ESXi 7.0 独立主机配置 vTPMPowerCLI 脚本 7 步实现 Windows 11 安装在虚拟化环境中安装 Windows 11 时TPM 2.0 模块是一个绕不开的话题。微软将 TPM 2.0 作为 Windows 11 的强制硬件要求这对物理机和虚拟机都适用。对于使用 VMware ESXi 的独立主机用户来说如何在不依赖 vCenter Server 的情况下配置 vTPM 成为一个实际需求。本文将详细介绍如何在独立 ESXi 7.0 主机上通过 PowerCLI 脚本配置 vTPM从而满足 Windows 11 的安装要求。这种方法特别适合小型实验室环境或预算有限的个人用户无需额外购买 vCenter 许可即可实现 vTPM 功能。1. 准备工作与环境检查在开始配置 vTPM 之前我们需要确保环境满足基本要求。首先确认你的 ESXi 主机版本为 7.0 或更新版本并且拥有有效的许可证免费版 ESXi 不支持此功能。硬件要求检查清单ESXi 主机 CPU 支持硬件虚拟化Intel VT-x 或 AMD-V至少 8GB 内存推荐 16GB 以上足够的存储空间用于虚拟机建议 64GB 以上软件准备清单Windows 10/11 主机用于运行 PowerCLIPowerShell 5.1 或更新版本VMware PowerCLI 模块最新版本vTPMStandaloneESXiFunctions.ps1 脚本提示虽然物理 TPM 芯片不是必须的但如果你的 ESXi 主机有物理 TPM 2.0 芯片建议在 BIOS 中启用它这将提供更好的密钥持久性支持。2. PowerCLI 环境配置PowerCLI 是 VMware 提供的 PowerShell 模块用于管理 vSphere 环境。我们需要先在 Windows 主机上配置好 PowerCLI 环境。以管理员身份运行 PowerShell执行以下命令安装 PowerCLISet-ExecutionPolicy Bypass -Scope Process -Force Install-Module -Name VMware.PowerCLI -Scope CurrentUser -AllowClobber安装完成后下载 William Lam 开发的 vTPMStandaloneESXiFunctions.ps1 脚本。这个脚本包含了一系列自定义的 PowerCLI 函数专门用于在独立 ESXi 主机上配置 vTPM。常见安装问题解决问题描述解决方案模块安装被策略阻止执行Set-ExecutionPolicy RemoteSigned旧版本 PowerCLI 冲突先执行Uninstall-Module VMware.PowerCLI -AllVersions网络连接超时使用-Repository PSGallery -Proxy参数指定代理3. 连接 ESXi 主机并准备加密环境准备好 PowerCLI 环境后我们需要连接到目标 ESXi 主机并准备加密环境。首先加载下载的脚本并连接到 ESXi 主机# 加载脚本假设脚本保存在桌面 . .\Desktop\vTPMStandaloneESXiFunctions.ps1 # 连接到 ESXi 主机 Connect-VIServer -Server 192.168.1.100 -User root -Password yourpassword如果连接时遇到证书警告可以运行以下命令忽略证书验证Set-PowerCLIConfiguration -InvalidCertificateAction Ignore -Confirm:$false连接成功后执行以下命令准备主机的加密环境Prepare-VMHostForEncryption这个命令会检查主机是否已经准备好加密如果没有则会进行必要的配置。执行成功后主机将进入prepared状态可以接受加密密钥。4. 创建主机和虚拟机加密密钥接下来我们需要创建两个加密密钥一个用于主机本身另一个用于虚拟机。创建主机加密密钥New-InitialVMHostKey -Operation CREATE -KeyName host-key-1这个命令会生成一个 256 位的 AES 加密密钥并自动备份到当前目录下的 tpm-keys.csv 文件中。这个操作只需要在主机上执行一次。创建虚拟机加密密钥New-VMTPMKey -Operation CREATE -KeyName windows-11-key同样这个密钥也会被备份到 tpm-keys.csv 文件中。