario del TPM può effettuare il pieno utilizzo delle funzionalità del TPM. Dopo aver impostato il proprietario, nessun altro utente o software può dichiarare di essere proprietario del TPM. Soltanto il proprietario del TPM può attivare, disattivare o cancellare il TPM senza avere fisicamente accesso al computer, ad esempio utilizzando gli strumenti da riga di comando in remoto. L'assunzione della proprietà del TPM può avere luogo come parte del processo di inizializzazione. Per ulteriori informazioni, vedere Configurare il TPM per il primo utilizzo.

Le applicazioni, compresa Crittografia unità BitLocker, possono avviare automaticamente il processo di inizializzazione. Se si abilita Crittografia unità BitLocker senza inizializzare manualmente il TPM, la password del proprietario del TPM verrà creata e salvata automaticamente nello stesso percorso della password di ripristino di BitLocker.

È possibile salvare la password del proprietario del TPM come file su un'unità di memoria flash USB o in una cartella in un percorso lontano dal computer locale. È inoltre possibile stampare la password. In Gestione TPM, dove soltanto il proprietario del TPM può eseguire un'azione, è possibile scegliere l'opzione appropriata per digitare la password o utilizzare la password salvata.

I comandi TPM disponibili per il proprietario vengono stabiliti dal Trusted Computing Group. Per ulteriori informazioni, vedere la sezione relativa alle impostazioni di autorizzazione del proprietario della specifica sulle strutture del TPM disponibile nel sito Web Trusted Computing Group all'indirizzo http://go.microsoft.com/fwlink/?LinkId=69584.


Modificare la password del proprietario del TPM

Come con qualsiasi altra password, è consigliabile modificare la password del proprietario del TPM (Trusted Platform Module) se è stata compromessa, ovvero se si ha il sospetto che non sia più segreta.

Se si desidera invalidare tutte le chiavi esistenti create dall'assunzione della proprietà del TPM, è possibile cancellare il TPM anziché modificare la password del proprietario.

Importante

La cancellazione del TPM può comportare una perdita di dati. Per evitare una perdita di dati, verificare di disporre di un backup o di un metodo di ripristino per gli eventuali dati protetti o crittografati dal TPM.

Se si desidera conservare tutte le chiavi e i dati esistenti intatti, ma si desidera disabilitare i servizi forniti dal TPM, è possibile disattivare il TPM anziché modificare la password del proprietario.

Ulteriori riferimenti

  • Informazioni sulla password del proprietario del TPM


Informazioni sulla chiave radice di archiviazione del TPM

La chiave radice di archiviazione è incorporata nell'hardware di sicurezza TPM (Trusted Platform Module). Viene utilizzata per proteggere le chiavi TPM create dalle applicazioni in modo che queste chiavi non possano essere utilizzate senza il TPM.

A differenza della chiave di verifica dell'autenticità, che in genere viene creata quando viene prodotto il TPM, la chiave radice di archiviazione viene creata quando si assume la proprietà del TPM. Questo significa che se viene cancellato il TPM e un utente nuovo assume la proprietà, verrà creata una chiave radice di archiviazione nuova.

La chiave radice di archiviazione viene definita dal Trusted Computing Group (TCG). Per ulteriori informazioni, consultare la documentazione specifica sull'architettura TCG disponibile nel sito Web TCG all'indirizzo http://go.microsoft.com/fwlink/?LinkId=69584.

Ulteriori riferimenti

  • Informazioni sulla chiave di verifica dell'autenticità del TPM


Informazioni sulla chiave di verifica dell'autenticità del TPM

La chiave di verifica dell'autenticità è un chiave di crittografia che viene integrata in modo permanente nell'hardware di sicurezza TPM (Trusted Platform Module), in genere al momento della fabbricazione. La parte privata della chiave di verifica dell'autenticità non viene mai rilasciata al di fuori del TPM. La parte pubblica della chiave di verifica dell'autenticità consente il riconoscimento di un TPM originale.

