Segurança e privacidade para gerenciamento fora de banda no Configuration Manager

Controle a solicitação e a instalação do certificado de provisionamento.

Solicite o certificado de provisionamento diretamente do servidor de provisionamento usando o contexto de segurança do computador para que o certificado seja instalado diretamente no armazenamento do computador local.Se você deve solicitar o certificado de outro computador, você precisa exportar a chave privada e, em seguida, usar controles de segurança adicionais quando você transferir e importe o certificado para um repositório de certificados.

Use um modelo de certificado dedicado para provisionar computadores AMT.

Se você usar uma versão Enterprise do Windows Server para sua autoridade de certificação, crie um novo modelo de certificado duplicando o modelo de certificado de servidor Web padrão, certifique-se de que apenas o grupo de segurança que você especificar na saída das propriedades do componente de gerenciamento de banda tem permissões de leitura e registro, e não adiciona recursos adicionais para o padrão de autenticação do servidor.

Um modelo de certificado dedicado permite gerenciar e controlar o acesso para ajudar a impedir a elevação de privilégios.Se você tiver uma versão padrão do Windows Server para a autoridade de certificação corporativa, é possível criar um modelo de certificado duplicado.Nesse cenário, ler e registrar as permissões para o grupo de segurança que você especificar na saída das propriedades do componente de gerenciamento de banda e remover qualquer permissão que você não precisa.

Desabilite AMT no firmware, se o computador não tiver suporte para gerenciamento fora da banda.

Mesmo quando baseados em AMT computadores têm uma versão compatível do AMT, existem alguns cenários que não oferece suporte a gerenciamento fora da banda.Esses cenários incluem computadores do grupo de trabalho, computadores que têm um namespace diferente e computadores que têm um namespace separado.

Para garantir que esses computadores AMT não são publicadas nos serviços de domínio Active Directory e não tem um certificado PKI solicitado para eles, desabilite AMT no firmware.Provisionamento AMT em Gerenciador de Configurações cria as credenciais de domínio para as contas publicadas no Active Directory Domain Services, que corre o risco de elevação de privilégios quando os computadores não fazem parte da sua floresta do Active Directory.

Permitir que as contas de computador do servidor de site permissão de gravação para a unidade Organizacional, o grupo computadores do domínio e o grupo de convidados do domínio em cada domínio que contenha computadores AMT.

Além de permitir que o servidor do site contas de computador criar todos os objetos filho e Excluir todos os objetos filho permissões para a UO e aplique a apenas este objeto, conceda as seguintes permissões para o servidor do site contas de computador:

• Para a UO: Gravar todas as propriedades permissão e aplicar a esse objeto e todos os descendentes.

• Para o grupo de computadores do domínio: Gravar todas as propriedades permissão e aplicar a apenas este objeto.

• Para o grupo de convidados do domínio: Gravar todas as propriedades permissões e aplicar a apenas este objeto.

Recuperar e armazenar arquivos de imagem com segurança ao inicializar a partir de mídia alternativos para usar a função de redirecionamento de IDE.

Quando você inicializar a partir de mídia alternativos para usar a função de redirecionamento de IDE, sempre que possível, armazene os arquivos de imagem localmente no computador que executa o fora de banda do console de gerenciamento.Se você precisar armazená-los na rede, certifique-se de que conexões para recuperar os arquivos pela rede usar assinatura SMB para ajudar a impedir que os arquivos sejam violados durante a transferência de rede.Em ambos os cenários, proteger os arquivos armazenados para ajudar a evitar acesso não autorizado, por exemplo, usando permissões NTFS e o sistema de arquivos criptografados.

Minimize o número de contas de descoberta e provisionamento AMT.

Embora você possa especificar vários provisionamento AMT e contas de descoberta para que Gerenciador de Configurações pode descobrir computadores que possuem controladores de gerenciamento AMT e provisioná-los para o gerenciamento fora da banda, não especificar contas que não são necessárias no momento e exclua as contas que não são mais necessárias.Especifique apenas as contas que você precisa para ajudar a garantir que essas contas não são concedidas mais permissões do que exigem e reduzir o processamento e o tráfego de rede desnecessário.Para obter mais informações sobre o provisionamento AMT e conta de descoberta, consulte Etapa 5: Configurando a saída do componente de gerenciamento de banda.

Use um modelo único certificado para certificados de autenticação de cliente sempre que for prático.

Embora você possa especificar modelos de certificado diferente para cada um dos perfis sem fio, use um único modelo de certificado a menos que você tenha um requisito comercial para diferentes configurações a serem usadas para diferentes redes sem fio, especifique apenas o recurso de autenticação de cliente e dedicar este modelo de certificado para uso com Gerenciador de Configurações gerenciamento fora da banda.Por exemplo, se uma rede sem fio necessário um maior tamanho de chave ou o período de validade menor que outro, você precisaria criar um modelo de certificado separado.Um modelo de certificado único permite que você controle o seu uso mais fácil e protege contra elevação de privilégios.

Use o princípio de menos privilégios e administração baseada em funções para conceder permissões a usuários administrativos para gerenciar computadores AMT fora da banda.

Use o operador de ferramentas remoto a função de segurança para conceder aos usuários administrativos a permissão de controlar AMT, que permite exibir e gerenciar computadores usando o fora de banda do console de gerenciamento, e iniciar ações de controle de energia do Gerenciador de Configurações console.

Para obter mais informações sobre as permissões de segurança que você pode precisar para gerenciar computadores AMT, consulte "Dependências do Configuration Manager" em Pré-requisitos para gerenciamento fora de banda no Configuration Manager.