可以使用 ESXCLI 命令列出 ESXi 安全配置恢复密钥、轮换恢复密钥以及更改 TPM 策略（例如，强制执行 UEFI 安全引导）。
列出 ESXi 安全配置恢复密钥的内容
可以使用 ESXCLI 显示 ESXi 安全配置恢复密钥的内容。
前提条件
- 有权访问 ESXCLI 命令集。可以远程或在 ESXi Shell 中运行 ESXCLI 命令。
- 具有使用 ESXCLI 独立版本或 PowerCLI 所需的特权：
过程
结果
将显示恢复密钥 ID 和密钥。
示例： 列出 ESXi 安全配置恢复密钥
[root@host1] esxcli system settings encryption recovery list
Recovery ID Key
-------------------------------------- ---
{2DDD5424-7F3F-406A-8DA8-D62630F6C8BC} 478269-039194-473926-430939-686855-231401-642208-184477-602511
-225586-551660-586542-338394-092578-687140-267425
轮换 ESXi 安全配置恢复密钥
可以使用 ESXCLI 轮换 ESXi 安全配置恢复密钥。
前提条件
- 有权访问 ESXCLI 命令集。可以远程或在 ESXi Shell 中运行 ESXCLI 命令。
- 具有使用 ESXCLI 独立版本或 PowerCLI 所需的特权：
过程
结果
恢复密钥现在设置为密钥 ID 引用的密钥的内容（如果已提供）。否则，ESXi 提供新的密钥 ID。
ESXi 安全配置的故障排除和恢复
您可对可能遇到的 ESXi 安全配置问题进行故障排除和恢复。
如果清除了 TPM（即重置 TPM 中的种子值），或者 TPM 失败，或者您无法更换主板或 TPM 设备，则必须采取措施来恢复 ESXi 安全配置。必须具有恢复密钥，才能恢复配置。恢复配置之前，主机 ESXi 无法引导。请参见恢复 ESXi 安全配置。
ESXi 主机可能无法还原或解密安全配置，从而阻止主机引导，虽然这种情况并不常见。可能的情况包括：
- 更改为安全引导设置（或其他策略）
- 实际篡改
- 恢复密钥不可用
要对这些情况进行故障排除，请参见 VMware 知识库文章，网址：https://kb.vmware.com/s/article/81446。
恢复 ESXi 安全配置
如果 TPM 失败或您清除了 TPM，必须恢复 ESXi 安全配置。恢复配置之前，主机 ESXi 无法引导。
- 您已清除 TPM（即，TPM 中的种子已重置）。
- TPM 失败。
- 您已更换主板和/或 TPM 设备。
要解决其他 ESXi 安全配置问题，请参见 VMware 知识库文章，网址：https://kb.vmware.com/s/article/81446。
手动执行恢复。请勿在安装或升级脚本中执行恢复。
前提条件
过程
下一步做什么
输入恢复密钥时，它会暂时显示在不受信任的环境中，并且驻留在内存中。尽管并非必要，但最佳做法是通过重新引导主机从内存中去除密钥的残留痕迹。或者，您可以轮换密钥。请参见轮换 ESXi 安全配置恢复密钥。
激活或停用安全引导实施以获得安全的 ESXi 配置
您可以选择激活 UEFI 安全引导实施，或停用先前激活的 UEFI 安全引导实施。必须使用 ESXCLI 在 ESXi 主机上的 TPM 中更改此设置。
此任务仅适用于具有 TPM 的 ESXi 主机。UEFI 安全引导是一种固件设置，可确保由固件启动的软件是可信的。要了解更多信息,请参见ESXi 主机的 UEFI 安全引导。每次引导时都可以使用 TPM 强制启用 UEFI 安全引导。
前提条件
- 有权访问 ESXCLI 命令集。可以远程或在 ESXi Shell 中运行 ESXCLI 命令。
- 具有使用 ESXCLI 独立版本或 PowerCLI 所需的特权：
过程
结果
esxcli system settings encryption set --mode=TPM激活 TPM 后，将无法撤消该设置。
即使为主机激活了 TPM，esxcli system settings encryption set 命令也会在某些 TPM 上失败。
- 在 vSphere 7.0 Update 2 中：NationZ (NTZ) 的 TPM、Infineon Technologies (IFX) 的 TPM 以及 Nuvoton Technologies Corporation (NTC) 的某些新型号（例如 NPCT75x）
- vSphere 7.0 Update 3 中：来自 NationZ (NTZ) 的 TPM
如果安装或升级 vSphere 7.0 Update 2 或更高版本在首次引导期间无法使用 TPM，则安装或升级将继续，并且模式默认为“无”（即，--mode=NONE）。由此引发的行为就像未激活 TPM 一样。
激活或停用 execInstalledOnly 实施以获得安全的 ESXi 配置
您可以选择激活 execInstalledOnly 实施，或停用先前启用的 execInstalledOnly 实施。必须使用 ESXCLI 在 ESXi 主机上的 TPM 中更改此设置。必须先激活 UEFI 安全引导实施，然后才能激活 execInstalledOnly 实施。
此任务仅适用于具有 TPM 的 ESXi 主机。execInstalledOnly 高级 ESXi 引导选项（设置为 TRUE 时）可确保 VMkernel 仅执行已作为 VIB 的一部分进行打包和签名的二进制文件。每次引导时都可以使用 TPM 强制启用此引导选项。
前提条件
- 要激活 execInstalledOnly 实施，必须先激活 UEFI 安全引导实施。execInstalledOnly 实施建立在 UEFI 安全引导实施的基础上。请参见激活或停用安全引导实施以获得安全的 ESXi 配置。
- 有权访问 ESXCLI 命令集。可以远程或在 ESXi Shell 中运行 ESXCLI 命令。
- 具有使用 ESXCLI 独立版本或 PowerCLI 所需的特权：
过程
结果
ESXi 主机以激活还是停用 execInstalledOnly 实施方式运行，取决于您的选择。
