Intel PTT（CSME ADL PTT 01SVN）AIK 注册在 GetCACaps 阶段返回 HTTP 404：microsoftaik.azure.net 中该 KeyId 的 authority 不存在，导致《使命召唤》安全认证失败

Question

Intel PTT（CSME ADL PTT 01SVN）AIK 注册在 GetCACaps 阶段返回 HTTP 404：microsoftaik.azure.net 中该 KeyId 的 authority 不存在，导致《使命召唤》安全认证失败

带星派 0

【环境】

主板：MSI PRO B760M-A WIFI DDR4 II (MS-7D99)，BIOS 1.J0（2026-08-24）
CPU：Intel Core i5-14600KF
系统：Windows 11 专业版 23H2，Build 22631.5409
TPM：Intel PTT 2.0，固件 600.18.1040.2765，Spec 2.0 / 1.38，型号 ADL
Secure Boot：已启用（Confirm-SecureBootUEFI = True）
EK 证书：Subject = TPMVersion=id, TPMModel=ADL, TPMManufacturer=id:；Issuer = CN=CSME ADL PTT 01SVN；Thumbprint =；有效期 2021-06-23 至 2050-01-01
本机没有 AIK 证书（Cert:\LocalMachine\My 中无 AIK 证书；GetWindowsAIKCert 亦为空）

【现象】

运行 Call of Duty Secure Attestation Wizard 1.2.0 时，TPM 2.0 与安全启动两项均通过，但提示“新密钥生成失败，建议更新 BIOS 固件”；游戏内显示“认证失败 / 临时合规状态”，匹配质量下降。

事件日志 Microsoft-Windows-CertificateServicesClient-CertEnroll，Event ID 86，在 GetCACaps 阶段失败：

GET

HTTP/1.1 404 Not Found

{"Message":"The authority "intc-keyid.microsoftaik.azure.net" does not exist."}

错误码 0x80190194（HTTP_E_STATUS_NOT_FOUND）

时间：2026-10-18 15:31 GMT（本地 23:31）

x-ms-request-

【已尝试】

BIOS 已更新到 1.J0（2026-08-24），UEFI + Secure Boot 正常
TPM 2.0 状态正常（Present/Ready/Enabled/Activated/Owned 均为 True），EK 证书存在，certutil -pulse 成功
清除 TPM（事件 519，原因 ByPolicy）并让 Windows 重新取得所有权（事件 1027），问题依旧
多次运行 COD 认证向导，每次都在同一 GetCACaps 阶段收到 404

【说明】

本机为第三方精简镜像（Defender/WinRE 被移除），因此 certreq -enrollaik 在本地还会报 0x80070002；但上面的 404 是 COD 向导触发 SCEP 注册时由微软 AIK 服务返回的，发生在任何 TPM 密钥操作之前。同类问题在 Windows 11 26H2 原版联想 Y9000P 上也有报告（Q&A 6041626），另有 5982650 等案例。

【请求】

请确认 Intel PTT CA（CSME ADL PTT 01SVN，KeyId 5fcca0e8a2bcc91adf44d9a68af76d27b8564d32）对应的 AIK authority 是否已在 microsoftaik.azure.net 预配；如未预配，请协助添加或修复。
该问题影响《使命召唤：黑色行动 7》《战区》《现代战争 4》的 Secure Attestation，请转交 Windows TPM/Attestation 或 Azure Attestation 团队处理。
如需补充 TPM 诊断、完整事件日志或网络抓包，我可以提供。

附件：COD-AIK-404-诊断信息.txt

0 个注释

2 个答案

你的答案

Answer 1

Carl-L 24,825 Microsoft 外部员工审查方

你好zhanlangxie,带星派

您可以尝试按照这些步骤操作，看看是否有效。

直接从 TPM 固件中提取并验证以下三个中间 CA 证书：
- CSME ADL ROM CA
- CSME ADL SVN01 Kernel CA
- CSME ADL PTT 01SVN
将这三个经核实的证书导入到 Windows“本地计算机”>“中间证书颁发机构”证书存储区中。

zhanlangxie 0

机器上这一步一周前就做完了，结果是 ekchain = 0x10000（成功）。现在卡的是 certreq 的 404，那是微软服务端没登记 Intel 的 CA，跟本地证书链无关——再导一遍证书也不会变。这份教程的错误

