Verwendung des virtuellen Trusted Platform Module (TPM) in Parallels Desktop

Überblick

Das virtuelle Trusted Platform Module (TPM) ist eine kryptographische Komponente, die zu Windows 10 und neueren virtuellen Windows-Maschinen (VM) mit UEFI-BIOS hinzugefügt werden kann. Virtual TPM ist eine optionale Sicherheitsebene für virtuelle Maschinen und ermöglicht es Ihnen, Daten vor unbefugtem Zugriff zu schützen und zusätzliche Windows-Sicherheitsfunktionen zu nutzen.

Nach dem Hinzufügen eines virtuellen TPM-Chips zu einer VM erstellt Parallels Desktop eine verschlüsselte Datei innerhalb des Pakets der virtuellen Maschine, die als TPM-Speicher fungiert. Parallels Desktop verschlüsselt diese Datei mit dem Advanced Encryption Standard (AES) mit einer Schlüssellänge von 128Bits und legt das Passwort im Mac-System-Schlüsselbund ab, der wiederum ein verschlüsselter physischer Speicher ist, und nur Parallels Desktop (oder der Mac-Administrator) kann das TPM-Passwort aus dem Mac-Schlüsselbund lesen. 

Hinweis: Durch das Hinzufügen eines TPM-Chips wird in Ihrer VM automatisch Secure Boot aktiviert.

Verfügbarkeit von TPM in Parallels Desktop 

Ab Parallels Desktop 17 ist die Unterstützung für das virtuelle Trusted Platform Module (TPM) 2.0 für alle Parallels Desktop für Mac-Editionen verfügbar: Standard, Pro und Business. Darüber hinaus bietet Parallels Desktop 17 Unterstützung für ein virtuelles TPM auf Mac-Computern mit Apple M1-Prozessor.

In Parallels Desktop 15 und 16 für Intel-basierte Mac-Computer ist ein vTPM-Chip nur für die Pro und Business Editionen verfügbar. Alle Editionen von Parallels Desktop 16 unterstützen diese Funktion auf Mac-Computern mit Apple M1-Prozessoren ab Parallels Desktop 16.5.2.

Upgrade auf Windows 11 durchführen

Am 16. September 2021 hat Microsoft eine Änderung eingeführt, durch die die Systemanforderungen von Windows 11 für virtuelle Maschinen (VMs) an die Anforderungen angepasst werden, die für physische PCs gelten.

Für das Upgrade auf Windows 11 ist also ein virtueller TPM-Chip erforderlich.

---

Hinweis: Ab Parallels Desktop 17.1.0 wird ein virtueller TPM-Chip automatisch zu neuen virtuellen Windows 11-Maschinen hinzugefügt. 

---

TPM aktivieren

Bitte beachten: Es ist nicht empfehlenswert, eine virtuelle Maschine mit aktiviertem TPM zu verschieben, zu kopieren oder zu klonen. Halten Sie immer ein Backup der wichtigen Informationen bereit, insbesondere der Wiederherstellungsschlüssel. Wenn TPM aktiviert ist, kann die virtuelle Maschine nicht auf anderen Mac-Computern ausgeführt werden, und sie kann standardmäßig nicht auf einem anderen Computer gestartet werden, wenn sie kopiert oder verschoben wird. 

Hinweis: Wenn ein vTPM-Chip auf Ihrem Intel-basierten Mac nicht in der Liste der hinzuzufügenden Geräte angezeigt wird, wenn Sie auf Hardware + klicken, bedeutet dies, dass Ihre virtuelle Windows-Maschine auf einem veralteten BIOS basiert. Der TPM-Chip funktioniert nur mit UEFI/EFI BIOS. Um einen BIOS-Typ zu überprüfen, führen Sie die in Artikel KB 115815 aufgeführten Schritte aus.

1. Windows herunterfahren.

2. Öffnen Sie die Konfiguration der virtuellen Maschine > Hardware > klicken Sie auf + > wählen Sie TPM-Chip aus > und klicken Sie dann auf Hinzufügen

3. Starten Sie Windows. Windows erkennt den TPM-Chip automatisch. Sie können nun Windows-Funktionen und -Anwendungen verwenden, die TPM erfordern.

