[原创] SCCM OOB简单实验（5）MEBx设置
| 本帖最后由 xmuxsp 于 2010-4-27 12:21 编辑 由于做不到定制主板固件，所以想要让我的Dell计算机能顺利被OOB服务器接管，我还需要进行一些设置。 1、开机后按Ctrl+P，进入MEBx设置 注：如果是第一次使用，默认密码是admin，然后会提示修改密码，密码必须符合复杂性要求，而且是大写小写数字标点同时符合，而不是域账号那样只要符合3种 2、进入界面后，第一页里有三个选项
ME Configuration的默认设置即可，如果不放心可以进去看看，将各个功能打开即可 AMT Configuration是主要设置的地方 3、进入Intel AMT Configuration，转入下一层菜单 4、因为受限于环境，有些原本自动设置的东西要手动进行 Hostname：设置主机名称 TCP/IP:设置IP地址获取方式，可以选择DHCP或者手动，注意Domain name设置 Provision Model:Provison模式，可以选择是SMB或者Enterprise，如果你不清楚两者区别可以参考之前的文章 Setup and Configuration:配置AMT相关设置，包括CA指纹 Un-Provision:重置AMT状态 剩下几个保持默认 5、TCP/IP设置 我推荐使用DHCP是因为，AMT的IP地址是可以和Windows的IP不同的，DHCP则可以保持他们的一致。 那不同IP会有什么后果呢？虽然AMT的IP并不会造成网络上IP冲突，但SCCM OOB在进行接管时依赖的是SCCM数据库中的IP记录，而这个IP记录的是操作系统的，而不是OOB的。一旦IP不同，OOB配置服务器就会连接到错误的IP，直接导致无法接管客户端 6、Setup and Configuration Current Provisioning Mode :显示当前Provision模式 Provisioning Record ：显示当前Provision状态 Provisioning Server IP ：配置服务器IP地址，这里可以填入OOB服务器地址192.168.16.28，默认端口9971 Provisioning Server FQDN:配置服务器域名，这里可以填入sccm.contoso.com (这里大致说一下，IP和FQDN其实可以不填，那客户端又怎么判断oob配置服务器的地址呢？AMT默认认为配置服务器的机器名是ProvisionServer，只要DNS有这个A记录AMT就能找到相应机器，具体请看微软文档http://technet.microsoft.com/zh-cn/library/cc161768.aspx） TLS PSK：TLS加密方式吧一种吧，具体不是很清楚，好象是用在老版本上的，本次实验用的是下面的PKI模式，这条就没有用上 TLS PKI：另一种加密方式，需要配置 7、TLS PKI Manage Certificate Hashes：管理CA的指纹，默认情况下会内置一些知名商业CA的证书，在这里需要加入你的企业CA的指纹 按下insert键，输入名称后再输入指纹即可，记住用“-”隔开 Set PKI DNS Suffix：输入你的证书的DNS后缀，这里是Contoso.com。 为什么要输入DNS后缀？这是因为商业CA的指纹是通用的，dns的后缀作为一种补充认证，只有符合dns后缀的pki才是可信的。 |
Unsupported Browser
Your current browser is not supported by Intel.com. For the best experience while visiting Intel.com, we encourage you to upgrade to a newer browser version.Internet Explorer* Mozilla FireFox* Chrome* Safari*
共 1,108 篇文章
共 5,772 篇文章及评论
- Association for Computing Machinery TechNews (ACM)
- Go Parallel! (Dr. Dobbs)
- HPCwire (Tabor Communications, Inc.)
