微软正着手强化 Windows 批量激活体系的安全性，计划为 Key Management Service（KMS）引入基于硬件的信任模型。该功能被命名为 KMS Hardware-Secured，将利用 Trusted Platform Module（TPM）硬件认证机制验证 KMS 主机的可信性，防止伪造或克隆的激活服务器被用于绕过授权控制。
TPM 硬件认证机制
KMS Hardware-Secured 要求 KMS 主机通过 TPM 生成加密证明，确认其运行在未被篡改的可信硬件上。微软将在验证该证明后，才允许服务器为组织内的 Windows 设备签发激活许可。TPM 作为专用硬件安全组件，可为平台完整性提供硬件级信任根，目前 Windows Hello、BitLocker、System Guard 等功能均依赖该技术。
分阶段实施计划
微软公布了明确的过渡时间表：2026 年 8 月起，Windows Server 2025 将引入准备状态提示功能，管理员可通过 slmgr /dlv 命令查看 KMS 主机是否满足新的硬件安全要求。符合要求的设备将显示”This device is eligible to serve as a KMS host with hardware-based security”，不符合者则提示未满足条件。
强制生效时间
TPM 认证将在下一代 Windows Server Long-Term Servicing Channel（LTSC）版本中成为强制要求。按微软产品周期推算，这意味着 Windows Server 2028 将默认启用 KMS Hardware-Secured。微软建议企业提前评估现有环境，虚拟化 KMS 主机的相关指引将在后续公布。
via Neowin