Microsoft Pluton 0x80070490 AIK 注册失败（EK 发行者名称不匹配）——阻断了使命召唤的安全认证，最新的 OEM BIOS 也无效

Question

Microsoft Pluton 0x80070490 AIK 注册失败（EK 发行者名称不匹配）——阻断了使命召唤的安全认证，最新的 OEM BIOS 也无效

麒麟白 5

我的微软 Azure 证明（MAA）校验失败，导致《使命召唤》（RICOCHET 反作弊）的安全认证无法通过。我的 TPM 本地完全健康且已完成配置，OEM 固件也已是本机型官方最新版。该失败在微软自带工具和游戏厂商的官方诊断工具中都能稳定复现。

设备信息

机型：ASUS ROG Strix G16（G614FR，ASUSTeK COMPUTER INC.）
系统：Windows 11，Build 26200，已全量更新
BIOS：G614FR.317（华硕 2026/08/27 发布，官网最新版本）。此前为 G614FR.316，升级后问题依旧
启动：UEFI + GPT，安全启动已启用

TPM（Get-Tpm）

ManufacturerIdTxt: MSFT（Microsoft Pluton 安全处理器）
ManufacturerVersionFull20: 6.4.1.400
TpmPresent / TpmReady / TpmEnabled / TpmActivated / TpmOwned：全部为 True
TpmLockedOut: False

EK 证书（Get-TpmEndorsementKeyInfo）

Subject: CN=PlutonId [PII Removed], OU=6.4.1.400, O=Microsoft Corporation, L=Redmond, S=Washington, C=US
Issuer: CN=[PII Removed], OU=DEVICE EKICA [PII Removed], O=Microsoft Corporation, L=Redmond, S=Washington, C=US
Serial: [PII Removed]
有效期：2021-09-15 至 2039-12-16
指纹：[PII Removed]

复现步骤（两次均以管理员权限运行）

1）在powershell输入命令行：

 certreq -enrollaik -machine
   返回：

dockerfile
 证书申请处理程序: 找不到元素。 0x80070490 (WIN32: 1168 ERROR_NOT_FOUND)
2）动视官方《安全认证向导》（CODSecureAttestationWizard.exe v1.1.3，下载自动视官方支持文章，2026-08-06 更新）：

- 向导中「授权密钥」一项被判定为失败；

   - 点击「生成密钥」（会触发 enrollaik.exe）时，密钥生成失败。

   这与第 1 项是同一个失败，已通过游戏厂商的官方诊断工具复现。

已做的排查

- 确认 TPM 2.0 已启用且健康（tpm.msc 显示「TPM 已准备好可供使用」）

- 确认安全启动已启用、启动模式 UEFI、磁盘为 GPT

- 已将 BIOS 更新至本机型官方最新版本（G614FR.317）

- 已应用全部 Windows 更新并执行完整「重启」（非快速启动）

- 已按上述运行厂商官方认证向导

我的分析

AIK 注册失败的原因看来是 EK 证书的签发者按 subject name 解析，而我机器的签发者名称与后端期望的不一致。我的签发者 CN 是一串原始十六进制 ID（[PII Removed]），OU 为 DEVICE EKICA [PII Removed]；而能够正常通过证明的 Pluton EK 证书链使用的是 CN=PLUTON Firmware SVNxx, OU=FIRMWARE EKICA DFID00B20F40 这种形式。我的 EK Subject 显示 Pluton 固件为 6.4.1.400。这与已知问题类型吻合：Pluton 固件 SVN 变更后重命名了签发 CA，而 Azure 证明后端受信任 EK 证书注册表未同步更新。

想请教的问题

1. [PII Removed]（签发者 CN [PII Removed]，Pluton 固件 6.4.1.400）的 EK 证书链，目前是否已收录在 Azure 证明的受信任 EK 证书注册表中？

2. 若尚未收录，能否在服务端完成收录或修正？这看起来是服务端信任列表的问题，我本地无法修复。

3. 是否还需要额外的 OEM 固件更新，还是服务端更新就足够？如果必须由 OEM 更新，具体需要改什么？

4. 在问题解决前，是否有任何终端用户可用的临时办法？

如有需要，我可以提供更多诊断数据：完整的 Get-Tpm / Get-TpmEndorsementKeyInfo 输出、TPM-WMI 操作与管理事件日志、TCG 事件日志，以及 MAA 端点返回的确切错误码。

0 个注释

1 个答案

你的答案

Answer 1

Alex-L 12,740 Microsoft 外部员工审查方

免责声明：请注意，此处提供的信息由自动翻译工具翻译而成。我们力求准确，但翻译结果可能无法完全反映原文的含义、语境或意图。

你好，麒麟白

根据您提供的信息，您已经完成了标准的客户端故障排除步骤（TPM 健康状况验证、安全启动验证、最新 BIOS、Windows 更新以及 AIK 注册测试）。AIK 注册始终出现 0x80070490 错误，且通过 Microsoft 的工具和 Activision 的认证实用程序均可复现该问题，这表明该问题可能超出了最终用户在本地能够解决的范围。

