Summary
本文适用于 Windows Server 和 Windows Client。 它解释了为什么系统信息（msinfo32）中的 PCR7 配置显示“无法绑定”，即使已启用 TPM 2.0 和安全启动，且 BitLocker 保护处于活动状态。 本文还演示了如何调查阻止 PCR7 绑定的 EFI 启动组件。
症状
打开 msinfo32 并查看 “系统摘要” 时，PCR7 配置 显示的值为 无法绑定。
原因
PCR7 绑定取决于在 UEFI 安全启动过程中创建的度量值。 如果其他证书颁发机构（CA）哈希或 EFI 驱动程序或启动应用程序度量出现在最终 Windows 启动管理器 Windows 生产 CA 度量之前，则 BitLocker 可能不会选择 PCR 7、11 验证配置文件。
在这种情况下，BitLocker 可以使用 PCR 0、2、4 和 11 验证配置文件。 使用该配置文件，Windows 会度量适用启动组件的精确二进制哈希值，而不是依赖用于度量的 CA 证书。
Important
无法绑定状态本身并不意味着 BitLocker 已禁用或 TPM 尚未就绪。 使用 确认保护器状态和 PCR 验证配置文件。
解决方案
对 PCR7 绑定进行故障排除
若要标识 BitLocker TPM 保护程序使用的 PCR 验证配置文件，请打开提升的 PowerShell 窗口，然后运行以下命令：
manage-bde -protectors -get $env:systemdrive
在命令输出中，查看 TPM 的 PCR 验证配置文件。 输出的此部分类似于以下示例：
TPM:
ID: {00000000-0000-0000-0000-000000000000}
PCR Validation Profile:
7, 11
(Uses Secure Boot for integrity validation)
此输出显示了以下值集之一：
7, 11：BitLocker 正在使用基于 PCR7 的验证配置文件。0, 2, 4, 11：BitLocker 未选择 PCR7 绑定。
如果你的环境需要 PCR7 绑定，请分析 Measured Boot 日志，以确定额外的 EFI 启动组件或 CA 度量是否会阻止 PCR7 绑定。 有关如何使用度量启动日志的信息，请参阅 解码度量启动日志。 搜索解码的输出 PCR[07]，并按其出现顺序查看 PCR7 测量值。 例如，序列可以包含以下语句：
EV_EFI_VARIABLE_AUTHORITYEV_SEPARATOREV_EFI_VARIABLE_AUTHORITY
EV_EFI_VARIABLE_AUTHORITY查看条目以确定哪个证书颁发机构与测量的 EFI 驱动程序或启动应用程序相关联。 在最终的 Windows 启动管理器 Windows Production CA 度量之前出现额外的 CA 哈希，可能会导致 BitLocker 无法选择 PCR7。
有关测量启动的详细信息，请参阅 测量启动。
联系硬件或软件供应商
如果 Measured Boot 日志标识出额外的 EFI 驱动程序、选项 ROM、启动应用程序、启动加载程序或关联的 CA 度量值，请联系硬件或软件供应商。 要求供应商确定组件并提供受支持的更新、配置更改或删除方法。
请勿在没有供应商指导的情况下手动删除安全启动证书或启动组件。 在进行固件或启动链更改之前，请确保 BitLocker 恢复密钥可用，并遵循供应商支持的过程。
替代方法：使用 PCR 0、2、4、11 验证配置文件
如果 BitLocker 使用 PCR 0、2、4、11 验证配置文件，则无需仅仅因为 PCR7 绑定不可用而进行任何更改。 验证 BitLocker 保护是否已启用，并记录活动 PCR 验证配置文件以进行故障排除。 当 BitLocker 使用 PCR 0、2、4、11 配置文件或 PCR 7、11 配置文件时，Windows 仍保持受保护状态。
数据收集
如果需要 Microsoft 支持部门 提供帮助，请使用 使用 TSS 收集与部署相关问题的信息 收集适用的部署和服务信息。