{"id":313303,"date":"2025-07-08T00:04:42","date_gmt":"2025-07-07T22:04:42","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=313303"},"modified":"2025-07-07T23:14:43","modified_gmt":"2025-07-07T21:14:43","slug":"hyper-v-virtual-tpm-und-zertifikate-beim-vm-export-und-migration","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2025\/07\/08\/hyper-v-virtual-tpm-und-zertifikate-beim-vm-export-und-migration\/","title":{"rendered":"Hyper-V vTPM-Zertifikate: VM-Export und -Migration"},"content":{"rendered":"<p><img decoding=\"async\" style=\"margin: 0px 10px 0px 0px; display: inline; float: left;\" title=\"Windows\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2021\/04\/Windows-klein.jpg\" alt=\"Windows\" width=\"200\" align=\"left\" \/>[<a href=\"https:\/\/borncity.com\/win\/2025\/07\/08\/hyper-v-vtpm-certificates-vm-export-and-migration\/\" target=\"_blank\" rel=\"noopener\">English<\/a>]Bei der Virtualisierung von Windows 11 oder Windows Server 2025 wird ein TMP-Plattformmodule (vTPM) ben\u00f6tigt. Bei der in Windows enthaltenen Virtualisierungsplattform Hyper-V lassen sich vTPN und weitere Optionen konfigurieren. Problem ist aber, wenn eine solche VM verschoben wird und die vTPM-Zertifikate brechen. Gerade ist mir ein entsprechender Artikel von Microsoft untergekommen, der sich mit dieser Frage besch\u00e4ftigt.<\/p>\n<p><!--more--><\/p>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/vg05.met.vgwort.de\/na\/241db5d48792463185750b9fe412e106\" alt=\"\" width=\"1\" height=\"1\" \/>Es ist bekannt, dass Gastbetriebssysteme wie Windows 11 oder Windows Server 2025 mit aktivierten Sicherheitsfunktionen (Secure Boot, Bitlocker) unter Hyper-V auf ein funktionierendes virtuelles, aber vertrauensw\u00fcrdiges TMP-Plattformmodule (vTPM) angewiesen sind.<\/p>\n<h2>Hyper-V und vTPM f\u00fcr VMs<\/h2>\n<p>Unter Hyper-V ist es kein Problem, das vTPM f\u00fcr virtuelle Maschinen \u00fcber die Konfigurierung bereitzustellen und dann das Gastbetriebssystem zu installieren. Problem bzw. Herausforderung von vTPMs ist, dass es auf Zertifikate auf dem lokalen Hyper-V-Server angewiesen ist.<\/p>\n<p>Wenn ein vTPM auf einer virtuellen Maschine der Generation 2 aktiviert wird, generiert Hyper-V automatisch ein Paar selbstsignierter Zertifikate auf dem Host, auf dem sich die VM befindet. Diese Zertifikate sind speziell benannt:<\/p>\n<ul>\n<li>\"Shielded VM Encryption Certificate (UntrustedGuardian)(ComputerName)\"<\/li>\n<li>\"Shielded VM Signing Certificate (UntrustedGuardian)(ComputerName)\"<\/li>\n<\/ul>\n<p>Diese Zertifikate werden in einem eindeutigen lokalen Zertifikatspeicher auf dem Hyper-V-Host namens \"Shielded VM Local Certificates\" gespeichert. Standardm\u00e4\u00dfig werden diese Zertifikate mit einer G\u00fcltigkeitsdauer von 10 Jahren bereitgestellt.\u00a0Solange die virtuellen Maschinen (VMs) mit dem vTPM auf diesem Server ausgef\u00fchrt werden, muss man sich keine Gedanken machen (dass eine VM l\u00e4nger als 10 Jahre l\u00e4uft, d\u00fcrfte eher selten sein).<\/p>\n<h2>vTPM f\u00fcr VMs bei Migration ein Problem<\/h2>\n<p>Soll aber eine VM auf einen anderen Hyper-V-Server verschoben werden, gibt es m\u00f6glicherweise Probleme. Dann dann bricht das f\u00fcr vTPM beim Einrichten der VM verwendete Zertifikat und wird auf dem anderen Server ung\u00fcltig. Der Administrator muss also Vorkehrungen treffen, um die Zertifikate mit zu migrieren.<\/p>\n<p>Damit eine vTPM-aktivierte virtuelle Maschine erfolgreich live migriert und anschlie\u00dfend auf einem neuen Hyper-V-Host gestartet werden kann, m\u00fcssen die \"abgeschirmten lokalen VM-Zertifikate\" (sowohl die Verschl\u00fcsselungs- als auch die Signierungszertifikate) vom Quellhost auf allen potenziellen Hyper-V-Zielhosts vorhanden und vertrauensw\u00fcrdig sein.<\/p>\n<p><a href=\"https:\/\/techcommunity.microsoft.com\/blog\/itopstalkblog\/hyper-v-virtual-tpms-certificates-vm-export-and-migration\/4430584\" target=\"_blank\" rel=\"noopener\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/i.postimg.cc\/x8hCpr4j\/image.png\" alt=\"Hyper-V\" width=\"582\" height=\"413\" \/><\/a><\/p>\n<p>Microsoft-Mitarbeiter Orin Thomas hat sich zum 7. Juli 2025 im Techcommunity-Beitrag <a href=\"https:\/\/techcommunity.microsoft.com\/blog\/itopstalkblog\/hyper-v-virtual-tpms-certificates-vm-export-and-migration\/4430584\" target=\"_blank\" rel=\"noopener\">Hyper-V Virtual TPMs, Certificates, VM Export and Migration<\/a> \u00fcber verschiedene Aspekte dieser Fragestellung ausgelassen. Im Artikel zeigt er, wie sich die mit vTPMs verkn\u00fcpften Zertifikate verwalten lassen, so dass Administratoren die VMs mit z.B. Windows 11-VMs auf jeden vorbereiteten Hyper-V-Host exportieren oder verschieben k\u00f6nnen, den sie verwalten. Vielleicht sind die Ausf\u00fchrungen f\u00fcr den einen oder anderen Leser von Interesse.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>[English]Bei der Virtualisierung von Windows 11 oder Windows Server 2025 wird ein TMP-Plattformmodule (vTPM) ben\u00f6tigt. Bei der in Windows enthaltenen Virtualisierungsplattform Hyper-V lassen sich vTPN und weitere Optionen konfigurieren. Problem ist aber, wenn eine solche VM verschoben wird und die &hellip; <a href=\"https:\/\/borncity.com\/blog\/2025\/07\/08\/hyper-v-virtual-tpm-und-zertifikate-beim-vm-export-und-migration\/\">Weiterlesen <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[11,426,14,301,2557],"tags":[1169,4328,4299],"class_list":["post-313303","post","type-post","status-publish","format-standard","hentry","category-problemlosung","category-sicherheit","category-virtualisierung","category-windows","category-windows-server","tag-hyper-v","tag-sicherheit","tag-virtualisierung"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/313303","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=313303"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/313303\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=313303"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=313303"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=313303"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}