Для включения функций Intel vPro на устройствах, оборудованных средствами Intel vPro, необходимо выполнить настройку этих устройств при их первой установке и включении питания. Этот процесс включает несколько оценок защиты, позволяющих гарантировать доступ к функциям управления Intel vPro только для авторизованных пользователей.
Устройства Intel vPro взаимодействуют в сети с сервером комплексной обработки. Этот сервер комплексной обработки принимает в сети сообщения от устройств Intel vPro и позволяет ИТ-специалистам управлять серверами через внеполосные коммуникации независимо от состояния операционной системы устройства. Главный сервер работает в качестве сервера комплексной обработки для устройств Intel vPro и включает функции, которые помогают осуществлять идентификацию устройств во время их установки. После этого можно начать управление устройствами с установленными дополнительными агентами управления или без них.
В этом разделе представлен процесс, рекомендуемый для настройки новых устройств Intel vPro. Во время этого процесса будет использоваться Management Suite для создания набора идентификаторов комплексной обработки (PID и PPS). Эти идентификаторы вводятся в настройки BIOS устройства, что позволяет гарантировать безопасное подключение к серверу комплексной обработки во время начального процесса комплексной обработки. В версии 2.0 и более поздних имеются функции конфигурирования устройств "одним нажатием".
При использовании версий 2.2/2.6 и более поздних можно также настраивать устройства с использованием функции удаленной конфигурации (также называется комплексной обработкой без участия пользователя). Этот процесс не требует передачи идентификаторов PID/PPS, а начинается автоматически после получения сервером комплексной обработки (главным сервером) пакета приветствия от устройства или после развертывания агента управления LANDesk на устройстве Intel vPro. Для использования удаленной конфигурации на главном сервере необходимо установить сертификат настройки клиента Intel Client Setup, полученный от надежного поставщика сертификатов.
Для устройств с Intel vPro версии 3.0 и более поздних возможно использование конфигурации "только оборудование" или удаленной конфигурации без агента.
Устройства с функцией Intel AMT версии 1.0 используют похожий процесс, но без идентификатора PID и ключа PPS. Для получения подробной информации см. раздел Поиск устройств Intel AMT 1.0 .
ПРИМЕЧАНИЕ: Обратите внимание, что в настоящем разделе приведено общее описание процесса конфигурирования Intel vPro. Однако средства Intel vPro реализуются различными производителями по-разному, поэтому могут существовать различия в таких функциях, как доступ к экранам Intel AMT или ME BIOS, сброс устройства и его перевод в заводской режим (отмена комплексной обработки), а также в способе ввода пар идентификатор PID/ключ PPS. Перед началом процесса конфигурирования изучите документацию и сопутствующую информацию, поставляемую вместе с устройством.
В этом разделе приведена следующая информация:
В этом разделе описан процесс упрощенной комплексной обработки устройств Intel vPro версии 2.0 и более поздних.
Когда получено устройство Intel vPro, ИТ-специалист собирает компьютер и включает его. После включения устройства технический специалист выполняет вход в экран конфигурации BIOS Intel ME (Management Engine) и меняет пароль по умолчанию (admin) на более надежный пароль. Это открывает доступ к экрану конфигурации Intel AMT Configuration Screen.
На экране конфигурации вводится следующая предварительная информация для комплексной обработки Intel AMT:
Ключ PPS используется совместно сервером комплексной обработки и управляемым устройством, но в целях безопасности не может быть передан по сети. Он должен быть введен вручную на устройстве (на экране конфигурации Intel AMT Configuration Screen). Пары "идентификатор PID/ключ PPS" генерируются приложением Management Suite и хранятся в базе данных. Пользователь может распечатать список сгенерированных пар идентификаторов для использования в процессе комплексной обработки или экспортировать их в файл ключей с помощью устройства USB.
ИТ-специалист должен ввести IP-адрес главного сервера Management Suite в качестве сервера комплексной обработки и указать порт 9971. Иначе по умолчанию устройство Intel vPro будет отправлять общие широковещательные сообщения, которые могут быть получены сервером конфигурации только через порт 9971.
