Shielded VM start niet door fout met ontsleutelen VM-status en host TPM

Hallo,

De foutmelding “The Virtual Machine Subsystem failed to decrypt the VM state” in combinatie met een Shielded VM wijst vrijwel altijd op een probleem met de host-TPM en de Key Storage Provider (KSP). Als de TPM-provisioning corrupt is geraakt, moet je de TPM op de Hyper-V host volledig wissen en opnieuw initialiseren zodat de Host Guardian Service (HGS) en de KSP weer correct kunnen communiceren.

De juiste procedure is als volgt: open een verhoogde PowerShell-sessie op de host en voer Clear-Tpm uit. Dit commando reset de TPM naar de fabrieksinstellingen en verwijdert alle bestaande sleutels. Let op dat dit alleen kan als je fysieke of remote toegang hebt tot de host en dat je na het wissen opnieuw moet provisionen. Na het uitvoeren van Clear-Tpm moet je de server herstarten. Vervolgens controleer je met Initialize-Tpm of de chip correct opnieuw geïnitialiseerd is. Daarna moet je de host opnieuw registreren bij de Host Guardian Service met Register-HgsHost zodat de attestation en sleuteluitwisseling weer werken.

HP.

Als de TPM niet via PowerShell te wissen is, kun je dit ook doen via het BIOS/UEFI van de host. Zoek daar naar “Clear TPM” of “Reset Security Device” en voer de reset uit. Na de reboot moet je opnieuw de TPM initialiseren en de host opnieuw aanmelden bij HGS.

Belangrijk: het wissen van de TPM verwijdert alle sleutels die gekoppeld zijn aan BitLocker of andere beveiligingsfuncties op de host. Zorg dus dat je geen actieve BitLocker-volumes hebt die afhankelijk zijn van deze TPM, of dat je de recovery keys veilig hebt voordat je de TPM wist.

Na deze stappen zou de KSP weer normaal met de TPM moeten communiceren en kan de Shielded VM opnieuw ontsleuteld worden en starten.

Ik hoop dat je hier iets nuttigs uit hebt gehaald. Als dit je meer inzicht geeft in het probleem, waardeer ik het als je het antwoord accepteert. Mocht je nog vragen hebben, laat gerust een bericht achter. Fijne dag!