Förutsättningar för out-of-Band-hantering i Configuration Manager

Microsoft enterprise certifikatutfärdare (CA) med mallar för att distribuera och hantera certifikat som krävs för out-of-band-hantering.

Certifikatutfärdaren måste automatiskt godkänna certifikat begäranden från AMT-dator konton som Configuration Manager skapas i Active Directory Domain Services under AMT etablering pågår.

Om du vill återkalla certifikat för AMT måste Certifikatutfärdaren konfigureras med behörighet att utfärda och hantera certifikat för den server där registreringen återställningspunkt platsroll system är installerad.

Viktigt
AMT stöder inte certifikat med en nyckellängd som är större än 2 048 bitar.

Out-of-band-servicepunkten och varje stationär eller bärbar dator som hanteras out-of-band måste ha specifika PKI-certifikat som hanteras oberoende från Configuration Manager.

Mer information om certifikatkraven finns i PKI-certifikatkrav för Configuration Manager.

Stegvisa anvisningar finns i Distribuera certifikaten för AMT.

Datorkontot för registrering punkt platssystemservern måste ha DCOM behörighet att återkalla certifikat för AMT-certifikat från Certifikatutfärdaren.Kontrollera att den här platsen system-datorn är medlem i säkerhetsgruppen certifikatet tjänsten DCOM-anslutning (för Windows Server 2008) eller CERTSVC_DCOM_ACCESS (för Windows Server 2003 SP1 och senare) i den domän där Certifikatutfärdaren finns.

En Active Directory-behållare och en universell säkerhetsgrupp:

• Active Directory-behållare måste konfigureras med rätt behörighet för den domän där AMT-baserade datorer finns.Om webbplatsen hanterar AMT-baserade datorer från flera domäner, användas samma behållarens namn och sökväg för alla domäner.

• En universell säkerhetsgrupp som innehåller dator konton för AMT-baserade datorer.

Information
Du behöver inte utöka Active Directory-schemat för out-of-band-hantering.

Vid allokering processen AMT Configuration Manager skapar konton i Active Directory-behållare eller organisationsenhet (Organisationsenhet) och lägger till kontona som universal säkerhetsgruppen.

Plats-serverdatorn måste följande behörigheter:

• För den Organisationsenhet som ska användas vid AMT etablering pågår: Tillåt Skapa alla underordnade objekt och Ta bort alla underordnade objekt och gäller för endast det här objektet.

• För universal säkerhetsgruppen som används vid AMT etablering pågår: Tillåt läsa och skriva, och gäller för endast det här objektet.

Webbplats system roll beroenden för datorer som kör registreringsplatsen och out-of-band-servicepunkten platssystemroller.

Se stycket i avsnittet ..c1e93ef9-761f-4f60-8372-df9bf5009be0#BKMK_SiteSystemRolePrereqs

MSXML 6.0 krävs på datorer som kör out-of-band-konsolen.

Förutsättningar för installationen layout för Configuration Manager innehåller kontroll för Microsoft MSXML 6.0.

Datorer som hanteras out-of-band måste tillhöra samma Active Directory-skog som platssystemservrarna som kör out-of-band-servicepunkten och registreringsplatsen.

Dessutom måste datorer ha samma namnområde; icke-sammanhängande namnområden stöds inte.

I följande scenarion identifiera datorer som inte stöds för out-of-band-hantering.AMT bör inaktiveras på de här datorerna:

• Datorer i arbetsgrupper.

• Datorer som finns i en annan Active Directory-skog från datorer som kör out-of-band-tjänsten peka platssystem och registreringsplatsen.

• Datorer som finns i samma Active Directory-skog som platssystemservrarna som kör out-of-band service servicepunkten och registreringsplatsen men inte har samma namnområde (självständigt namnområde).

