系统常识 银河麒麟可信计算可信启动TPM
麒麟可信计算（可信启动）功能怎么开
可信计算（TPM 可信启动/度量）在麒麟上的启用思路：硬件前提、配置项位置、验证方法，以及按行业规范执行的原则。
发布于 2026/11/11
所属频道 银河麒麟
结论先行
可信计算（基于 TPM 的可信启动/度量）硬件是前提：机器得带 TPM（或平台厂商提供的可信模块）并在固件里启用，系统侧才谈得上开启可信功能。没有 TPM 的机器，该功能通常不可用或退化为普通启动。
开启思路
- 硬件层：固件（UEFI）里确认 TPM 处于启用状态；虚拟机场景由虚拟化平台挂模拟/直通 TPM。
- 系统层：可信相关组件与配置按发行版基线启用，涉及可信度量、可信验证等模块；具体开关项、工具以条目页与厂商文档为准。
- 验证：启动后查可信模块状态与度量记录，确认链路正常（命令按条目页说明）。
参考条目：高级服务器 V11 x86-64、桌面版 V11 x86-64。
信创场景注意
- 可信计算属于安全基线要求，按行业规范执行：哪些系统必须开、开什么模式，以项目行业规范与厂商文档为准，本文不替代合规判断。
- 开了可信后，度量基线（policy/白名单）变更要同步，否则可能出现验证不过（详见「可信度量不过」的排查思路）。
- 批量开启先测试机验证全链路，再推生产。
各条目是否预置可信组件、默认开/关状态，看条目页说明，别默认全都有。
常见误操作
- 没启用固件 TPM 就在系统侧折腾 → 底层没硬件状态，功能起不来。
- 改了内核/引导后没更新度量基线 → 启动验证不通过。
- 拿没 TPM 的机器硬开 → 能力缺失，只能按普通模式。