Windows 如何为 Hyper-V 虚拟机配置虚拟 TPM 芯片支持安全启动

必须手动启用虚拟TPM（vTPM）并正确配置：虚拟机须完全关闭、为第二代、启用安全启动且模板设为“Microsoft UEFI Certificate Authority”，同时禁用动态内存，否则Windows 11安装将卡在“这台电脑无法运行Windows 11”。

要让 Hyper-V 虚拟机支持 Windows 11 所需的安全启动和 TPM 2.0 校验，必须手动启用虚拟 TPM（vTPM），不能仅靠第二代虚拟机或开启安全启动就自动满足。关键在于配置顺序、状态前提和证书模板三者缺一不可。

虚拟机必须处于完全关闭状态

运行中、暂停或已保存的虚拟机都无法修改 vTPM 设置。右键虚拟机 → “关闭” → 等待状态变为“已关闭”后再操作。若误点“关闭”后仍显示“正在关闭”，可刷新管理器界面确认最终状态。

启用 vTPM 并校验安全启动模板

进入虚拟机“设置” → 左侧选“安全管理器” → 勾选“启用虚拟可信平台模块 (TPM)” → 点击“应用”。

随后切换到“安全性”页：

1. 确保“启用安全启动”已勾选
2. “安全启动模板”必须设为 Microsoft UEFI Certificate Authority（不可选“无”或“其他”）

   这两项必须同时激活，否则 Windows 11 安装程序会直接报错“这台电脑无法运行 Windows 11”。

确保虚拟机是第二代且主机支持虚拟化

vTPM 仅在第二代虚拟机中可用，创建时必须选择“第 2 代”。若已建为第一代，无法后期更改，只能重建。

主机层面需满足：

1. BIOS/UEFI 中已开启 Intel VT-x 或 AMD-V
2. Windows 功能中已启用 Hyper-V 和“虚拟机平台”
3. PowerShell 执行 systeminfo 显示“虚拟机监视器模式扩展：是”等四项均为“是”

避开常见兼容性陷阱

Windows 11 安装阶段对虚拟硬件极为敏感，以下设置会导致卡在安装界面或启动失败：

1. 动态内存必须禁用（在“内存”设置中取消勾选“启用动态内存”）
2. 若虚拟机曾迁移或导入导出，vTPM 依赖的主机级证书可能丢失，需用 PowerShell 导入到新主机的“受保护虚拟机本地证书”存储
3. 主机未启用 SLAT（二级地址转换）或 DEP（数据执行保护）也会导致 vTPM 初始化超时

安装完成后，可在 Windows 11 内以管理员身份运行 PowerShell，执行 Get-Tpm：

当 TpmPresent 和 TpmReady 均为 True，且 ManufacturerVersion 显示类似 7.0.0.0，说明 vTPM 已正常工作，可支持 BitLocker、Windows Hello 等功能。