- insideHPC (John West)
- Joe Duffy's Weblog (Microsoft)
- Microsoft Parallel Programming Development Center (Microsoft Germany)
- MultiCoreInfo.com
- scalability.org (Scalable Informatics)
- Software Dev Blog (Intel Germany)
- Soft Talk Blog (Intel United Kingdom)
- The Moth (Microsoft)
MEBX中的Password Policy
作者： 李铎锋--Duofeng Li (Intel) (84 篇文章) 日期： 四月 13, 2010 在 10:12 上午
近来，被客户问到了好几次关于Intel® AMT本机BIOS – MEBX（Management Engine BIOS Extension） 菜单中关于“Password Policy”的问题，稍微查了一下资料和做了一些实验，现将经验在这里分享一下。
下图就是AMT 6.x的机器MEBX菜单中的“Password Policy”的设置，有三个设置选项：①Default Password Policy；②During Setup and Configuration；③Anytime。那不同的设置代表的是什么意思呢？下文将会做进一步的解释，希望各位看官能看得明白。
在完全理解“Password Policy”菜单选项之前，需要知道对于Intel® AMT固件来说，一般是有两个密码的：MEBX密码和网络密码；MEBX密码是我们在按下ctrl + p后，弹出的登录框需要输入的密码，也就是MEBX本地访问的钥匙；网络密码是我们通过SOAP或WS-Man远程通过TCP网络连接访问时，默认admin用户的密码。在早期的Intel® AMT版本中（大概是AMT 2.2之前，以及包括AMT 2.5版本），由于这两个密码是同步的，也就是一直是一致的，所以使用时候没有感觉出来有什么区别；但是后来的版本这两个密码只会在默认“admin”密码被修改时同步一次，以后不管对两个密码中的哪个进行了修改，另外一个并不会完全自动进行同步（可能是出于安全的考虑，防止用知道的网络访问密码本地进入MEBX将AMT重置），也就是说MEBX密码和网络密码将会是不同的。
“Password Policy”就是用来决定什么时候允许用户通过网络接口来修改MEBX的密码，下面具体来说一下三个设置分别对应的意思：
设置一（Default Password Only）：如果默认密码还没有被修改，此时MEBX密码允许通过网络接口修改；一般是允许发生在远程配置AMT的过程中，但是限制了前提条件是默认的密码admin还没有被修改，比如PKI配置模式。
设置二（During Setup and Configuration）：MEBX密码只允许在远程配置AMT的过程中被改变，在配置完成以后，MEBX密码就不能通过网络接口来改变了；这个适合于所有的PKI和PSK配置模式。
设置三（Anytime）：允许在任何时候通过网络接口来修改MEBX的密码。
如何通过网络接口来修改MEBX密码呢？参考Intel® AMT的相关接口文档，以SOAP接口为例，可以找到SecurityAdministration接口下面有个函数名为SetMebxPassword的函数可以做这件事，如下图所示。
WS-Man接口中，AMT_SetupAndConfigurationService里面的SetMebxPassword（password）方法可以做同样的事情。
笔者测试了在“Password Policy”设置成“Anytime”时，通过远程接口来修改MEBX的密码，是成功的，结果如下图：
如果是不允许修改，则会出现下面图的结果：
另外，还有一种情况下网络访问密码会与MEBX密码同步，那就是当AMT被Full UnProvision的时候，AMT的默认用户被重置为admin的同时，admin的密码也被改为和当时的MEBX密码一致。
分类： 可管理性
标签：AMT, password policy, setmebxpassword
如需了解英特尔软件产品相关的性能和优化选项，请参阅优化注意事项.菜单选项
主机名可分配至具有 Intel AMT 功能的计算机。这是已启用 Intel AMT 的计算机的主机名。如果 Intel AMT 设置为 DHCP，则主机名必须与操作系统机器名相同。
TCP/IP
使您可以更改 Intel AMT 的以下 TCP/IP 配置。
- Network interface（网络接口）— ENABLE**（启用**）/ DISABLED（禁用）
如果禁用网络接口，则不再需要所有的 TCP/IP 设置。 - “DHCP Mode”（DHCP 模式）— ENABLE**（启用**）/ DISABLED（禁用）
如果禁用 DHCP 模式，则由 DHCP 服务器配置 TCP/IP 设置。
如果禁用 DHCP 模式，则 Intel AMT 需要以下静态 TCP/IP 设置。如果计算机处于静态模式，则需要单独的用于 Intel Management Engine 的 MAC 地址。这一额外的 MAC 地址通常称为可管理性 MAC (MNGMAC) 地址。如果没有单独的可管理性 MAC 地址，计算机无法设置为静态模式。
- IP address（IP 地址）— Intel Management Engine 的 Internet 地址。