Имя пользователя и пароль по умолчанию для доступа к экрану конфигурации Intel AMT - "admin" и "admin". Имя пользователя остается неизменным, но пароль нужно заменить в процессе аутентификации на более надежный. Новый пароль вводится в диалоговом окне общей конфигурации Intel vPro, как описано ниже. После конфигурирования каждого из устройств можно изменить пароль отдельно для каждого устройства, но в целях безопасности комплексной обработки нужно использовать пароль, указанный в диалоговом окне общей конфигурации.
После того как указанная ранее информация введена на экране конфигурации Intel AMT, устройство во время первого подключения к сети отправляет сообщения приветствия, пытаясь взаимодействовать с сервером комплексной обработки. Если сервер комплексной обработки получит эти сообщения, то после установления сервером соединения с устройством начинается процесс комплексной обработки.
После того как главный сервер получает сообщения приветствия и сверяет их с ключом PID, он выполняет комплексную обработку устройства Intel vPro в режиме TLS. Режим TLS (Transport Layer Security) устанавливает защищенный коммуникационный канал между главным и управляемым сервером для процесса комплексной обработки. Этот процесс включает создание записи в базе данных с идентификатором устройства UUID и шифрованными идентификационными данными. После того как данные устройства занесены в базу данных, устройство появляется в списке неуправляемых устройств.
После выполнения главным сервером комплексной обработки устройства Intel vPro им можно управлять только с использованием функции Intel vPro. Для этого можно выбрать устройство из списка неуправляемых устройств и добавить в список управляемых устройств. Можно также развернуть на устройстве агенты управления для использования дополнительных функций управления.
Ниже приведен рекомендуемый процесс комплексной обработки устройств Intel vPro. Особые инструкции для элементов 1 и 2 приводятся в следующих процедурах. Если необходимо выполнить комплексную обработку устройств с использованием файла ключей на устройстве USB, то описанные ниже действия с 3 по 5 заменяются действиями, описанными в разделе Импорт и экспорт файлов ключей с использованием устройства USB.
Этот новый пароль необходимо ввести перед созданием набора идентификаторов комплексной обработки.
Ключи комплексной обработки хранятся в базе данных для дальнейшего использования при комплексной обработке других устройств Intel vPro. После выполнения комплексной обработки устройств и использования ключей комплексной обработки отображается страница Генерация идентификаторов Intel vPro (Generate Intel vPro IDs), на которой использованные идентификаторы показаны с затенением, что упрощает контроль их использования.
Префикс идентификатора PID добавляется для удобства определения идентификаторов, но его использование необязательно. Рекомендуется использовать от 0 до 4 символов; максимальная длина префикса — 7 символов.
Необходимо указать имя для идентификации набора ключей аутентификации. Это должно быть описательное имя, которое указывает на принадлежность идентификаторов к устройствам. Например, можно сгенерировать наборы для каждого подразделения внутри компании и назвать их: "Производство", "Маркетинг", "Финансы" и т. д. Если вы в дальнейшем хотите просмотреть сгенерированные идентификаторы, введите имя набора и нажмите Просмотр идентификаторов набора (View batch IDs) для просмотра идентификаторов только из этого набора.
Если будет введен идентификатор PID, не соответствующий ключу PPS (например, ключ PPS сопоставлен не с тем идентификатором PID), в журнале предупреждений появится сообщение об ошибке, а процесс комплексной обработки данного устройства будет прекращен. Необходимо перезапустить устройство и ввести правильную пару идентификатора и ключа PPS на экране конфигурации Intel AMT.
Если при вводе идентификатора PID или ключа PPS на экране конфигурации Intel AMT отображается сообщение об ошибке, значит ввод выполнен неверно. Для обеспечения правильности ввода идентификатора PID и ключа PPS проводится проверка контрольной суммы.
