Out of Band Management in Configuration Manager の帯域外管理の実装のシナリオ例
適用対象: System Center 2012 Configuration Manager,System Center 2012 Configuration Manager SP1,System Center 2012 Configuration Manager SP2,System Center 2012 R2 Configuration Manager,System Center 2012 R2 Configuration Manager SP1
[!メモ]
このトピックは次の場所に表示されます:「System Center 2012 Configuration Manager の資産とコンプライアンス」ガイドおよび「System Center 2012 Configuration Manager を使用したシナリオとソリューション」ガイド
このトピックの以下のセクションでは、次の 3 段階のアプローチを使用して System Center 2012 Configuration Manager で帯域外管理を実装するシナリオ例について説明します。
パイロット:プロビジョニング証明書に証明書サービス (内部 CA) を使用した、数台のコンピューターの実装およびテスト
展開:プロビジョニング証明書に外部 CA を使用した完全な展開
ワイヤレス サポートの追加:ワイヤレス ネットワークへの管理の拡張
次のシナリオの Trey Research では、起動に失敗したり応答を停止したコンピューター、定期メンテナンスのために電源投入が必要なコンピューター、または BIOS 設定の再構成が必要なコンピューターのトラブルシューティングを効率よく行うために、帯域外管理を使用することに関心を持っています。Trey Research では、Configuration Manager によってサポートされているバージョンの AMT を装備した Intel AMT 搭載コンピューターを使用していますが、独自の内部ルート証明機関 (CA) の証明書の拇印が含まれた、カスタマイズされたファームウェアは所有していません。
Trey Research では、単一の Configuration Manager プライマリ サイトを使用しており、すべての社内コンピューターが testnet.treyresearch.net ドメイン内に存在します。Trey Research には既に、Windows Server 2008 証明書サービスを使用する既存の公開キー基盤 (PKI) インフラストラクチャがあり、Windows Server 2008 Enterprise Edition で実行されるエンタープライズ証明機関も所有しています。
Adam は Configuration Manager の管理ユーザーで、3 段階のアプローチを使用して帯域外管理を実装するように指示されています。Adam はまず、数台のデスクトップ コンピューターを使用して、外部 CA からプロビジョニング証明書を購入せずに機能をテストします。テストが成功したら、AMT プロビジョニング証明書を購入して、すべての AMT 搭載デスクトップ コンピューターをプロビジョニングすることができます。最初の展開段階では、ワイヤレス ネットワークを使用するラップトップに帯域外管理を拡張するように指示されています。
パイロット:プロビジョニング証明書に証明書サービス (内部 CA) を使用した、数台のコンピューターの実装およびテスト
帯域外管理を実装してテストするパイロット段階では、Adam は次の表に示す一連のプロセスで作業を行います。
プロセス |
参照先 |
|---|---|
Adam は、帯域外管理の前提条件を確認し、帯域外サービス ポイントと登録ポイントをインストールするサイト システム サーバーを作成することを決定します。このコンピューターには、完全修飾ドメイン名 (FQDN) server15.testnet.treyresearch.net が指定されています。 また、既存の DHCP と DNS の構成が AMT の要件を満たしていることを確認します。 |
前提条件の詳細については、「Configuration Manager での帯域外管理の前提条件」を参照してください。 |
Active Directory サービス管理者と協力し、以下の Windows セキュリティ グループを作成します。
次に、公開された AMT 搭載コンピューター アカウント用に testnet.treyresearch.net ドメイン内に組織単位 (OU) を作成し、新しく作成したグループ ConfigMgr Primary Site Servers にこの OU に対するアクセス許可コンピューター オブジェクトの作成とコンピューター オブジェクトの削除を付与します。 |