Hinweis: Es kann zu einer Verzögerung kommen, wenn das Upgrade auf Windows 11 nach dem Hinzufügen eines TPM-Chips verfügbar wird. Microsoft hat bekannt gegeben, „dass der Rollout-Plan für das Upgrade derzeit fertiggestellt wird. Er soll ab Ende 2021 umgesetzt und 2022 abgeschlossen werden. Der Zeitplan variiert je nach Gerät.“

Virtuelle Maschine mit TPM auf einen anderen Mac verschieben

VM mit TPM über iCloud verschieben (empfohlen)

Standardmäßig überträgt Parallels Desktop ab Parallels Desktop 17.1.0, wenn Sie dieselbe Apple ID verwenden und iCloud auf den Quell- und Ziel-Mac-Computern eingerichtet haben, automatisch die entsprechenden Datensätze der Keychain Access.app für Ihre VM über iCloud. Führen Sie folgende Schritte aus, um diese Option anzuwenden:

1. Vergewissern Sie sich, dass Sie auf beiden Mac-Computern die neueste Version von Parallels Desktop installiert haben.

2. Melden Sie sich bei iCloud auf dem Quell- und dem Ziel-Mac mit derselben Apple ID an und stellen Sie sicher, dass die Synchronisierung des Schlüsselbundes auf beiden Computern aktiviert ist.

3. Beide Macs müssen eine Verbindung zum Internet haben.

4. Suchen Sie die VM, die Sie verschieben möchten, und kopieren Sie sie auf den Ziel-Mac. Weitere Informationen finden Sie im Artikel KB 114118.

5. Doppelklicken Sie auf die kopierte VM auf dem Ziel-Mac, um sie zu starten.

Hinweis: Wenn Parallels Desktop ab Parallels Desktop 18 kein TPM-Passwort für den TPM-Speicher im Mac-Schlüsselbund findet, benennt es den migrierten Speicher automatisch als Backup um und erstellt einen neuen TPM-Speicher, verschlüsselt ihn mit einem neuen Passwort und erstellt einen neuen Schlüsselbund-Eintrag dafür.

VM mit TPM manuell verschieben

Hinweis: Es ist derzeit nicht möglich, eine VM mit TPM manuell in die Parallels Desktop App Store Edition zu verschieben.

1. Öffnen Sie Spotlight auf dem Quell-Mac und geben Sie „Keychain Access“ ein. Drücken Sie die Eingabetaste, um die Keychain Access.app zu öffnen.

2. Klicken Sie in der oberen Mac-Menüleiste auf Datei > Neuer Schlüsselbund ...> geben Sie dem neuen Schlüsselbund einen Namen und wählen Sie den Ordner, in dem er gespeichert werden soll, z. B. Desktop. Klicken Sie auf Erstellen.

3. Sobald Sie in einem neuen Fenster darum gebeten werden, geben Sie ein neues Passwort ein und bestätigen Sie dieses. Klicke auf OK.

4. Entsperren Sie sowohl das System als auch den erstellten benutzerdefinierten Schlüsselbund, indem Sie mit der rechten Maustaste auf den Schlüsselbund klicken und Schlüsselbund „name_des_schlüsselbunds“ entsperren wählen.

Hinweis: Beim Entsperren des System-Schlüsselbunds werden Sie aufgefordert, das Passwort Ihres Mac einzugeben. Geben Sie das Passwort ein. Geben Sie beim Entsperren des erstellten Schlüsselbundes das Passwort ein, das Sie für diesen Schlüsselbund festgelegt haben.

5. Wählen Sie in der Seitenleiste System. Geben Sie in das Suchfeld „TPM“ ein und suchen Sie die Datei mit der UUID Ihrer virtuellen Maschine.  

Hinweis: Die UUID der virtuellen Maschine kann mit Terminal (Finder > Anwendungen > Dienstprogramme > Terminal) gefunden werden. Öffnen Sie Terminal und führen Sie den nachstehenden Befehl aus:

Die Ausgabe des Befehls zeigt die Namen aller Ihrer virtuellen Maschinen und deren UUID.

6. Klicken Sie mit der rechten Maustaste auf den Eintrag mit der gleichen UUID und wählen Sie „Parallels.vTPM.{UUID_Ihrer_VM}“ kopieren 

 

7. Öffnen Sie den erstellten benutzerdefinierten Schlüsselbund, klicken Sie mit der rechten Maustaste auf das Feld auf der rechten Seite und wählen Sie die Option zum Einfügen des Elements.

8. Kopieren Sie die virtuelle Maschine auf den Ziel-Mac. Weitere Informationen finden Sie im Artikel KB 114118.

9. Kopieren Sie den erstellten benutzerdefinierten Schlüsselbund und übertragen Sie die Datei in den Benutzerordner des Ziel-Mac.

10. Doppelklicken Sie auf den übertragenen benutzerdefinierten Schlüsselbund, um ihn zu Keychain Access hinzuzufügen. 

11. Entsperren Sie den übertragenen benutzerdefinierten Schlüsselbund und geben Sie das Passwort ein, das Sie dafür festgelegt haben.