Le operazioni TPM che comportano la firma di parti di dati possono fare uso della chiave di verifica dell'autenticità per consentire ad altri componenti di verificare che i dati sono attendibili. Per firmare una parte di dati, viene utilizzata una chiave privata per crittografare una piccola parte di informazioni. È possibile verificare la firma utilizzando la chiave pubblica corrispondente per crittografare la stessa parte di dati. Se possono essere decrittografati con la chiave pubblica, è necessario che siano stati crittografati mediante la chiave privata corrispondente. Fino a quando la chiave privata viene tenuta segreta, la firma digitale è affidabile.

La chiave di verifica dell'autenticità viene definita dal Trusted Computing Group (TCG). Per ulteriori informazioni, consultare la documentazione specifica sull'architettura TCG disponibile nel sito Web TCG all'indirizzo http://go.microsoft.com/fwlink/?LinkId=69584.

Ulteriori riferimenti

  • Informazioni sulla chiave radice di archiviazione del TPM


Risolvere i problemi relativi a Gestione TPM

In questa sezione vengono descritti gli argomenti seguenti:

  • Risolvere i problemi relativi all'inizializzazione del TPM

  • Connettersi alla rete

  • Gestire il TPM manualmente


Risolvere i problemi relativi all'inizializzazione del TPM

La gestione del TPM è in genere una procedura semplice. Se non è possibile completare la procedura di inizializzazione, esaminare le informazioni seguenti:

  • Se il TPM non viene rilevato da Windows, controllare che l'hardware del computer includa un TPM e un BIOS compatibili. Verificare che non sia stata utilizzata alcuna impostazione del BIOS per impedire al sistema operativo di vedere il TPM.

  • Se si sta tentando di inizializzare il TPM come parte della configurazione di BitLocker, verificare quale driver TPM sia installato nel computer. È consigliabile utilizzare sempre uno dei driver TPM forniti da Microsoft con BitLocker. Se è installato un driver TPM non Microsoft, il driver TPM predefinito potrebbe non venire caricato e BitLocker potrebbe segnalare che nel computer non è presente alcun TPM. Nel caso di un driver non Microsoft, rimuoverlo e quindi tentare di inizializzare di nuovo il TPM. Nella tabella seguente sono riportati i tre driver TPM standard forniti da Microsoft.

    Nome del driver Produttore

    Trusted Platform Module 1.2

    (Standard)

    Broadcom Trusted Platform Module (A1), v1.2

    Broadcom

    Broadcom Trusted Platform Module (A2), v1.2

    Broadcom
  • Se il TPM è stato precedentemente inizializzato e non si dispone della password del proprietario, potrebbe essere necessario cancellare il TPM o ripristinare le relative impostazioni di fabbrica. Per ulteriori informazioni, vedere Cancellare il TPM.

    Attenzione

    La cancellazione del TPM può comportare una perdita di dati. Per evitare una perdita di dati, verificare di disporre di un backup o di un metodo di ripristino per gli eventuali dati protetti o crittografati dal TPM.

Poiché l'hardware di sicurezza TPM è una parte fisica del computer, è possibile leggere le istruzioni o i manuali forniti con il computer oppure eseguire una ricerca nel sito Web del produttore. Nell'argomento Gestire il TPM manualmente sono riportati alcuni suggerimenti per individuare le informazioni relative al TPM.


Connettersi alla rete

Quando si è disconnessi dalla rete dell'organizzazione, non sarà possibile completare l'inizializzazione del TPM (Trusted Platform Module) nel computer se si verifica una delle due condizioni seguenti:

  • Un amministratore ha configurato il computer in modo da richiedere il salvataggio delle informazioni di ripristino del TPM in Servizi di dominio Active Directory. Questo requisito può essere configurato tramite i Criteri di gruppo.

  • Non è possibile raggiungere un controller di dominio. È possibile che questa condizione si verifichi in un computer attualmente disconnesso dalla rete o separato dal dominio da un firewall oppure a causa di un errore di un componente di rete, ad esempio un cavo non collegato o una scheda di interfaccia di rete guasta.