グループと OU の作成方法については、Active Directory ドメイン サービスのドキュメントを参照してください。 |
次の結果に基づいて、PKI チームとともに作業を行います。
|
帯域外管理に必要な PKI 証明書を展開する方法については、次を参照してください。、 AMT 用の証明書の展開 セクション、 Configuration Manager PKI 証明書の展開手順の例:Windows Server 2008 証明機関 トピックです。 証明書の要件の詳細については、「Configuration Manager での PKI 証明書の要件」を参照してください。 |
最初のテストで使用する AMT 搭載デスクトップ コンピューターを準備するため、Adam は AMT のファームウェア構成が正しいことを確認し、次の手順を実行して内部ルート CA の証明書の拇印を追加します。
|
詳細については、Intel のドキュメントを参照してください。 |
次に、Configuration Manager のプライマリ サイトを構成し、次の変更を行います。
|
詳細については、「Configuration Manager でAMT ベースのコンピューターをプロビジョニングし、設定する方法」の以下のセクションを参照してください。 |
Adam は、Wake on LAN テクノロジを使用して、重要なソフトウェアの更新をコンピューターにインストールする必要があります。以前この機能を使用したことがありますが、サブネット向けのブロードキャストがリモート リンク経由で使用するネットワーク帯域幅が大きすぎることと、そのほとんどのネットワーク アダプターはユニキャスト送信で動作しないことに気付きました。 そのため、Wake on LAN を有効にし、既定のオプション [コンピューターが電源オン コマンドをサポートしている場合はこのコマンドを使用し、サポートしていない場合はウェイクアップ パケットを使用する] をそのまま使用することにします。 |
詳細については、次を参照してください。、 手順 6:スケジュールされたウェイクアップ アクティビティ用に電源オン コマンドを送信するためのサイト構成 手順、 Configuration Manager でAMT ベースのコンピューターをプロビジョニングし、設定する方法 トピックです。 |
Configuration Manager コンソールに [AMT のステータス] 列を追加し、最初のパイロットとして 5 台の AMT 搭載コンピューターのみが含まれる新しいコレクションを作成します。これらのコンピューターはテスト用にのみ使用され、サポートされている複数のバージョンの AMT を搭載しています。このコレクションを AMT プロビジョニング用に構成します。 |
詳細については、次を参照してください。、 手順 7:AMT ステータスの表示と AMT プロビジョニングの有効化 手順、 Configuration Manager でAMT ベースのコンピューターをプロビジョニングし、設定する方法 トピックです。 |
AMT のプロビジョニング プロセスを監視します。 |
詳細については、次を参照してください。、 手順 8:AMT プロビジョニングの監視 手順、 Configuration Manager でAMT ベースのコンピューターをプロビジョニングし、設定する方法 トピックです。 |
コンピューターが AMT 用に正常にプロビジョニングされたら、これらのコンピューターで帯域外管理のテストを開始できます。
帯域外管理を使用したシナリオ例については、「Configuration Manager の帯域外管理の使用のシナリオ例」を参照してください。
展開:プロビジョニング証明書に外部 CA を使用した完全な展開
最初のテストが完了すると、Adam はマネージャーから、帯域外管理をすべての AMT 搭載ワークステーション コンピューターに展開してもよいという確認を得ます。内部ルート CA 証明書の拇印を各 AMT 搭載 コンピューターに追加するという要件をなくすため、Adam は外部 CA からプロビジョニング証明書を購入し、添付の指示内容に従って server15 にインストールします。
次に、次の表に示す一連のプロセスで作業を行います。
プロセス |
参照先 |
|---|---|
帯域外管理の前提条件を再度確認し、さらに変更を行う必要がないかどうかを確認します。以下のことに気付きます。
|
詳細については、「Configuration Manager での帯域外管理の前提条件」をご覧ください。 |
帯域外サービス ポイントのプロパティを構成し、新しく購入した AMT プロビジョニング証明書を参照し、変更を保存します。 |