- Subnet mask（子网掩码）— 子网掩码用于确定子网 IP 地址所属的子网。
- Default Gateway address（默认网关地址）— Intel Management Engine 的默认网关。
- Preferred DNS address（首选 DNS 地址）— 首选域名服务器地址。
- Alternate DNS address（备用 DNS 地址）— 备用域名服务器地址。
- Domain name（域名）— Intel Management Engine 的域名。
Provisioning Server（预配服务器）
为 Intel AMT 预配服务器设置 IP 地址和端口号 (0–65535)。此配置仅在企业预配模式下显示。
Provision Model（预配模式）
提供了以下预配模式：
- Compatibility Mode（兼容性模式） — Intel AMT 2.6**/Intel AMT 1.0
兼容性模式使用户可以在 Intel AMT 2.6 和 Intel AMT 1.0 之间切换。 - Provisioning Mode（预配模式）— Enterprise** / Small Business（企业**/小型企业）
这使您可以在小型企业和企业模式之间进行选择。企业模式可能具有与小型企业模式不同的安全保护设置。由于安全保护设置不同，每种模式需要不同的过程来完成设置和配置进程。
Set PID and PPS（设置 PID 和 PPS）
如果设置和配置的状态为“进行中”，设置或删除 PID/PPS 将导致部分取消预配。
- Set PID and PPS（设置 PID 和 PPS）— 设置 PID 和 PPS。以带破折号的格式输入 PID 和 PPS。（例如，PID：1234-ABCD；PPS：1234-ABCD-1234-ABCD-1234-ABCD-1234-ABCD）注意：“0000-0000-0000-0000-0000-0000-0000-0000”这样的 PPS 值不会更改设置配置状态。如果已使用该值，则设置和配置状态将保持“未启动”。
Un-Provision（取消预配）
Un-Provision（取消预配）选项使您可以将 Intel AMT 配置重设为出厂默认设置。以下是三种类型的取消预配：
- Partial Un-provision（部分取消预配）— 此选项会将所有的 Intel AMT 设置都重设为其默认值，但 PID/PPS 除外。MEBx 密码保持不变。
- Full Un-provision（完全取消预配）— 此选项会将所有的 Intel AMT 设置都重设为其默认值。如果存在 PID/PPS 值，则两个值都会丢失。MEBx 密码保持不变。
- CMOS clear（CMOS 清除）— 这一取消预配选项在 MEBx 中不可用。此选项会将所有值均清除为其默认值。如果存在 PID/PPS，则两个值都会丢失。MEBx 密码将重设为默认值 (admin)。要调用此选项，您需要清除 CMOS 上的内容（例如系统板跳线）。
SOL/IDE-R
- Username and Password（用户名和密码）— DISABLED**（禁用**）/ ENABLED（启用）
此选项提供用于 SOL/IDER 会话的用户鉴别。如果使用 Kerberos 协议，则请将此选项设置为 Disabled（禁用），并通过 Kerberos 设置用户鉴别。如果未使用 Kerberos，则您可以选择在 SOL/IDER 会话中启用还是禁用用户鉴别。 - Serial-Over-LAN (SOL)（LAN 上串行 [SOL]）— DISABLED**（禁用**）/ ENABLED（启用）
通过 SOL，可以将 Intel AMT 管理的客户端控制台输入/输出重定向至管理服务器控制台。 - IDE Redirection (IDE-R)（IDE 重定向 [IDE-R]）— DISABLED**（禁用**）/ ENABLED（启用）
通过 IDE-R，Intel AMT 管理的客户端可以在管理控制台上通过远程磁盘映像进行引导。
Secure Firmware Update（安全固件更新）
此选项使您可以启用/禁用安全固件更新。安全固件更新需要管理员用户名和密码。如果没有提供管理员用户名和密码，则无法更新固件。
安全固件更新功能启用后，您可以使用安全方法更新固件。安全固件更新通过 LMS 驱动程序。
Set PRTC（设置 PRTC）
以格林尼治标准时间（通用协调时间）格式 (YYYY:MM:DD:HH:MM:SS) 输入 PRTC。有效的数据范围为 2004 年 1 月 1 日 - 2021 年 4 月 1 日。设置 PRTC 值用于在断电 (G3) 状态下事实上保留 PRTC。此配置仅在企业预配模式中显示。
Idle Timeout（空闲超时）
使用此设置定义 ME WoL 空闲超时。此计时器过期后，ME 将进入低功耗状态。只有在选择了其中一个 ME WoL 电源策略后，此时间超时才会生效。请以分钟的形式输入该值。
DHCP 模式下 Intel AMT 的设置示例
下表显示了 Intel AMT Configuration（Intel AMT 配置）菜单页面的基本字段设置的一个示例，以便在 DHCP 模式下配置计算机。
| DHCP 模式下的 Intel AMT 配置示例 | |
|---|---|
| Intel AMT 配置参数 | 值 |
