Chatgpt:n mukaan virtuaalikoneessa myös TPM 2.0 on virtuaalinen, ellei erikseen aseteta, että koneen turvapiiri annettaisiin läpisyöttönä virtuaalikoneen Windowsille.
Tässä seloste:
⸻

1. TPM 2.0 Windows 11 -vaatimus
Windows 11 edellyttää TPM 2.0:aa (Trusted Platform Module) joko:
• fyysisenä laitteena (emolevyllä tai erillisenä moduulina), tai
• virtualisoituna ohjelmistototeutuksena (vTPM), jota hypervisor tarjoaa.
⸻

2. Proxmoxin tapa toteuttaa TPM
Proxmox ei oletusarvoisesti tee “pass-throughia” fyysisestä TPM:stä virtuaalikoneelle, vaan tarjoaa virtualisoidun TPM-laitteen (vTPM) käyttäen swtpm-komponenttia (Software TPM Emulator).
Tämä tarkoittaa:
• Windows näkee virtuaalisen TPM 2.0 -moduulin (täysin standardin mukainen).
• Fyysistä TPM-sirua (esim. emolevyllä olevaa) ei lueta eikä jaeta VM:lle.
• vTPM:n tiedot tallennetaan Proxmoxin levytiedostoon (esim. /var/lib/libvirt/swtpm/ tai VM:n omaan hakemistoon tpmstate).
⸻

3. Mitä tämä tarkoittaa Microsoftin näkökulmasta
Kun Windows 11 näkee vTPM:n:
• Se toimii kuten oikea TPM, mutta sen identiteetti (endorsement key, storage root key jne.) on luotu paikallisesti virtuaalikoneessa, ei raudan todellisessa TPM-sirussa.
• Microsoftin palvelimet näkevät vain tämän virtuaalisen TPM:n tunnisteet, jotka eivät vastaa fyysisen koneen TPM:ää.
Eli:

Microsoft EI voi yhdistää virtuaalikonetta suoraan sinun oikeaan laitteeseesi TPM:n perusteella.
⸻

4. Poikkeus: jos käytät TPM pass-throughia
Proxmox teknisesti tukee myös TPM pass-throughia (eli fyysisen TPM:n välittämistä VM:lle), mutta:
• sitä käytetään äärimmäisen harvoin,
• vaatii erillisen /dev/tpm0 -laitteen jakamisen VM:lle (lisätty args:-rivillä configiin),
• ja silloin Microsoft voisi nähdä saman fyysisen TPM:n tunnisteet kuin paljaassa raudassa.
Normaalissa Proxmox-käytössä tätä ei tehdä, eikä siihen ole mitään tarvetta.
⸻

5. Yhteenveto taulukossa
Ominaisuus Virtualisoitu TPM (vTPM) Fyysisen TPM:n pass-through
Käytetään oletuksena Proxmoxissa

Kyllä

Ei
Microsoft näkee todellisen TPM:n tunnisteet

Ei

Kyllä
Tiedot tallentuvat VM:n levytiedostoon

Kyllä

Ei
Sopii Windows 11:n vaatimuksiin

Kyllä

Kyllä
Tietosuoja parempi

Parempi

Heikompi (fyysinen tunniste paljastuu)
⸻

Johtopäätös
Jos asensit Windows 11:n Proxmox-virtuaalikoneeseen, ja et ole erikseen tehnyt TPM-pass-throughia, niin:
➜ Käytössä on ohjelmallinen (virtualisoitu) TPM 2.0,
➜ Microsoft ei saa fyysisen TPM-sirun tunnisteita,
➜ Virtuaalikoneen tunniste on vain kyseiselle VM:lle luotu eikä yhdisty suoraan emokoneeseen.