如果该问题与 Azure Attestation 如何识别 Microsoft Pluton EK 证书链有关，则只有 Microsoft 和/或 OEM 才能确认该证书链是否被该服务信任，或者是否需要进行后端或固件更新。

由于这是一个公开论坛，参与者无法访问 Azure Attestation 信任列表、后端证书注册数据或内部调试工具。提供经过脱敏处理的 TPM 事件日志、MAA 错误详细信息以及相关的 Get-TpmEndorsementKeyInfo 输出结果可能会有所帮助。您还可以向微软支持和华硕提交支持工单，以便通过适当的支持渠道审查诊断数据。

Alex-L 12,740 信誉分 Microsoft 外部员工审查方

2026-09-14T13:52:14.2+00:00

你好，麒麟白

我想跟进一下，看您是否查看了我的回复。如有任何疑问，请告知我。
已删除

此评论已被删除，因为违反了我们的行为准则。在采取措施之前，已通过自动检测手动报告或识别该评论。有关详细信息，请参阅我们的行为准则。
麒麟白 5 信誉分

2026-09-14T15:00:16.4666667+00:00
您好，

感谢您的耐心跟进，也抱歉回复晚了。我已按您的要求采集了脱敏后的诊断数据。

更重要的是：这次我在应用日志里找到了决定性的证据，把问题精确定位到了具体的一个服务端端点上。

────────────────────────────────────

★ 核心发现：Azure AIK CA 端点返回 404「authority does not exist」

────────────────────────────────────

AIK 注册每次都以完全相同的方式失败。系统根据本机 EK 派生出一个 KeyId，然后向这个地址发起 SCEP 请求：

https://MSFT-KeyId-[PII Removed].microsoftaik.azure.net/templates/Aik/scep

返回：

HTTP/1.1 404 Not Found

{"Message":"The authority "msft-keyid-[PII Removed].microsoftaik.azure.net" does not exist."}

0x80190194 (-2145844844 HTTP_E_STATUS_NOT_FOUND)

日志原文（应用程序日志 · Microsoft-Windows-CertificateServicesClient-CertEnroll · 事件 ID 86 · 错误）：

通过 https://MSFT-KeyId-[PII Removed].microsoftaik.azure.net/templates/Aik/scep

为本地系统执行 SCEP 证书注册初始化失败: GetCACaps GetCACaps: Not Found

{"Message":"The authority "msft-keyid-[PII Removed].microsoftaik.azure.net" does not exist."}

... 阶段: GetCACaps 未找到(404)。 0x80190194 (-2145844844 HTTP_E_STATUS_NOT_FOUND)

本机共有两个 EK 对应的 KeyId，两个都返回 404：

[PII Removed]

[PII Removed]

⚠️ 我另外在一台完全无关的机器和网络上直接请求了上面这两个 URL，得到完全相同的 404 响应。

这证明该失败与我的设备、本机配置、网络环境都无关，是服务端的问题：这两个 KeyId 对应的 AIK 颁发机构在 microsoftaik.azure.net 上不存在（未注册/未上线）。

该错误最早见于 2026-09-10，最近一次为 2026-09-14，持续复现。

────────────────────────────────────

★ 佐证：预证明健康检查显示「EK 证书齐全，但 Windows AIK 证书全部缺失」

────────────────────────────────────

系统日志中 Microsoft-Windows-TPM-WMI（事件 ID 1041）的「预证明运行状况检查」输出：

HealthStatus : Attestable

TpmPresent : true (要求 true)

TpmMeetsMinimumVersion : true (要求 true)

TpmIsResponsive : true (要求 true)

EkCertIsAvailable : true (要求 true)

TcgLogFound : true (要求 true)

PcrsMatchTcgLog : true (要求 true)

EkCertRsa2048IsAvailable : true

EkCertEccP256IsAvailable : true

EkCertEccP384IsAvailable : false

WindowsAikCertRsa2048IsAvailable : false <-- AIK 证书缺失

WindowsAikCertEccP256IsAvailable : false <-- AIK 证书缺失

WindowsAikCertEccP384IsAvailable : false <-- AIK 证书缺失

也就是说：TPM 本身、EK 证书、TCG 日志、PCR 校验全部通过，

唯独 Windows AIK 证书拿不到——因为上面的 SCEP 端点 404，注册根本没成功。

────────────────────────────────────

★ 请求（只有工程团队能回答）

────────────────────────────────────

KeyId「[PII Removed]」和「[PII Removed]」

对应的 EK 证书链，目前是否已在 Azure AIK CA（microsoftaik.azure.net）注册/上线？

如果没有，能否在服务端完成注册？这是本机完全无法解决的环节。

────────────────────────────────────

一、设备与系统（已脱敏，无敏感字段）

────────────────────────────────────

机型 : ASUSTeK COMPUTER INC. ROG Strix G16 G614FR（主板 G614FR / 1.0）

系统 : Microsoft Windows 11 家庭版中文版

版本 : 10.0.26200（Build 26200），已全量更新

BIOS : G614FR.317（华硕 2026/08/27 发布，官网最新版；此前为 .316，升级后问题不变）

SecureBoot : True（UEFI + GPT）

TPM : Microsoft Pluton（ManufacturerIdTxt = MSFT），ManufacturerVersionFull20 = 6.4.1.400