| Intel AMT Configuration（Intel AMT 配置） | 选择并按 |
| Host Name（主机名） | 示例：IntelAMT 与操作系统机器名相同。 |
| TCP/IP | 请按以下步骤设置参数：
|
| Provision Model（预配模式） |
|
| SOL/IDE-R |
|
| Remote FW Update（远程固件更新） | 启用 |
保存并退出 MEBx，然后将计算机引导至 Microsoft® Windows® 操作系统。
静态模式下 Intel AMT 的设置示例
下表显示了 Intel AMT Configuration（Intel AMT 配置）菜单页面的基本字段设置的一个示例，以便在静态模式下配置计算机。计算机需要两个 MAC 地址（GBE MAC 地址和可管理性 MAC 地址），以便在静态模式下进行操作。如果没有可管理性 MAC 地址，则无法在静态模式下设置 Intel AMT。
| 静态模式下的 Intel AMT 配置示例 | |
|---|---|
| Intel AMT 配置参数 | 值 |
| Intel AMT Configuration（Intel AMT 配置） | 选择并按 |
| Host Name（主机名） | 示例：IntelAMT |
| TCP/IP | 请按以下步骤设置参数：
|
| Provision Model（预配模式） |
|
| SOL/IDE-R |
|
| Remote FW Update（远程固件更新） | 启用 |
保存并退出 MEBx，然后将计算机引导至 Microsoft® Windows® 操作系统。
MEBx 默认设置
下表列出了 Intel® Management Engine BIOS Extension (MEBx) 的所有默认设置。
| Password（密码） | admin |
Intel ME 平台配置默认设置默认设置
| Intel ME Platform State Control（Intel ME 平台状态控制）1 | Enabled（启用）* Disabled（禁用） |
| Intel ME Firmware Local Update（Intel ME 固件本地更新） | Enabled（启用） Disabled（禁用）* |
| Intel ME Features Control（Intel ME 功能控制） | |
| Manageability Feature Selection（可管理性功能选择） | None（无） Intel AMT* ASF |
| Manageability Feature Selection（Intel ME 电源控制） | |
| Intel ME ON in Host Sleep States（在主机睡眠状态中启用 Intel ME） | Mobile: ON in S0*（移动：在 S0* 中启用） Mobile: ON in S0, S3/AC（移动：在 S0、S3/AC 中启用） Mobile: ON in S0, S3/AC, S4-5/AC（移动：在 S0、S3/AC、S4-5/AC 中启用） Mobile: ON in S0;ME WoL in S3/AC（移动：在 S0 中启用；在 S3/AC 中为 ME WoL） Mobile: ON in S0; ME WoL in S3/AC, S4-5/AC（移动：在 S0 中启用；在 S3/AC 和 S4-5/AC 中为 ME WoL） |
Intel AMT 配置默认设置
| Host Name（主机名） | |
| TCP/IP | |
| Disable Network Interface?（是否禁用网络接口？） | N（否） |
| DHCP Enabled. Disable?（已启用 DHCP。是否禁用？） | N（否） |
| Domain Name（域名） | 黑屏2 |
| Provisioning Server（预配服务器） | |
| 预配服务器地址 | 0.0.0.0 |
| 端口号 (0-65535) | 0 |
| Provision Model（预配模式） | |
| AMT 2.6 模式 | N（否） |
| Set PID and PPS（设置 PID 和 PPS）** | |
| 设置 PID 和 PPS ** | PPS 格式：1234-ABCD-1234-ABCD-1234-ABCD-1234-ABCD |
| Un-Provision（取消预配）3 | |
| SOL/IDE-R | |
| 用户名和密码 | Disabled（禁用） Enabled（启用）* |
| LAN 上串行 | Disabled（禁用） Enabled（启用）* |
| IDE 重定向 | Disabled（禁用） Enabled（启用）* |
| Secure Firmware Update（安全固件更新） | Disabled（禁用） Enabled（启用）* |
| Set PRTC（设置 PRTC） | 黑屏 |
| Idle Timeout（空闲超时） | |
| 超时值 (0x0-0xFFFF) | 1 |
*默认设置
**可能导致 Intel AMT 部分取消预配1 Intel ME Platform State Control（Intel ME 平台状态控制）仅在排除 Management Engine (ME) 故障时进行更改。2 在企业模式下，DHCP 将自动载入域名。3 只有在该框已预配后才能查看取消预配设置。