核心结论是 tpm 管理就是对电脑主板或者独立 TPM 芯片进行配置查看启用关闭密钥管理以及状态校验的整套操作，TPM 全称可信平台模块，属于硬件级安全芯片，主要用来存储加密密钥保存度量值，支持 BitLocker 磁盘加密安全启动设备身份认证，Windows 系统里面可以通过 tpm.msc 这个管理控制台查看芯片状态版本和相关信息，企业环境还可以通过组策略进行批量管控。之所以需要做 tpm 管理，是因为 TPM 属于底层安全硬件，和操作系统独立运行，密钥不会存放在普通硬盘里面，相比软件加密安全性更高，如果没有正确启用或者管理 TPM，BitLocker 会无法开启，安全启动功能也会异常，系统升级或者更换主板之后还容易出现恢复密钥丢失的问题。
TPM 基础概念
TPM 是按照 TCG 标准设计的安全芯片，主流分为 TPM1.2 和 TPM2.0 两个版本，现在新电脑基本都是 TPM2.0，很多主板是固件型 fTPM，也就是 CPU 内置模拟 TPM，不是独立实体芯片，部分商用台式机服务器是独立 TPM 插卡。
它核心能力是度量启动过程，记录每一步启动组件的哈希值，形成可信链，防止启动项被恶意篡改，同时生成保护加密密钥，密钥在芯片内部运算，不会明文导出。
tpm 管理主要功能
| 功能项 | 说明 |
|---|---|
| 状态查看 | 查看 TPM 是否就绪 版本号 规范版本 所有者授权状态 |
| 启用关闭 | 在 BIOS UEFI 里面开启或者关闭 TPM fTPM |
| 密钥管理 | 生成存储密钥 背书密钥 EK 存储根密钥 SRK |
| BitLocker 联动 | 绑定磁盘加密恢复密钥，硬盘脱离本机无法解密 |
| 清除 TPM | 清除芯片内全部密钥和度量数据，属于重置操作 |
| 企业管控 | 组策略 SCCM 域环境统一部署 TPM 策略 |
Windows 下 tpm 管理操作入口
1 按下 Win 加 R 组合键，输入 tpm.msc 回车，打开 TPM 管理控制台
2 控制台可以直接看到 TPM 是否可用，规范版本，是否已经取得所有权
3 如果提示 TPM 未就绪，需要重启电脑进入主板 UEFI BIOS，找到安全选项，开启 fTPM 或者 TPM2.0
4 如果需要清除 TPM，在控制台里面点击清除 TPM，按照提示重启确认，清除之后原有 BitLocker 密钥会失效，必须提前保存恢复密钥
应用场景
第一 BitLocker 全盘加密，这是普通用户最常用场景，TPM 把磁盘解锁密钥和本机硬件绑定，开机自动校验，防止硬盘拆到别的电脑读取数据
第二 安全启动，校验引导程序签名，拦截 rootkit 类恶意程序
第三 企业设备身份认证，用于域登录 VPN 证书 智能卡相关安全校验
第四 系统升级校验，比如新版操作系统升级会要求必须具备可用 TPM2.0
重要注意事项
清除 TPM 之前一定要导出保存 BitLocker 恢复密钥，不然清除之后磁盘会锁定，无法正常进入系统。fTPM 和独立 TPM 有区别，fTPM 依赖 CPU，更换 CPU 之后 TPM 数据会失效。主板 BIOS 里面如果 TPM 选项被管理员锁定，普通用户无法修改，需要解除 BIOS 密码之后再调整。
总结，tpm 管理本质就是对这个硬件安全芯片的启用状态密钥和相关安全策略进行维护，普通用户主要掌握 tpm.msc 查看状态，开启 TPM，配合 BitLocker 使用，企业管理员还需要做批量策略部署和故障处理。
【常见问题】
问题 1 tpm 管理里面提示 TPM 未就绪是什么意思
回答 1 tpm 管理里面提示 TPM 未就绪，代表 UEFI 里面 TPM 或者 fTPM 没有开启，需要重启进入主板 BIOS，找到安全选项打开 TPM2.0，保存重启之后再打开 tpm.msc 查看状态。
问题 2 tpm 管理执行清除 TPM 会删除电脑文件吗
回答 2 tpm 管理执行清除 TPM 不会直接删除硬盘文件，但是会清空芯片内绑定的 BitLocker 密钥，如果开启了 BitLocker，清除之后磁盘会锁定，需要提前保存恢复密钥才能解锁。
问题 3 tpm 管理支持 TPM1.2 吗
回答 3 tpm 管理控制台可以识别 TPM1.2，但是现在主流新系统安全功能大多只支持 TPM2.0，TPM1.2 已经老旧，很多新特性无法使用。
问题 4 tpm 管理能不能远程批量配置
回答 4 tpm 管理支持企业域环境远程批量配置，可以通过组策略部署 TPM 相关策略，配合管理软件统一查看多台电脑 TPM 状态，适合公司大量办公设备统一安全管控。
【免责申明】
本文内容仅作为 tpm 管理基础知识介绍，不同主板 UEFI 界面名称存在差异，清除 TPM 操作会影响 BitLocker 加密数据，操作前请务必备份恢复密钥，因误操作造成系统锁定数据无法访问，由操作者自行承担，本文不能替代厂商官方技术文档。