你可以为不同的虚拟机创建不同的密钥或者多个虚拟机共享同一个密钥。密钥管理注意事项妥善保管 tpm-keys.csv 文件这是密钥的唯一备份密钥名称应当具有描述性便于后续管理可以使用Get-VMHostTPMKeys命令查看当前配置的所有密钥5. 创建并配置 Windows 11 虚拟机在添加 vTPM 之前我们需要先创建一个基本的虚拟机。虽然 ESXi 7.0 没有直接的 Windows 11 选项但我们可以选择 Windows 10 作为兼容性选项。虚拟机创建建议配置操作系统版本Microsoft Windows 10 (64-bit)至少 2 个 vCPU至少 4GB 内存使用 EFI 启动虚拟磁盘至少 64GB虚拟硬件版本 15 或更高创建完成后先不要启动虚拟机。我们需要先为其添加 vTPM 设备。6. 为虚拟机添加 vTPM 设备使用以下命令为虚拟机添加 vTPM 设备Reconfigure-VMWithvTPM -KeyName windows-11-key -VMName Win11-VM将 Win11-VM 替换为你实际创建的虚拟机名称。这个命令会执行以下操作将之前创建的虚拟机加密密钥关联到目标虚拟机添加一个虚拟 TPM 设备配置虚拟机使用加密存储命令执行完成后你可以通过 ESXi 的 Web 界面验证 vTPM 是否添加成功。在虚拟机的硬件配置中应该能看到可信平台模块设备。7. 安装 Windows 11 及后续管理现在可以启动虚拟机并开始 Windows 11 的安装过程。使用你准备好的 Windows 11 ISO 镜像启动虚拟机安装过程与物理机无异。安装过程中的注意事项如果安装程序仍然提示 TPM 2.0 不可用可能是 vTPM 没有正确初始化尝试重启虚拟机安装完成后可以在 Windows 中运行tpm.msc验证 vTPM 是否被识别vTPM 制造商应显示为 VMware密钥持久性问题解决方案默认情况下ESXi 主机重启后不会保留加密密钥这会导致虚拟机无法启动。有几种解决方案物理 TPM 方案推荐如果主机有物理 TPM 2.0 芯片可以启用 ESXi 的密钥持久性功能密钥会自动保存在 TPM 芯片中密钥备份恢复方案主机重启后重新导入之前备份的密钥. .\vTPMStandaloneESXiFunctions.ps1 Connect-VIServer 192.168.1.100 -User root -Password yourpassword Prepare-VMHostForEncryption New-InitialVMHostKey -Operation IMPORT -KeyName host-key-1 -CSVTPMKeyFile tpm-keys.csv New-VMTPMKey -Operation IMPORT -KeyName windows-11-key -CSVTPMKeyFile tpm-keys.csv自动化脚本方案将密钥恢复过程编写为脚本设置为主机启动后自动执行8. 高级管理与故障排除查看当前密钥状态Get-VMHostTPMKeys这个命令会列出所有已配置的主机和虚拟机加密密钥包括它们的名称和算法信息。移除虚拟机加密密钥如果需要移除某个虚拟机的加密密钥例如虚拟机不再需要 vTPM 或要迁移到其他主机可以使用以下命令Remove-VMTPMKey -KeyName windows-11-key如果密钥正在使用中可以添加-Force $true参数强制移除Remove-VMTPMKey -KeyName windows-11-key -Force $true常见问题及解决方案问题现象可能原因解决方案虚拟机启动失败提示加密密钥不可用主机重启后密钥丢失按照第7节的密钥恢复流程操作添加 vTPM 时提示权限不足使用的账户权限不足使用 root 账户或具有管理员权限的账户PowerCLI 命令无法识别脚本没有正确加载检查脚本路径是否正确重新加载脚本Windows 11 安装程序仍提示 TPM 2.0 不可用vTPM 没有正确初始化关闭虚拟机电源再重新打开或重新添加 vTPM 设备性能优化建议为加密虚拟机分配足够的资源加密操作会增加 CPU 开销如果有多台虚拟机需要 vTPM考虑为每台虚拟机创建独立的加密密钥定期备份 tpm-keys.csv 文件到安全位置在实际使用中我发现密钥管理是最容易出问题的环节。特别是在实验室环境中ESXi 主机可能会频繁重启每次都需要重新导入密钥确实有些麻烦。为此我通常会编写一个简单的 PowerShell 脚本来自动化这个过程并将它设置为计划任务在主机启动后自动执行。