教程写的	实际情况
下载三个文件对应 ROM CA / Kernel CA / PTT CA	文件名对不上，`OnDie_CA_RootCA_Certificate.cer` 是根证书，不是 PTT CA；三张并不是你要的那三张

下载三个文件对应 ROM CA / Kernel CA / PTT CA	文件名对不上，`OnDie_CA_RootCA_Certificate.cer` 是根证书，不是 PTT CA；三张并不是你要的那三张
`TPMDiagnostics.exe GetEkCertFromNVR`	没有这个命令。真实命令是 `NVSummary`、`ReadNVIndex`、`ekchain`、`ekchainNV`
验证成功看 `Trust dwErrorStatus:0x0`	错误。成功的值是 `0x10000`，`0x0` 不是这套工具的正常输出
从网上下证书导入	Intel 官方和微软都建议只从自己 TPM 的 NV 区提取，不要用外部来源的证书

为什么不建议再导一遍

已经导入过三张证书，重复导入可能产生重复条目，反而让 Windows 选错；
从网上下载的证书如果和你 TPM 的 EK 不匹配，会把已经修好的 0x10000 弄回 0x10008；
就算链完美，certreq 依然会 404——因为微软那边还没预置这个 CA，这才是唯一卡点。

Carl-L 24,825 信誉分 Microsoft 外部员工审查方

2026-10-27T13:49:27.21+00:00

你好zhanlangxie,带星派

遗憾的是，这是目前我们唯一可行的变通方案。在此情况下，我们仍需等待证书完成修复。

感谢您的理解。
zhang_wang_hong 7,010 信誉分志愿者审查方

2026-10-30T02:18:45.3666667+00:00

嗨，我试图通过社区管理团队向 PG 团队反馈，很遗憾它们恐怕没办法。

您可以通过 win+f 进行反馈，这是最有效的方式。另外这似乎还有一个方案：

Answer 2

Carl-L 24,825 Microsoft 外部员工审查方

免责声明：请注意，此处提供的信息系通过自动翻译工具翻译而成。尽管我们力求准确，但译文未必总能完美呈现原文的含义、语境或意图。

你好带星派

欢迎来到 Microsoft Q&A 论坛。

遇到这种情况的不止您一人。我已看到多位用户反映过同样的问题。根据我与其中一些用户的交流，这似乎属于服务器端的问题，用户自身无法修复。在“反馈中心”（Feedback Hub）——即连接用户与工程团队的渠道——上，已经有一些关于此问题的反馈。您可以去那里查看是否有临时的变通方案，也可以提交您遇到的具体情况。不过，在我看来，要彻底解决这个问题，可能需要多方共同参与。因此，我们还得再等等。

感谢您的理解。

zhanlangxie 0 信誉分

2026-10-22T14:52:57.84+00:00

同问题补充，本地因素已全部排除：

Win11 26H2（26300.9457）/ ASUS B660M-PLUS D4 BIOS 4003 / Intel PTT 600.18.1040.2765 / Secure Boot 开启 / PCR7 绑定 / MeasuredBoot 日志正常。

用 TPMDiagnostics 修复 Intel PTT 中间证书后（ekchain 0x10008 → 0x10000），400 消失，变为 404：

{"Message":"The authority "intc-keyid-.microsoftaik.azure.net" does not exist."}

x-ms-request-id:

时间：2026-10-22 14:31:00 GMT

即请求本身已合法，是 microsoftaik.azure.net 未预置该 Intel PTT CA。请协助预置。