上传EK证书至TPM NVRAM时tpm2_nvdefine属性不一致报错排查

执行tpm2_nvdefine返回0x2C2 inconsistent attributes错误由三个问题共同导致：

1. 索引0x01c00002是TCG规范定义的RSA EK证书标准预留索引，所有权归属Platform层级，使用-C o（Owner层级）授权创建不符合权限要求
2. 属性集合存在互斥项：platformcreate标记要求NV空间必须由Platform授权创建，与Owner层级创建操作冲突；written是TPM在NV空间完成首次写入后自动置位的内部标记，手动定义时传入该属性会直接触发校验失败
3. 属性参数未加引号包裹，shell将属性间的|解析为进程管道符，实际传入TPM的属性集合不完整，进一步触发属性不一致报错

所有命令需使用root权限执行，操作前先进入root用户会话或在每条命令前加sudo。

• 清理残留配置

# 清空TPM transient对象上下文
tpm2_flushcontext -t
# 删除之前错误创建的同索引NV空间，提示不存在可直接忽略
tpm2_nvundefine 0x01c00002 -C p

• 创建符合规范的持久化RSA EK

# EK持久化到TCG标准索引0x81010001，同时导出公钥文件
tpm2_createek -G rsa -c 0x81010001 -u ek.pub

• 拉取对应EK的平台证书

tpm2_getekcertificate -X -o ECcert.bin -u ek.pub https://ekop.intel.com/ekcertservice/
# 校验证书有效性，正常执行会输出X.509证书详情
openssl x509 -inform DER -in ECcert.bin -text -noout

• 正确定义EK证书NV索引

# 使用Platform层级授权，属性集合去掉互斥项，整体加双引号避免shell解析管道符
tpm2_nvdefine 0x01c00002 -C p -s 1033 -a "ppwrite|writedefine|write_stclear|ppread|ownerread|authread|no_da|platformcreate"

• 写入EK证书并校验

# 将证书写入NV空间
tpm2_nvwrite 0x01c00002 -C p -i ECcert.bin
# 读取NV空间内容校验，能正常输出证书详情即写入成功
tpm2_nvread 0x01c00002 -C o -f d | openssl x509 -inform DER -text -noout

完成上述操作后，依赖TPM EK证书做硬件证明的应用即可从标准NV索引读取到合法EK证书。

如果使用的硬件证明应用支持自定义EK证书加载路径，无需强制将证书写入TPM NVRAM，可直接将拉取到的EK证书转换为PEM格式存入系统证书目录，供应用直接读取加载。该方案可避免TPM重置时NVRAM数据丢失，稳定性更高：

# 证书格式转PEM
openssl x509 -inform DER -in ECcert.bin -outform PEM -out tpm_ek_cert.pem
# 导入系统可信证书存储
sudo cp tpm_ek_cert.pem /usr/local/share/ca-certificates/
sudo update-ca-certificates

内容的提问来源于stack exchange，提问作者Genie