Windows 11：微软的新TPM规定不会影响您的电脑

自上周末以来，有报道称微软终于要对盗版Windows 11的安装采取遏制措施。这一传闻源于7月22日发布在Windows IT Pro博客上的一篇文章。该文讨论了TPM（主板上的安全芯片）以及Windows激活问题。 然而，该博文的实际内容与头条新闻的报道有所不同。

KMS的真实含义

企业并非通过微软逐台电脑进行Windows激活，而是运行自己的内部服务器——即密钥管理服务（Key Management Service，简称KMS）。 网络中的每台电脑都会向该服务器发送查询并获取激活许可。这种方式虽然省时省力，但存在一个漏洞。此前，KMS主机仅通过软件配置进行身份识别，而该配置可以被复制。

据微软称，当前正是这种情况。攻击者会在企业网络内搭建伪造或克隆的KMS服务器，冒充正版服务器，为无人付费的设备授予许可证。这给企业带来了许可和合规问题。

微软对此采取的措施

新功能名为“KMS 硬件安全验证”（KMS Hardware-Secured），要求 KMS 主机提供 TPM 认证。可信平台模块（TPM）是主板上的一个芯片，能够通过加密方式验证硬件的身份，并确认其未被篡改。 服务器在获准发放许可证之前，必须证明两点：其硬件身份（由微软验证）以及该平台自那时起未发生任何变更。如果未能通过其中任何一项检查，该服务器将无法再激活任何设备。

时间表及当前适用情况

上述规定目前均尚未生效。从 2026 年 8 月起，Windows Server 2025 将仅显示通知，说明主机是否已准备就绪。这些通知可通过命令 `slmgr /dlv` 以及“事件查看器”中的“应用程序和服务日志”下的“密钥管理服务”进行查看。 其中一条消息表示该设备作为具备基于硬件的安全性的 KMS 主机是合适的；另一条则表示其不符合要求。

TPM 认证将在通过长期服务通道 (LTSC) 发布的下一个 Windows Server 版本中才成为强制要求。微软尚未明确该日期。在此之前，现有的 KMS 安装将照常运行。 若要检查您的硬件是否兼容，可在 PowerShell 中以管理员权限执行命令 `Get-TpmSupportedFeature -FeatureList "Key Attestation"`。如果服务器返回“Key Attestation”，则表示该功能可用。

为什么您的计算机与此事无关

这也正是相关报道出现偏差的关键所在。KMS 硬件安全验证检查的是服务器，而非客户端。您眼前的电脑上不会发生任何变化。 任何出于个人用途运行 Windows 的用户都不会注意到这一变化，无论其许可证类型如何。

这一误解源于第二个原因。微软曾宣布将在 2025 年底停用一种名为 KMS38 的激活方法，这导致人们预期下一次变更将随之而来。 然而，KMS38 与 KMS 服务器或 TPM 毫无关系。该方法利用了一个 Windows 升级支持文件来模拟一个遥远的过期日期。微软此前已从其官方支持文档中删除了绕过 TPM 检查的操作指南，因此这一问题并非新鲜事。

即使是名称中实际包含“KMS”的解决方法也未受影响。该方法不会联系真实的KMS主机，而是用户在自己的计算机上启动一个虚假服务器，该服务器仅负责批准请求。其中没有任何组件能够执行TPM检查。况且，目前广泛使用的方法本就基于完全不同的原理。

在升级老旧电脑时，TPM 在 Windows 11 中并非总是像听起来那样强制要求这一事实，早已显而易见。

谁现在真的需要采取行动

系统管理员会受到影响，但其中也仅限于拥有自有 KMS 主机的管理员。对于物理服务器，微软要求设备必须在 Windows Server Catalog 中通过认证，并且已安装并启用了 TPM。目前对虚拟 KMS 主机尚无相关要求。 微软计划在后续博文中提供这些详细信息，因此目前尚未公布针对此场景的具体规则。