Пользователь может создавать идентификаторы комплексной обработки и экспортировать их в файл ключей для использования при комплексной обработке устройств Intel vPro с применением устройства USB. Экспортированные идентификаторы сохраняются в файле setup.bin, который можно скопировать на устройство USB. Используя устройство USB, пользователь может автоматически заполнить поля PID/PPS в настройках BIOS устройства Intel AMT, если необходимо осуществить комплексную обработку новых устройств Intel vPro перед их обнаружением и управлением ими.
Если производитель устройства предоставил вам набор идентификаторов комплексной обработки для приобретенных устройств Intel vPro, то можно импортировать эти идентификаторы в базу данных главного сервера, что позволит главному серверу распознать эти устройства в качестве устройств Intel vPro и автоматически их обнаружить.
Ниже приведено описание этих двух процессов.
Management Suite генерирует идентификаторы комплексной обработки (пары идентификатор PID/ ключ PPS), которые используются для комплексной обработки новых устройств Intel vPro. Можно напечатать список сгенерированных идентификаторов и ввести их вручную при комплексной обработке каждого устройства. Кроме того, можно экспортировать идентификаторы в файл ключей setup.bin, сохранить этот файл на устройстве USB, а затем использовать это устройство USB для комплексной обработки устройств. Это снижает количество ошибок при комплексной обработке, поскольку пользователю не нужно вводить идентификаторы для каждого устройства вручную.
Для нормального выполнения этого процесса необходимо использовать устройство USB с форматом FAT-16.
Создается файл setup.bin, имеющий специальный формат файла ключей, разработанный компанией Intel. При осуществлении комплексной обработки нового устройства Intel vPro пользователь подключает к нему устройство USB и выполняет перезагрузку. Во время перезагрузки пара идентификаторов комплексной обработки (PID и PPS) из файла setup.bin записывается в BIOS Intel AMT устройства. При передаче устройством сообщения приветствия в сеть главный сервер распознает его и сможет безопасно взаимодействовать с этим устройством, поскольку идентификаторы комплексной обработки найдены в базе данных главного сервера.
ПРИМЕЧАНИЕ: Создаваемые идентификаторы отображаются на странице Генерация идентификаторов Intel vPro (Generate Intel vPro IDs) вместе с другими созданными ранее идентификаторами. Идентификаторы в списке будут отображаться с затенением, что означает невозможность их использования для комплексной обработки других устройств.
После загрузки устройства выполняется обращение к файлу setup.bin и получение доступной пары идентификаторов комплексной обработки (PID и PPS), которые будут использоваться в процессе комплексной обработки. Использованная пара идентификаторов комплексной обработки помечается, поэтому ее нельзя будет использовать для другого устройства. Следующее устройство, которое проходит комплексную обработку, получает следующую доступную пару идентификаторов.
Обратите внимание, что для правильной работы этого процесса необходимо оставить без изменения заданные по умолчанию имя пользователя и пароль для доступа к Intel AMT BIOS (обычно это сочетание "admin/admin"). На устройстве не должны быть введены идентификаторы комплексной обработки.
Если производитель устройства предоставил вам набор идентификаторов комплексной обработки для приобретенных устройств Intel vPro, то можно импортировать эти идентификаторы в базу данных главного сервера, что позволит главному серверу распознать эти устройства в качестве устройств Intel vPro и автоматически их обнаружить. Эти идентификаторы комплексной обработки поставляются производителем в файле ключей setup.bin в комплекте с приобретаемым устройством.
Чтобы импортировать идентификаторы в базу данных главного сервера, определите местоположение предоставленного производителем файла setup.bin (он может находиться на компакт-диске или DVD-диске, и пользователь может скопировать этот файл на любое устройство). Если сохранить идентификаторы в базе данных, то при запуске устройств Intel vPro и передаче ими в сеть сообщений приветствия главный сервер сможет распознать эти устройства и обнаружить их.
