FDE + TPM2 - Cannot enroll authentication

Hallo,

ich bin gerade dabei auf einem PC opensuse Tumbleweed zu installieren. bekomme aber beim abschluss der Installation folgende Fehlermeldung angezeigt:

YaST2

Fehler

Cannot enroll authentication:

Command '[[l"/usr/bin/sdbootutil", "enroll", "--method=tpm2", "--devices=/dev/nvme0n1p1“]]‘.

Error output: genrsa: Can't open "/var/lib/sdbootutil/measure-pcr-private.pem"

for writing, No such file or directory

bzw für die swap Partition der fehler nochmal.

Als Installationsmedium habe ich einen stick aus folgender iso erstellt: openSUSE-Tumbleweed-NET-x86_64-Snapshot20260126-Media.iso

Bei der Installation hab ich folgende Punkte ausgewählt:

• Desktop mit KDE Plasma
• Partitionierung
  • Geführtes Setup
  • /dev/nvme0n1
  • Löschen sofern erforderlich
  • Festplattenverschlüsselung aktivieren
    • Passwort gesetzt
    • Authentifizierung TPM2
  • Dateisystem BTRFS

In der Übersicht steht anschließend wie partitioniert werden soll inkl in dem Abschnitt Authentifizierung für verschlüsselte Geräte TPM2 und jeweils / und die swap Partition.

Beim System handelt es sich um ein Lenovo Thinkstation mit Intel Core i7-8700K, 16GB ram, 1TB nvme

TPM2 und secureboot sind aktiv.

Vorher war auf einem anderen Datenträger Windows11 installiert, der jedoch ausgetauscht wurde.

Die Firmware ist aktuell

Hab ich mir schon gedacht, dass es zusammenhängt, aber wie lässt sich das Problem lösen, außer das System unverschlüsselt zu lassen? Die Option wird im Installer angeboten und ich möchte es gerne nutzen.

das script usr/bin/sdbootutil existiert. Die Datei /var/lib/sdbootutil/measure-pcr-private.pem jedoch nicht. Hätte ich im installer noch händisch etwas aktivieren müssen?

sorry, ich seh grad, dass es hierzu schon einen bugreport gibt:

1256775 – yast reports "Cannot enroll authentication" during fresh install of tumbleweed

Hi,

danke bis hierher, besomders für den Tipp des Bugreports. Ich halte den Bugreport mal im Auge.Ich habe gerade mit

sdbootutil enroll --method tpm2

das ganze versucht nochmal auszurollen, erhalte aber nach der Anzeige des recovery-pins folgende Meldung:

NVIndex policy created

TPM2 device supports SHA256 PCR bank but none of the selected PCRs are valid! Firmware apparently did not init

ialize any of the selected PCRs. Proceeding anyway with SHA256 bank. PCR policy effectively unenforced!

New TPM2 token enrolled as key slot 1.

TPM2 device supports SHA256 PCR bank but none of the selected PCRs are valid! Firmware apparently did not init

ialize any of the selected PCRs. Proceeding anyway with SHA256 bank. PCR policy effectively unenforced!

New TPM2 token enrolled as key slot 1.

Ist es vielleicht doch etwas allgemeines in meiner HW-Config?