TPM 状态 : TpmPresent / TpmReady / TpmEnabled / TpmActivated / TpmOwned 全部为 True

LockedOut = False，AutoProvisioning = Enabled 二、EK 证书（Get-TpmEndorsementKeyInfo） Subject : CN=PlutonId [PII Removed], OU=6.4.1.400, O=Microsoft Corporation, L=Redmond, S=Washington, C=US Issuer : CN=[PII Removed], OU=DEVICE EKICA [PII Removed], O=Microsoft Corporation, L=Redmond, S=Washington, C=US Serial : [PII Removed] NotBefore : 2021-09-15 08:00:00 NotAfter : 2039-12-16 07:59:59 Thumbprint : [PII Removed] IsPresent : True 三、复现方式 1) 命令行（管理员）： certreq -enrollaik -machine 返回：证书申请处理程序: 找不到元素。 0x80070490 (WIN32: 1168 ERROR_NOT_FOUND) ExitCode: -2147023728 2) 动视官方《安全认证向导》(CODSecureAttestationWizard.exe v1.1.3)：报「授权密钥失败」；点击「生成密钥」时（内部调用 enrollaik.exe）密钥生成失败。 3) tpmtool getdeviceinformation：ExitCode 0，TPM 2.0 / MSFT / 6.4.1.400，PPI 1.3 四、已排除的原因 - TPM 本地健康，Present/Ready/Enabled/Activated/Owned 全为 True - 安全启动已启用，UEFI 启动，GPT 磁盘（Confirm-SecureBootUEFI = True） - BIOS 已是最新版本（G614FR.317），升级前后问题一致 - Windows 已全量更新，并做过完整重启（非快速启动） - 该失败在微软自带工具与游戏厂商官方工具中均可稳定复现 - 本机证书存储 My/Root/CA 中无任何 TPM/AIK/Pluton 相关证书（因为注册从未成功）五、附件（因论坛仅支持 xml / pdf / txt / log / 图片等格式，我已把 tpmtool 采集的二进制日志全部转为纯文本 .log）附件 1：TPM诊断-完整日志.log（约 534 KB） dockerfile 内容（均来自 tpmtool gatherlogs）： - TPM Information（TpmInformation） - EK in NV（Ek_In_Nv） - TPM 事件日志 TpmEvents（共 982 条，全量） - 内核启动事件 KernelBoot（共 359 条，全量） - 附加 JSON 脱敏说明：已移除 OwnerAuth 等敏感字段。附件 2：TPM注册表项.log（约 828 KB） dockerfile 内容（均来自 tpmtool gatherlogs）： TPM-Control.reg、TPM-Software.reg、TPM-IntegrityServices.reg、TPM-Services.reg 脱敏说明：OwnerAuth / LockoutHash 等认证值已替换为 [REDACTED]。备注：原始二进制文件（SRTMBoot.dat、.evtx 事件日志原件）因格式限制无法作为附件提交。 dockerfile 如需原件，请告知可用的传输方式，我可以另行提供。如果还需要其他数据（例如完整 TCG 日志、MAA 的原始响应头、指定时间段的完整事件导出），请告知，我可以随时补充。再次感谢您的帮助。 [TPM注册表项.log](/api/attachments/9dfabc0a-1f70-4628-864d-887d559aeb1d?platform=QnA) [TPM诊断-完整日志.log](/api/attachments/dfec252f-b933-47a8-bf68-9b2453dda9d2?platform=QnA)
Alex-L 12,740 信誉分 Microsoft 外部员工审查方

2026-09-17T14:10:37.5533333+00:00

你好，麒麟白

感谢您提供的详细诊断信息和日志。

根据您提供的证据，这似乎不再是典型的客户端 TPM、安全启动、BIOS 或 Windows 配置问题。您的日志显示，TPM 健康检查、EK 证书可用性、证明先决条件以及安全启动验证均已通过，而 AIK 注册却始终失败，且 AIK/SCEP 端点返回 HTTP 404 响应。

由于在游戏环境之外使用 certreq`` ``-enrollaik`` ``-machine 命令可复现该故障，且该端点在与游戏客户端无关的情况下同样返回 404 错误，这表明问题可能出在 AIK 注册/证明服务上，而非设备配置本身。

遗憾的是，Microsoft Q&A 是一个公开的社区论坛，我们无法查看或访问 Microsoft 的证明后端服务。现阶段，最有帮助的下一步是请 Microsoft 支持团队或相关工程团队审查 AIK 注册服务的行为，并确定受影响的密钥 ID 或证书链是否已在服务端正确注册。

您已经提供了工程团队通常进行进一步调查所需的诊断信息，因此除非微软支持团队有明确要求，否则建议避免对 TPM 或 BIOS 进行额外更改。