Выполняется добавление идентификаторов комплексной обработки в базу данных главного сервера и их отображение на странице Генерация идентификаторов Intel vPro (Generate Intel vPro IDs).
Поскольку устройства Intel vPro состоят из двух компонентов, каждому из которых назначается IP-адрес (микросхема Intel vPro и операционная система устройства), в списке обнаруженных устройств могут потенциально присутствовать две записи для одного устройства Intel vPro. Это происходит только в том случае, если пользователь использует статический IP-адрес вместо службы DHCP.
Для использования статических IP-адресов с устройствами Intel vPro необходимо настроить микропрограмму устройства Intel vPro на использование ее собственного MAC-адреса. (Для получения инструкций по повторной установке микропрограммы и ее правильной настройке обратитесь к представителю компании Intel.)
После выполнения настройки MAC-адрес, IP-адрес и имя узла устройства Intel vPro будут отличаться от аналогичных параметров операционной системы устройства. Для правильного управления устройствами Intel vPro необходимо использовать следующие настройки для DHCP и статических IP-адресов:
Если комплексная обработка машины Intel vPro 2.x осуществляется в корпоративном режиме, то единственная возможность связи с ней — это передача пакета приветствия "hello" на сервер настройки и конфигурирования. При управлении машиной с помощью программного обеспечения LANDesk функции Intel vPro могут работать на этой машине как обычные операции. Что пользователю не следует делать, так это пытаться обнаружить и управлять IP-адресом операционной системы, так как в этом случае у него будет две записи, представляющие один и тот же компьютер. Поскольку единственным общим идентификатором между двумя устройствами является GUID AMT, а его нельзя найти дистанционно, то две записи невозможно объединить.
Если необходимо установить агенты LANDesk, нельзя выполнить их принудительную отправку, поскольку единственным IP-адресом в базе данных является IP-адрес Intel vPro, а утилите принудительной отправки необходим адрес операционной системы. Вместо этого рассылку агента (с управляемого устройства Intel vPro) необходимо выполнить путем назначения устройства в каталог LDLOGON на главном сервере и запуска программы ServerConfig.exe.
Перед тем как выполнить извлечение агентов, рекомендуется изменить настройку утилиты службы конфигурации.
Если после изменения этой настройки результаты сканирования инвентаризации управляемого устройства Intel vPro импортируются в базу данных, служба инвентаризации сопоставляет Intel AMT GUID устройства, который уже присутствует в базе данных, с информацией операционной системы в файле сканирования.
В этом разделе описан процесс удаленной настройки устройств с Intel vPro 2.2/2.6 и более поздними версиями.
Удаленная конфигурация позволяет настраивать устройство, имеющее заводские параметры, во время установки, а затем добавлять профиль Intel AMT, чтобы подготовить устройство к внеполосному управлению. При первом включении устройства и его подключении к сети оно начинает передавать сообщения приветствия на сервер настройки и конфигурации (при управлении устройствами посредством продуктов LANDesk в роли сервера настройки и конфигурации выступает главный сервер). При запуске сервера настройки и конфигурации он устанавливает безопасное соединение с устройством Intel vPro и начинает процесс настройки.
После успешного завершения этого процесса устройство добавляется в список обнаруженных устройств, и им можно управлять с главного сервера. При использовании только функций Intel vPro доступны не все функции управления. Для использования полного набора функций управления необходимо развернуть агента управления.
Для удаленной конфигурации необходимо выполнить два условия:
Если устройство Intel vPro включено, но не получает ответ от сервера настройки и конфигурации в течение определенного периода времени (обычно от 6 до 12 часов, в зависимости от заданных производителем настроек), оно прекращает передачу пакетов приветствия и ждет. В это время функция Intel vPro на устройстве не работает.
Для выполнения комплексной обработки устройства в этом состоянии можно установить на нем стандартный агент управления LANDesk. Когда агент обнаруживает на устройстве средства Intel vPro, он активизирует на нем функцию Intel vPro и передает вызов на веб-службу главного сервера для получения пакета приветствия. Затем с главного сервера начинается процесс комплексной обработки.
