服务器启用TPM 2.0支持磁盘加密的核心是构建完整硬件信任链：先确认芯片存在（Intel PTT/AMD fTPM或物理TPM），再在BIOS/UEFI中启用对应模块，同步配置UEFI启动模式、Secure Boot及GPT分区，最后在操作系统层绑定密钥（如BitLocker或clevis+tpm2-tss），任一环节缺失均导致加密无法真正绑定硬件。
服务器启用 TPM 2.0 支持磁盘加密，核心不是单独“打开一个开关”，而是完成一套硬件信任链配置：确认芯片存在 → 在固件中启用对应模块 → 确保启动环境匹配（UEFI + Secure Boot）→ 配置操作系统级加密服务（如 BitLocker 或 Linux LUKS with TPM）。跳过任一环节，磁盘加密都无法真正绑定到硬件安全模块。
先确认服务器是否具备 TPM 2.0 硬件能力
多数现代服务器（2016年后出厂）已集成 TPM 芯片或支持固件级实现：
- Intel 平台服务器通常使用 PTT（Platform Trust Technology），是 CPU 内置的固件 TPM，无需额外插卡
- AMD 平台对应为 fTPM（Firmware TPM），同样集成于处理器中
- 部分高端型号仍配备独立 物理 TPM 2.0 插槽（如 LGA 封装的 SLB9670 芯片），需手动安装并启用
- 老旧服务器若只有 TPM 1.2，无法通过升级固件变为 2.0；微软明确不认可 1.2 版本用于 Windows Server BitLocker 强制策略
进入服务器 BIOS/UEFI 启用 TPM 模块
不同品牌操作路径略有差异，但逻辑一致：找到安全类设置项 → 启用对应名称的 TPM 功能 → 保存退出。常见入口如下：
- 戴尔（Dell PowerEdge）：开机按 F2 → Advanced → Trusted Device → TPM Security → 设置为 Enabled；部分型号需先设为 On with Pre-Boot Measurements
- HPE ProLiant：开机按 F9 进入 UEFI System Utilities → System Configuration → BIOS/Platform Configuration → Trusted Computing → TPM Device → Enabled
- 联想 ThinkSystem：开机按 F1 → Security → Security Chip → 将 Security Chip 设为 Enabled，Type 显示为 TPM 2.0
- 超微（Supermicro）：开机按 Delete → Advanced → TPM Configuration → TPM State → Enabled；若为 Intel 平台，还需确认 PTT 是开启状态
注意：启用后首次保存退出，系统可能提示“TPM 清除”或要求重置平台密钥（Owner Password），这是正常初始化流程，按提示操作即可。
必须同步配置 UEFI 启动环境
TPM 2.0 与磁盘加密深度依赖 UEFI 安全框架，仅启用 TPM 不足以解锁自动解密功能：
- 启动模式必须为 UEFI Mode（非 Legacy/CSM），可在 Boot Options 中确认
- Secure Boot 必须启用，否则 BitLocker 或 clevis+tpm2-tss 无法验证启动完整性
- 系统盘分区表必须为 GPT；若当前是 MBR，需备份数据后转换（Windows 使用
mbr2gpt工具，Linux 可用gdisk） - 确保固件已更新至最新版本——老版本 UEFI 可能存在 TPM 初始化缺陷，导致 OS 无法识别就绪状态
操作系统层对接 TPM 实现磁盘加密
固件启用只是第一步，还需在系统中完成密钥绑定与策略配置：
-
Windows Server：使用 BitLocker，运行
Enable-BitLocker -MountPoint "C:" -TpmProtector添加 TPM 启动保护器；确认Get-Tpm返回 TpmPresent=True, TpmReady=True -
Linux（RHEL/CentOS/Rocky/Ubuntu）：安装
tpm2-tools和clevis，用clevis luks bind -d /dev/sda2 tpm2 '{"pcr_ids":"7"}'将 LUKS 密钥密封至 PCR 7（代表内核与 initramfs 完整性） - 加密后若更换主板、重置 BIOS 或关闭 Secure Boot，TPM 将拒绝释放密钥，需提前备份恢复密钥（BitLocker 恢复 ID 或 LUKS 备份 header）
不复杂但容易忽略
