本文介绍与受信任的平台模块（TPM）直接相关的常见问题，并提供解决这些问题的指导。
Microsoft Entra ID：Windows Hello 企业版和单一登录不起作用
假设出现了下面这种情景：
Microsoft已加入 Entra 的客户端计算机无法正确进行身份验证。 计算机遇到以下一个或多个症状：
- Windows Hello 企业版不起作用
- 条件访问失败
- 单一登录 （SSO） 不起作用
此外，在 事件查看器 中，计算机在 Windows 日志**>系统下**记录以下事件 ID 1026 事件：
日志名称: 系统 源：Microsoft-Windows-TPM-WMI 日期： <日期和时间> 事件 ID：1026 任务类别：无 级别：信息 关键字： 用户： 系统 计算机： <计算机名称> 说明: 无法预配此计算机上的受信任平台模块 （TPM） 硬件以自动使用。 若要以交互方式设置 TPM，请使用 TPM 管理控制台（Start-tpm.msc>），并使用该操作使 TPM 准备就绪。 错误：TPM 正在防御字典攻击，并且处于超时期。 其他信息：0x840000
Microsoft Entra ID 的原因：Windows Hello 企业版和单一登录不起作用
此事件指示 TPM 未就绪或具有阻止访问 TPM 密钥的一些设置。
此外，该行为指示客户端计算机无法获取主刷新令牌（PRT）。
Microsoft Entra ID 的解决方法：Windows Hello 企业版和单一登录不起作用
若要验证 PRT 的状态，请使用 dsregcmd.exe /status 命令来收集信息。 在工具输出中，验证用户状态或 SSO 状态是否包含 AzureAdPrt 属性。 如果此属性的值为 “否”，则未发出 PRT。 如果该属性的值为 “否”，则它可能指示计算机无法显示其证书进行身份验证。
若要解决此问题，请执行以下步骤来排查 TPM 问题：
-
选择“开始”并在“搜索**”框中输入 tpm.msc，打开 TPM 管理控制台（tpm.msc**）。
-
如果显示用于解锁 TPM 或重置锁定的通知，请与硬件供应商联系以确定问题是否存在已知修补程序。
-
如果与硬件供应商联系后仍无法解决问题，请按照“TPM 故障排除”一文 中的说明清除和重新初始化 TPM：清除 TPM 中的所有密钥。
警告
清除 TPM 可能会导致数据丢失。
如果在步骤 2 中没有通知解锁 TPM 或重置锁定，请查看计算机的 UEFI 固件/BIOS 设置，了解可用于重置或禁用锁定的任何设置。
TPM 1.2 错误：加载管理控制台失败。 加密提供程序所需的设备尚未准备好使用
假设出现了下面这种情景：
尝试在使用 TPM 版本 1.2 的 Windows 计算机上打开 TPM 管理控制台时，将显示以下消息：
加载管理控制台失败。 加密提供程序所需的设备尚未准备好使用。 HRESULT 0x800900300x80090030 - NTE_DEVICE_NOT_READY 此加密提供程序所需的设备尚未准备好使用。 TPM 规范版本：TPM v1.2
在运行相同版本的 Windows 的其他设备上，可以打开 TPM 管理控制台。
TPM 1.2 错误的原因（疑似）：加载管理控制台失败。 加密提供程序所需的设备尚未准备好使用
这些症状表明 TPM 存在硬件或固件问题。
TPM 1.2 错误：加载管理控制台失败。 加密提供程序所需的设备尚未准备好使用
若要解决问题，请执行以下操作：
-
如果设备具有此选项，请将 TPM 操作模式从版本 1.2 切换到版本 2.0。
-
如果将 TPM 从版本 1.2 切换到版本 2.0 无法解决问题，或者设备没有可用的 TPM 版本 2.0，请联系硬件供应商以确定设备是否有 UEFI 固件更新/BIOS 更新/TPM 更新。 如果有可用的更新，请安装更新以查看它是否解决了该问题。
-
如果更新 UEFI 固件/BIOS 无法解决问题，或者没有可用的更新，请考虑通过联系硬件供应商替换设备主板。 更换主板后，如果此选项可用，请将 TPM 操作模式从版本 1.2 切换到版本 2.0。
警告
更换主板将导致 TPM 中的数据丢失。
由于 TPM 问题，设备未加入混合Microsoft Entra ID
尝试将设备加入混合Microsoft Entra ID 时，联接操作似乎失败。
若要验证联接是否成功，请使用 dsregcmd /status 命令。 在工具输出中，以下属性指示联接成功：
- AzureAdJoined：是
- DomainName： <本地域名>
如果 AzureADJoined** 的值**为 No，则联接操作失败。
由于 TPM 问题，设备的原因和解决方法不会加入混合Microsoft Entra ID
当 Windows 操作系统不是 TPM 的所有者时，可能会出现此问题。 此问题的具体修补程序取决于显示哪些错误或事件，如下表所示：
| 消息 | 原因 | 解决方法 |
|---|---|---|
| NTE_BAD_KEYSET (0x80090016/-2146893802) | TPM 操作失败或无效 | 此问题可能是由损坏的 sysprep 映像引起的。 创建 sysprep 映像时，请确保使用未加入或注册到 Microsoft Entra ID 或混合Microsoft Entra ID 中的计算机。 |
| TPM_E_PCP_INTERNAL_ERROR (0x80290407/-2144795641) | 一般 TPM 错误。 | 如果设备返回此错误，请禁用其 TPM。 Windows 10 版本 1809 及更高版本自动检测 TPM 故障，并在不使用 TPM 的情况下完成 Microsoft Entra 混合联接。 |
| TPM_E_NOTFIPS (0x80280036/-2144862154) | 目前不支持 TPM 的 FIPS 模式。 | 如果设备提供此错误，请禁用其 TPM。 Windows 10 版本 1809 及更高版本自动检测 TPM 故障，并在不使用 TPM 的情况下完成 Microsoft Entra 混合联接。 |
| NTE_AUTHENTICATION_IGNORED (0x80090031/-2146893775) | TPM 已锁定。 | 此错误是暂时性的。 等待冷却期，然后重试联接操作。 |
有关 TPM 问题的详细信息，请参阅以下文章：