Cómo habilitar TPM 2.0 en KVM e instalar Windows 11

Microsoft anunció oficialmente la disponibilidad pública de Windows 11 el 5 de octubre de 2021. Esta versión de Windows viene con muchas características sorprendentes. Entre las características se encuentra la seguridad del sistema que permite que Windows 11 se ejecute solo en un dispositivo con un coprocesador de seguridad Trusted Platform Module 2.0. Esto plantea un error al instalar Windows 11 que requiere que habilites TPM.

¿Qué es el TPM?

TPM es una abreviatura de Módulo de plataforma segura. Esta es una tecnología que proporciona funciones de seguridad basadas en hardware en un sistema. El chip TPM es un criptoprocesador seguro que realiza operaciones criptográficas. Este chip consta de múltiples mecanismos de seguridad que lo hacen a prueba de manipulaciones. Por lo tanto, el software malicioso no puede interferir con sus funciones de seguridad. Las principales ventajas asociadas a la tecnología TPM son:

Permite generar, almacenar y limitar el uso de claves criptográficas.
Se puede utilizar para la autenticación de dispositivos de plataforma con la clave RSA única del TPM grabada en él.
Toma y almacena medidas de seguridad para ayudar a garantizar la integridad de la plataforma.

Principalmente, TPM se utiliza para mediciones de integridad del sistema y creación/uso de claves. Cuando se inicia el sistema, el código de inicio, incluido el firmware y los componentes del sistema operativo, se mide y registra en el TPM. Esto puede proporcionar estadísticas sobre cómo se inició un sistema y garantizar que la clave basada en TPM se haya utilizado correctamente.

Esta guía ilustra cómo habilitar TPM 2.0 en KVM e instalar Windows 11.

Antes de que empieces.

Esta guía requiere que usted tenga lo siguiente:

Archivo iso de Windows 11 obtenido de la página de descargas de Microsoft
KVM instalado y configurado.

Las guías siguientes se pueden utilizar para instalar y configurar KVM en su sistema:

Instalar el hipervisor KVM en Ubuntu
Cómo instalar el hipervisor KVM en Debian
Cómo instalar KVM en RHEL 8/CentOS 8
Instale KVM, QEMU y Virt Manager en Arch Linux/Manjaro

Una vez instalado, proceda como se indica a continuación.

Instalar los paquetes necesarios

Una vez que se haya instalado KVM, necesitará los siguientes paquetes para poder habilitar TPM 2.0. Dependiendo de su sistema, elija el comando apropiado:

En Debian/Ubuntu

Agregue el PPA para swtpm-tools.

sudo tee  /etc/apt/sources.list.d/swtpm-tools.list<<EOF
deb [trusted=yes] http://ppa.launchpad.net/stefanberger/swtpm-focal/ubuntu focal main
EOF

Reemplace “focal” con el nombre en clave de su versión de Ubuntu. Luego proceda e instale las herramientas necesarias con el comando:

sudo apt update -y && sudo apt -y install ovmf swtpm swtpm-tools virt-manager virt-viewer

En RHEL/CentOS/Rocky Linux/Alma Linux

sudo yum install epel-release -y
sudo yum install edk2-ovmf swtpm swtpm-tools virt-manager virt-install virt-viewer

Habilite TPM 2.0 e instale Windows 11 en KVM

Una vez que se hayan instalado las herramientas necesarias, puede instalar fácilmente Windows 11 en KVM con TPM 2.0 y arranque seguro habilitado.

Normalmente, existen dos formas de crear y ejecutar una VM en KVM. Estos incluyen:

Usando GUI
Usando la CLI

Para crear un puente de red para KVM, utilice la ayuda de las guías siguientes:

Cómo crear y configurar redes puente para KVM en Linux
Cómo crear un puente de red Linux en RHEL/CentOS 8
Cómo crear y usar Network Bridge en Arch Linux y Manjaro

Opción 1: utilizar la herramienta GUI del Administrador de máquinas virtuales

Puede utilizar Virtual Machine Manager para crear y administrar fácilmente máquinas virtuales en KVM. Inicie Virtual Machine Manager desde el menú de la aplicación.

Comience creando una nueva máquina virtual.

Se le pedirá que cargue el archivo ISO de Windows 11.

Busque y cargue el archivo ISO:

A continuación, configure la CPU y la memoria de la VM.

Cree un disco duro para la VM y establezca el tamaño del disco

En esta página, permita la personalización antes de la instalación marcando la casilla. También puede configurar la red VM. Para esta guía he utilizado una red puenteada.

En las ventanas de descripción general, seleccione agregar hardware.

Agregue TPM 2.0 y realice los ajustes como se muestra. Luego haga clic en Finalizar para aplicar los cambios.

También puede habilitar VNC agregando hardware como se muestra:

Una vez hecho esto, haga clic en finalizar y regrese a la ventana de descripción general.

Justo antes de comenzar la instalación, recuerda cambiar el Chipset y el Firmware. Aplique los cambios y comience la instalación.

Continúe con la instalación normal de Windows 11.

Seleccione la opción instalar Windows y continúe.

Opción 2: utilizar la herramienta CLI virt-install

Es más fácil ejecutar Windows 11 en KVM desde la CLI, todo lo que necesita es ejecutar el siguiente comando y pasar todas las variables requeridas:

En Debian/Ubuntu

sudo virt-install \
--name Windows11 \
--ram 4096 \
--disk path=/var/lib/libvirt/images/Windows_11.img,size=55 \
--vcpus=2 \
--os-variant=win10 \
--network bridge=virbr0 \
--cdrom /home/Win11_English_x64v1.iso \
--graphics vnc,listen=0.0.0.0,password=StrongPassw0rd \
--video virtio \
--features kvm_hidden=on,smm=on \
--tpm backend.type=emulator,backend.version=2.0,model=tpm-tis \
--boot loader=/usr/share/OVMF/OVMF_CODE.secboot.fd,loader_ro=yes,loader_type=pflash,nvram_template=/usr/share/OVMF/OVMF_VARS.ms.fd

En RHEL/CentOS/Rocky Linux/Alma Linux

sudo virt-install \
--name Windows11 \
--ram 4096 \
--disk path=/var/lib/libvirt/images/Windows_11.img,size=55 \
--vcpus=2 \
--os-variant=win10 \
--network bridge=virbr0 \
--cdrom /home/Win11_English_x64v1.iso \
--graphics vnc,listen=0.0.0.0,password=StrongPassw0rd \
--video virtio \
--features kvm_hidden=on,smm=on \
--tpm backend.type=emulator,backend.version=2.0,model=tpm-tis \
--boot loader=/usr/share/edk2/ovmf/OVMF_CODE.secboot.fd,loader_ro=yes,loader_type=pflash,nvram_template=/usr/share/edk2/ovmf/OVMF_VARS.secboot.fd

Recuerde editar las variables cuando sea necesario. Es posible que necesite editar las CPU, el tamaño del disco (tamaño recomendado superior a 52 GB), la memoria, el puente de red, etc. Proporcione la contraseña establecida para el VNC y continúe con la instalación.