Устройства Intel vPro 3.0 и более поздних версий поддерживают удаленную конфигурацию типа "только оборудование" (без агента). При правильной настройке сервера настройки и конфигурации и записи DNS, а также при установке на главном сервере нужного сертификата процесс конфигурирования выполняется без использования агентов.
ПРИМЕЧАНИЕ: Если устройство Intel vPro включено, но не начинает передачу сообщений приветствия, как это описано выше, то на этом устройстве, возможно, не включена конфигурация дистанционного управления. Это зависит от того, установил ли производитель режим управляемости "AMT", включив тем самым на устройстве функцию удаленной конфигурации. Если это так, то пользователь может развернуть на устройстве агента управления LANDesk, что позволит активизировать функцию Intel vPro и начать комплексную обработку устройства, как описано в приведенном выше разделе "Отложенная комплексная обработка".
На каждом сервере настройки и конфигурации необходим сертификат настройки клиента Intel. Сертификат действителен для одного пространства имен в одном домене, поэтому, если главный сервер используется в нескольких пространствах имен внутри домена, то необходимо приобрести отдельный сертификат для каждого пространства имен.
Приобретать сертификат следует у надежного поставщика сертификатов. Сертификат должен быть классом поддержки. Ниже приведены поставщики сертификатов для продуктов LANDesk на следующих устройствах.
ПРИМЕЧАНИЕ: Перед покупкой сертификата проверьте документацию поставщика, а также информацию о том, какие сертификаты поддерживаются вашим устройством.
| Класс поставщика/сертификата | Устройства Intel | Устройства Acer | Устройства Lenovo |
|---|---|---|---|
| Go Daddy класс 2 CA | X | X | X |
| VeriSign класс 3 Primary CA-G3 | X | X | X |
| VeriSign класс 3 Primary CA-G1 | X | X | X |
| Comodo AAA CA | X | X | |
| Starfield класс 2 CA | X |
При покупке сертификата необходимо предоставить файл CSR (certificate signing request — запрос на подпись сертификата). Этот файл генерируется для вашего продукта LANDesk вместе с файлом закрытого ключа. После получения от поставщика файлов сертификата необходимо сохранить файл закрытого ключа в каталоге, где находятся файл общего открытого ключа и полученный от поставщика файл сертификата. Ниже приведено описание этой процедуры.
AMTProvMgr2.exe -domainName name.domain.com -country
[2-буквенный код страны] -state [название штата] -city [название
города] -organization [название организации]trusted_cert.pem.corecacert.pem.corecakey.pem (создан в описанном выше действии 2) в
папку LDMAIN\amtprov\certStore\cert_1. Можно сохранить до восьми
сертификатов во вложенных папках с именами cert_1, cert_2 и
т. д.После запуска программы поиска устройств выполняется обнаружение устройств Intel AMT версии 1.0 и добавление их в папку Intel vPro списка неуправляемых устройств. Устройства распознаются в качестве устройств Intel AMT, если они были сконфигурированы с использованием защищенного пароля, заменившего настройки по умолчанию, которые были установлены производителем устройства.
При добавлении защищенного пароля на экране конфигурации Intel AMT пользователь может также ввести IP-адрес сервера комплексной обработки и указать номер порта 9971, как это выполняется для устройств Intel vPro 2.x. Однако для комплексной обработки устройств Intel AMT 1.0 не используется пара - идентификатор и ключ PPS. Если был указан IP-адрес комплексной обработки, главный сервер будет работать в качестве сервера комплексной обработки, и вы сможете управлять устройствами без установленных агентов управления.
Обратите внимание, что устройства Intel AMT версии 1.0 не используют тот же уровень защиты, что и устройства vPro версии 2.x. Компания Intel рекомендует выполнять настройки устройств версии 1 в изолированной, защищенной сети. После конфигурации их можно переместить для управления в менее защищенную сеть.