常见问题 银河麒麟可信计算度量基准
可信度量不过？
麒麟可信计算度量值与基准不一致：启动链路被改、基准库过期、信任模块重置。给出对照基准定位偏差阶段的排查思路。
发布于 2026/11/11
所属频道 银河麒麟
简短答案
度量不过 = 当前启动链路的度量值与基准值对不上。先定位偏差出在哪一段，再决定是修基准还是修系统，别盲目重置信任模块。
| 现象 | 原因 | 处理 |
|---|---|---|
| 每次重启都不同 | 启动链路被改动 | 查 GRUB / 内核 / 引导项改动 |
| 某次更新后不过 | 内核 / 模块更新未同步基准 | 更新基准 |
| 全部清零后不过 | 信任模块被重置 | 按发行说明重建基准 |
怎么排查
# 1. 读当前度量值（设备节点以机型为准）
cat /sys/kernel/security/tpm0/binary/pcr0 # 逐 PCR 读取
# 2. 看启动链路有没有被改过
sudo grubby --info=ALL
rpm -V grub2 2>/dev/null | head
# 3. 查可信服务日志（名称以发行说明为准）
journalctl -u <trusted-svc> -n 100- 度量基准的建立 / 更新流程以 银河麒麟 条目发行说明为准，参考 麒麟 V11 服务器版。
- 桌面端可信行为对照 麒麟 V11 桌面版。
- 可信机制属合规项，按行业规范处理基准更新与审计记录，不要绕过。
操作小结
- 先定位偏差段落，再动基准。
- 不盲目重置信任模块。
- 合规操作留审计记录。