詳細については、次を参照してください。、 手順 4:AMT プロビジョニング用の登録ポイントと 帯域外サービス ポイントの構成 手順、 Configuration Manager でAMT ベースのコンピューターをプロビジョニングし、設定する方法 トピックです。 |
新しいコレクションを作成して、ワークステーション コンピューターの AMT プロビジョニングを徐々に展開します。4 週間かけて、これらのコレクションで AMT プロビジョニングを有効にし、進捗状況を監視します。 |
詳細については、次を参照してください。、 手順 7:AMT ステータスの表示と AMT プロビジョニングの有効化 手順、 Configuration Manager でAMT ベースのコンピューターをプロビジョニングし、設定する方法 トピックです。 |
この一連のプロセスの結果、すべての Intel AMT 搭載ワークステーション コンピューターが AMT 用にプロビジョニングされ、ヘルプ デスクが帯域外管理を実行できるようになりました。エンジニアがコンピューターにローカルでアクセスせずに済むようになったため、オペレーティング システムが機能していないコンピューターのトラブルシューティングと修復作業において、会社の総所有コストが大幅に削減されています。
ワイヤレス サポートの追加:ワイヤレス ネットワークへの管理の拡張
帯域外管理を使用するためのワークステーションの展開が成功し、現在、Trey Research では、このサポートをワイヤレス ネットワークを使用するラップトップ コンピューターに拡張することを考えています。同社のワイヤレス ネットワークでは、ネットワーク ポリシー サーバー (NPS) を実行し、認証にクライアント証明書を必要とする Windows Server 2008 ベースのサーバーを使用しています。
Adam は、次の表に示す一連のプロセスで作業を行います。
プロセス |
参照先 |
||
|---|---|---|---|
Adam は帯域外管理用のワイヤレス サポートの前提条件を調べ、ラップトップに搭載されているバージョンの AMT がワイヤレス プロファイルをサポートすることを確認します。ネットワーク ポリシー サーバーで必要となるワイヤレス構成設定は、WPA2 セキュリティ、AES 暗号化、および EAP-TLS 認証であることを確認します。 |
前提条件の詳細については、「Configuration Manager での帯域外管理の前提条件」を参照してください。 |
||
Adam は PKI チームと協力し、AMT 搭載コンピューターがネットワーク ポリシー サーバーでの認証に使用する追加の証明書テンプレートを作成します。 |
詳細については、クライアントの証明書テンプレートを作成するを参照してください「の作成と 802.1 X AMT ベース コンピュータ用のクライアント認証証明書を発行する」、 AMT 用の証明書の展開 のセクション、 Configuration Manager PKI 証明書の展開手順の例:Windows Server 2008 証明機関 トピックです。 証明書の要件の詳細については、「Configuration Manager での PKI 証明書の要件」を参照してください。 |
||
構成、 の帯域外管理コンポーネントのプロパティ:802.1 X とワイヤレス ] タブ。
|
詳細については、次の手順 26 ～ 39 を参照してください、 手順 5:帯域外管理コンポーネントの構成 セクション、 Configuration Manager でAMT ベースのコンピューターをプロビジョニングし、設定する方法 トピックです。 |
||
Adam は、AMT をサポートできる、ラップトップの新しいコレクションを作成します。[帯域外管理] タブで、[AMT 搭載コンピューターのプロビジョニングを有効にする] を選択します。 これらのラップトップのプロビジョニング ステータスを監視し、ログ ファイル Amtopmgr.log を使用して、これらの AMT 搭載コンピューターにワイヤレス プロファイルが正しく構成されていることを確認します。
|
AMT プロビジョニングの監視の詳細については、次を参照してください。、 手順 8:AMT プロビジョニングの監視 手順、 Configuration Manager でAMT ベースのコンピューターをプロビジョニングし、設定する方法 トピックです。 |
.jpeg "System_CAPS_tip")
ヒントこの一連のプロセスの結果、ラップトップについてもヘルプ デスクが帯域外管理を実行できるようになり、ラップトップ ユーザーから報告された問題を解決するのにかかる時間が短縮されています。