  Till exempel går inte att etablera en AMT-baserad dator med FQDN för computer1.northwindtraders.com av out-of-band service återställningspunkt platssystemet med FQDN för contoso.com, även om de hör till samma Active Directory-skogen.

• Datorer som finns i samma Active Directory-skog som out-of-band-servicepunkten system för platsserver men har ett icke sammanhängande namnområde, till exempel en AMT-baserad dator som har ett DNS-namn på computer1.corp.fabrikam.com och finns i Active Directory-domänen med namnet na.corp.fabrikam.com.

IPv4.

IPv6 stöds inte.Out-of-band använder management endast IPv4.

Stöd för infrastrukturen för 802.1 X autentiserad kabelanslutna nätverk och trådlösa nätverk:

• Stöd för autentiserad kabelanslutna 802.1 X: Klienten verifieringsalternativ EAP-TLS eller EAP-TTL-värden/MSCHAPv2 PEAPv0/EAP-MSCHAPv2.

• Stöd för trådlös: WPA och WPA2 säkerhet, AES eller TKIP kryptering klienten verifieringsalternativ EAP-TLS eller EAP-TTL-värden/MSCHAPv2 PEAPv0/EAP-MSCHAPv2.

Information
Om du använder klienten autentiseringsmetoder EAP-TLS eller EAP-TTL-värden/MSCHAPv2 med ett klientcertifikat RADIUS-lösning stöder autentisering med hjälp av följande format: domain\computer_account.

Om du vill hantera AMT-baserade datorer out-of-band på 802.1 X autentiserad kabelanslutna nätverket eller en trådlös anslutning, måste du ha en stöder infrastruktur för dessa miljöer.Dessa nätverk kan konfigureras med hjälp av en Microsoft RADIUS-lösning, till exempel nätverksprincipservern på Windows Server 2008.Andra RADIUS-lösningar kan användas om de är 802.1 X-kompatibel och support konfigurationsalternativen som anges för autentiserad kabelanslutna 802.1 X support och trådlösa support.

Mer information om Nätverksprincipserverns på Windows Server 2008, se Nätverksprincipserverns.

Mer information om andra RADIUS-lösningar finns i Intel vPro Expert Center: Microsoft vPro hantering.

Den primära platsen måste köras System Center 2012 Configuration Manager och har installerat out-of-band-servicepunkten och registreringsplatsen.

Out-of-band-servicepunkten måste i samma Active Directory-skog som platsservern och du kan installera endast en out-of-band-servicepunkt i varje primär plats.

Steg 4: Konfigurera Registreringsplatsen och Out-of-Band-servicepunkten för AMT-etablering. 

Om du vill konfigurera out-of-band-hantering, måste du ha följande behörigheter:

• Site: Läsa och ändra

• Mobil enhet registreringen profil: Läsa, skapa, ändra, Läs webbplats, och hantera certifikat för distributionen av operativsystemet

Den fullständiga administratören innehåller följande behörigheter för rollen.

Om du vill hantera datorer out-of-band måste du ha följande säkerhetsbehörigheter för samlingar som innehåller datorerna:

• Etablera AMT: Denna behörighet kan du hantera AMT-datorer från Configuration Manager-konsolen som innehåller identifiering av status för styrenheter för AMT, etablering datorer för AMT- och granska åtgärder för att aktivera och använda inställningar för granskningslogg, inaktivera granskning och rensa händelseloggen.

• Styr AMT: Denna behörighet kan du visa och hantera datorer med hjälp av out-of-band-hanteringskonsol och initiera power kontroll åtgärder i Configuration Manager-konsolen.Den fjärrverktyg roll innehåller den kontroll AMT behörighet.

• Läsa och ändra inställningen för insamling av att aktivera AMT-etablering för samlingen.

• Tillhandahållande AMT, läsa, och läsa resurs att ta bort Etableringsinformation och uppdatera AMT styrenheter.

Mer information om hur du konfigurerar behörigheter finns Konfigurera rollbaserad administration.