In entrambi i casi verrà visualizzato un errore e non sarà possibile completare il processo di inizializzazione.

Per evitare tale problema, inizializzare il TPM quando si è connessi alla rete aziendale e si è in grado di contattare un controller di dominio.

Per le procedure dettagliate su come impostare il TPM nel computer, vedere la Guida dettagliata relativa a Gestione TPM (Trusted Platform Module) Windows all'indirizzo http://go.microsoft.com/fwlink/?LinkId=139769.


Gestire il TPM manualmente

Microsoft opera in stretta collaborazione con i produttori hardware e i gruppi industriali per rendere possibile la gestione della maggior parte delle funzioni del TPM (Trusted Platform Module) da Gestione TPM. In alcuni casi potrebbe tuttavia non essere possibile controllare tutti gli aspetti dell'hardware di sicurezza TPM da Windows. Esempi:

  • Hardware che non supporta completamente la specifica TPM 1.2

  • Hardware che non contiene un BIOS completamente supportato

  • Hardware che dispone di un'opzione per impedire al sistema operativo di vedere l'hardware di sicurezza TPM

  • Hardware per il quale il produttore ha deciso di richiedere che le schermate BIOS vengano utilizzate per attivare, disattivare o cancellare il TPM

In questi casi è possibile gestire l'hardware di sicurezza TPM dal BIOS o dalle schermate di configurazione del computer.

Ogni produttore potrebbe utilizzare terminologia diversa e disporre di menu o procedure diverse per gestire il TPM. Ad esempio, invece di utilizzare "Trusted Platform Module", si potrebbe fare riferimento al TPM come "dispositivo di sicurezza incorporato" oppure potrebbe essere utilizzato un nome localizzato o tradotto del TPM.

Per sapere come accedere al BIOS o al sistema di configurazione del computer e come eseguire le operazioni relative al TPM, è consigliabile verificare il relativo manuale, la guida all'installazione o documentazione analoga fornita con il computer. La maggior parte dei produttori inoltre rende disponibile online le informazioni per la risoluzione dei problemi e l'installazione.

Quando si cercano le istruzioni sulla gestione del TPM, è possibile utilizzare alcuni dei termini di ricerca seguenti: "sicurezza incorporata", "TPM", "piattaforma affidabile", "modulo di sicurezza", "chip di sicurezza", "TCG", "Trusted Computing Group" oppure questi termini con verbi che indicano un'azione specifica, ad esempio "abilitare", "attivare" o "disattivare". È possibile trovare informazioni utili sul funzionamento di un TPM nelle relative specifiche del Trusted Computing Group all'indirizzo http://go.microsoft.com/fwlink/?LinkId=139770.


Risorse su Gestione TPM

Gestione TPM interagisce con l'hardware di sicurezza TPM (Trusted Platform Module) che supporta le specifiche definite dal TCG (Trusted Computing Group). Per ulteriori informazioni, visitare il sito Web TCG all'indirizzo http://go.microsoft.com/fwlink/?LinkId=69593.

L'hardware di sicurezza TPM viene utilizzato per attivare altri componenti o software che proteggono il sistema o crittografano i dati, ad esempio Crittografia unità BitLocker.

Le risorse seguenti possono risultare utili per ottenere informazioni sul ruolo di Gestione TPM e BitLocker:

  • Guida dettagliata relativa a Trusted Platform Module di Microsoft all'indirizzo http://go.microsoft.com/fwlink?linkid=139769

  • Guida dettagliata relativa a Crittografia unità BitLocker di Microsoft all'indirizzo http://go.microsoft.com/fwlink/?LinkId=140225

  • Guida alla configurazione di Crittografia unità BitLocker: backup delle informazioni di ripristino relative a BitLocker e al TPM in Active Directory all'indirizzo http://go.microsoft.com/fwlink/?linkid=140308