indows AIK 注册在 GetCACaps 阶段返回 404：Intel PTT 的 authority（KeyId dddd836a…）未在 microsoftaik.azure.net 预配，导致《使命召唤》安全认证失败

• 主板：ASUS ROG STRIX Z790-A GAMING WIFI S（Rev 1.xx），BIOS 2202（2026-05-07）
• 系统：Windows 11 26H2，Build 26300.9711
• TPM：Intel PTT 2.0（INTC），Spec 1.38，固件 600.18.1040.2765，型号 ADL
• Secure Boot：已启用（UEFI）
• EK 证书：Subject id:02580012，Issuer CN=CSME ADL PTT 01SVN，AKI dddd836afb0b90298823def6a2522cd7d03a7903

现象

1. 《使命召唤》安全认证向导：TPM 2.0 与 Secure Boot 均通过，随后提示“新密钥生成失败 / BIOS 固件：需要更新”，系统被标记为“已应用验证失败状态”，匹配质量下降、可用列表减少。
2. certreq -enrollaik -machine -config "" 在 GetCACaps 阶段失败：

代码块

GET https://INTC-KeyId-dddd836afb0b90298823def6a2522cd7d03a7903.microsoftaik.azure.net/templates/Aik/scep
HTTP/1.1 404 Not Found
{"Message":"The authority \"intc-keyid-dddd836afb0b90298823def6a2522cd7d03a7903.microsoftaik.azure.net\" does not exist."}
错误码 0x80190194 (HTTP_E_STATUS_NOT_FOUND)

CreateRequest、SubmitRequest 均未执行（0 ms），TPM 未被使用，说明失败完全在服务端。

1. 事件日志：Microsoft-Windows-CertificateServicesClient-CertEnroll，Event ID 86，时间 2026-10-22 21:50:12、21:51:24（UTC+8）。
2. COD broker_service.log：Enroll AIK result -2145844844（0x80190194）。

修复前后对比（重要线索）

已完成的本地修复（采用的正是 Q&A 6041626 中给出的变通方案）

1. TPMDiagnostics.exe ekchain / ekchainNV 确认 0x10008 vs 0x10000；
2. 从本机 TPM NV 索引 0x1C00100（1978 字节）导出 3 张 Intel 中间证书，并逐张用 TPM 原生链的 AKI 校验通过：
   • CN=CSME ADL ROM CA（AKI ea950d98…）
     • CN=CSME ADL SVN01 Kernel CA（AKI 36c122dd…）
       • CN=CSME ADL PTT 01SVN（AKI 89fa3d6f…）
       1. 导入“本地计算机 → 中间证书颁发机构”后，ekchain 由 0x10008 变为 0x10000；
       2. 再次执行 certreq，400 消失，错误变为上述 404。

请求

1. 请为 KeyId dddd836afb0b90298823def6a2522cd7d03a7903 预配 AIK authority；如果 KeyId 的派生方式在链修复后会变化，也请说明应如何得到正确的 KeyId。
2. 若短期无法预配，请为受影响的《使命召唤》玩家提供备用认证路径或临时豁免，避免玩家因服务端配置缺失被长期限制。
3. 该问题自 2026-08 起在 ASUS / MSI / ASRock / 技嘉 / 联想 / HP 多平台持续出现，建议合并跟踪。

可提供的附件：tpmtool getdeviceinformation 输出、TPMDiagnostics.exe ekchain 与 ekchainNV 输出、Event ID 86 的详细信息（.evtx 导出）、COD 向导的 diagnostic_info.json。

• 主板：ASUS ROG STRIX Z790-A GAMING WIFI S（Rev 1.xx），BIOS 2202（2026-05-07）
• 系统：Windows 11 26H2，Build 26300.9711
• TPM：Intel PTT 2.0（INTC），Spec 1.38，固件 600.18.1040.2765，型号 ADL
• Secure Boot：已启用（UEFI）
• EK 证书：Subject id:02580012，Issuer CN=CSME ADL PTT 01SVN，AKI dddd836afb0b90298823def6a2522cd7d03a7903

现象

1. 《使命召唤》安全认证向导：TPM 2.0 与 Secure Boot 均通过，随后提示“新密钥生成失败 / BIOS 固件：需要更新”，系统被标记为“已应用验证失败状态”，匹配质量下降、可用列表减少。
2. certreq -enrollaik -machine -config "" 在 GetCACaps 阶段失败：

代码块

GET https://INTC-KeyId-dddd836afb0b90298823def6a2522cd7d03a7903.microsoftaik.azure.net/templates/Aik/scep
HTTP/1.1 404 Not Found
{"Message":"The authority \"intc-keyid-dddd836afb0b90298823def6a2522cd7d03a7903.microsoftaik.azure.net\" does not exist."}
错误码 0x80190194 (HTTP_E_STATUS_NOT_FOUND)

CreateRequest、SubmitRequest 均未执行（0 ms），TPM 未被使用，说明失败完全在服务端。

1. 事件日志：Microsoft-Windows-CertificateServicesClient-CertEnroll，Event ID 86，时间 2026-10-22 21:50:12、21:51:24（UTC+8）。
2. COD broker_service.log：Enroll AIK result -2145844844（0x80190194）。

修复前后对比（重要线索）

已完成的本地修复（采用的正是 Q&A 6041626 中给出的变通方案）

1. TPMDiagnostics.exe ekchain / ekchainNV 确认 0x10008 vs 0x10000；
2. 从本机 TPM NV 索引 0x1C00100（1978 字节）导出 3 张 Intel 中间证书，并逐张用 TPM 原生链的 AKI 校验通过：
   • CN=CSME ADL ROM CA（AKI ea950d98…）
     • CN=CSME ADL SVN01 Kernel CA（AKI 36c122dd…）
       • CN=CSME ADL PTT 01SVN（AKI 89fa3d6f…）
       1. 导入“本地计算机 → 中间证书颁发机构”后，ekchain 由 0x10008 变为 0x10000；
       2. 再次执行 certreq，400 消失，错误变为上述 404。

请求

1. 请为 KeyId dddd836afb0b90298823def6a2522cd7d03a7903 预配 AIK authority；如果 KeyId 的派生方式在链修复后会变化，也请说明应如何得到正确的 KeyId。
2. 若短期无法预配，请为受影响的《使命召唤》玩家提供备用认证路径或临时豁免，避免玩家因服务端配置缺失被长期限制。
3. 该问题自 2026-08 起在 ASUS / MSI / ASRock / 技嘉 / 联想 / HP 多平台持续出现，建议合并跟踪。

可提供的附件：tpmtool getdeviceinformation 输出、TPMDiagnostics.exe ekchain 与 ekchainNV 输出、Event ID 86 的详细信息（.evtx 导出）、COD 向导的 diagnostic_info.json。