12. Führen Sie dasselbe für den System-Schlüsselbund durch. Geben Sie das Passwort des Ziel-Mac ein.

13. Kopieren Sie die Datei aus dem übertragenen benutzerdefinierten Schlüsselbund, indem Sie auf „Parallels.vTPM.{UUID_Ihrer_VM}“ kopieren rechtsklicken.

14. Öffnen Sie den System-Schlüsselbund, klicken Sie mit der rechten Maustaste auf das Feld auf der rechten Seite und wählen Sie die Option zum Einfügen des Elements aus. Keychain Access fordert Sie dann auf, das Passwort für den System-Schlüsselbund einzugeben. Geben Sie das Passwort für Ihren Mac ein und klicken Sie auf Schlüsselbundändern.

Hinweis: Wenn Sie die Fehlermeldung An error has occurred.Unable to add an item to the current keychain (Es ist ein Fehler aufgetreten. Ein Element kann nicht zum aktuellen Schlüsselbund hinzugefügt werden) erhalten, bedeutet das, dass Sie einen solchen Eintrag in Ihrem System-Schlüsselbund haben. Entfernen Sie in diesem Fall den bestehenden Eintrag aus dem System-Schlüsselbund und starten Sie Keychain Access.app neu. Versuchen Sie danach erneut, den Datensatz zum System-Schlüsselbund hinzuzufügen.

15. Starten Sie die virtuelle Maschine auf dem Ziel-Mac durch einen Doppelklick.

Problembehandlung

Der TPM-Chip steht nicht auf der Liste 

1) Parallels Desktop 16 unterstützt kein TPM auf Mac-Computern mit Apple M1-Prozessor. Führen Sie ein Upgrade auf Parallels Desktop 17 durch, um diese Funktion zu nutzen.

2) Parallels Desktop-Versionen, die älter als Parallels Desktop 17 sind, unterstützen in der Standard-Edition kein TPM auf Mac-Computern mit Intel-Prozessoren, nur in der Pro und Business Edition.

3) Wenn Sie auf Ihrem Mac mit einem Intel-Prozessor auf Hardware > + gehen,, jedoch kein TPM-Chip vorhanden ist, könnte dies daran liegen, dass Ihre virtuelle Windows-Maschine auf einem veralteten BIOS basiert. Der TPM-Chip funktioniert nur mit UEFI/EFI BIOS.

      0. Überprüfen Sie, ob Ihre virtuelle Maschine ein veraltetes BIOS hat, indem Sie die in Artikel KB 115815 angeführten Schritte befolgen.

1. Wenn Legacy eingestellt ist, erstellen Sie eine neue virtuelle Windows-Maschine.

2. Wenn beim Erstellen einer Maschine das Fenster Name und Standort angezeigt wird, aktivieren Sie Einstellungen vor der Installation anpassen.

3. Im automatisch geöffneten Konfigurationsfenster gehen Sie auf Hardware, klicken Sie + > wählen Sie TPM-Chip > Hinzufügen.

4. Schließen Sie das Konfigurationsfenster und fahren Sie mit der Windows-Installation fort.

4) Bitte beachten Sie, dass, wenn Sie Parallels Desktop so eingestellt haben, dass Windows von der BootCamp-Partition ausgeführt wird, Parallels Desktop das Hinzufügen eines TPM-Chips zu solchen virtuellen Maschinen nicht unterstützt, da dies zu einigen Problemen oder sogar zur Beschädigung der BootCamp-Partition führen könnte. Aus diesem Grund gibt es für solche virtuellen Maschinen keine Möglichkeit, einen TPM-Chip hinzuzufügen. Um Ihre virtuelle Maschine auf Windows 11 zu aktualisieren, importieren Sie Ihre virtuelle BootCamp-Maschine wie hier beschrieben.

Fehler PRL_ERR_TPM_SETUP_KEYCHAIN_FAILED nach dem Versuch, einen TPM-Chip hinzuzufügen 

Dieses Problem wurde in Parallels Desktop App Store Edition 1.7.1 behoben. Bitte stellen Sie sicher, dass Sie die neueste Version von Parallels Desktop App Store Edition installiert haben.

Windows 11 auf den Computern der Endbenutzer bereitstellen

Ab Parallels Desktop 18 können Sie Windows 11 auf den Computern der Endbenutzer bereitstellen. Bei der Migration einer Windows-VM auf eine neue Hardware erstellt Parallels Desktop automatisch einen neuen TPM-Speicher, verschlüsselt ihn mit einem neuen Kennwort und erstellt einen neuen Schlüsselbundeintrag dafür.

Als eine der verfügbaren Optionen können Sie in My Account die Funktion Provisioning a corporate VM image (Bereitstellung eines Unternehmens-VM-Image) verwenden.