Pré-requisitos para gerenciamento fora de banda no Configuration Manager

Uma Microsoft autoridade de certificação (CA) com modelos de certificado para implantar e gerenciar os certificados necessários para gerenciamento fora da banda.

A autoridade de certificação emissora deve aprovar automaticamente as solicitações do computador AMT contas de certificado Gerenciador de Configurações cria nos serviços de domínio do Active Directory durante o processo de provisionamento AMT.

Para revogar certificados AMT, a CA de emissão deve ser configurada com a permissão emitir e gerenciar certificados para o servidor em que a função de sistema de site de ponto de registro está instalada.

Importante
AMT não oferece suporte a certificados de autoridade de certificação com um comprimento de chave maior do que 2048 bits.

A saída do ponto de serviço de banda e cada computador desktop ou laptop gerenciado fora da banda deve ter certificados PKI específicos que são gerenciados de forma independente do Configuration Manager.

Para obter mais informações sobre os requisitos de certificado, consulte Requisitos de certificado PKI para o Configuration Manager.

Para obter instruções passo a passo, consulte Implantando os certificados para AMT.

A conta de computador do servidor de sistema de site do ponto de registro deve ter permissões DCOM para revogar certificados AMT da autoridade de certificação emissora.Certifique-se de que esse computador do sistema de site é um membro do grupo de segurança acesso DCOM a serviços (para Windows Server 2008) ou CERTSVC_DCOM_ACCESS (para Windows Server 2003 SP1 e posterior) no domínio onde reside a autoridade de certificação emissora.

Um contêiner do Active Directory e um grupo de segurança universal:

• O contêiner do Active Directory deve ser configurado com as permissões de segurança corretas para o domínio no qual residem os computadores AMT.Se o site gerencia computadores AMT de vários domínios, o mesmo nome de contêiner e o caminho devem ser usados para todos os domínios.

• Um grupo de segurança universal que contém o computador contas para os computadores AMT.

Observação
Não é necessário estender o esquema do Active Directory para gerenciamento fora da banda.

Durante o processo de provisionamento AMT, o Configuration Manager cria contas de computador neste contêiner do Active Directory ou a unidade organizacional (UO) e adiciona as contas ao grupo de segurança universal.

O computador do servidor de site requer as seguintes permissões:

• Para a UO que é usada durante o processo de provisionamento AMT: Permitir criar todos os objetos filho e Excluir todos os objetos filho e aplicar a apenas este objeto.

• Para o grupo de segurança universal que é usado durante o processo de provisionamento AMT: Permitir leitura e gravar, e se aplicam a apenas este objeto.

Funções de sistema de site do ponto de dependências de função de sistema de site para os computadores que executarão o ponto de registro e a serviço fora da banda.

Consulte a seção no tópico .No text is shown for link 'c1e93ef9-761f-4f60-8372-df9bf5009be0'. The title of the linked topic might be empty.c1e93ef9-761f-4f60-8372-df9bf5009be0#BKMK_SiteSystemRolePrereqs

O MSXML 6.0 é necessária em computadores que executam o fora de banda do console de gerenciamento.

Verificador de pré-requisitos de instalação para Gerenciador de Configurações inclui a verificação para o Microsoft MSXML 6.0.

Computadores a serem gerenciados fora da banda devem pertencer à mesma floresta do Active Directory que os servidores de sistema de site que executam fora do ponto de serviço de banda e o ponto de registro.

Além disso, os computadores devem compartilhar o mesmo namespace; Não há suporte para namespaces separados.

Os cenários a seguir identificam os computadores que não têm suporte para gerenciamento fora da banda.AMT deve ser desabilitado nesses computadores:

• Computadores de grupo de trabalho.

• Computadores que residem em uma floresta do Active Directory diferente dos computadores que executam a serviço fora da banda ponto de função de sistema de site e o ponto de registro.

• Computadores que residem na mesma floresta do Active Directory, como os servidores de sistema de site que executam fora da banda ponto e o ponto de registro de serviço, mas não compartilham o mesmo namespace (namespace não contíguo).

  Por exemplo, um computador baseado em AMT com o FQDN do computer1.northwindtraders.com não pode ser provisionado pela fora do sistema de site do ponto de serviço de banda com o FQDN do contoso.com, mesmo se eles pertencem à mesma floresta do Active Directory.

• Computadores que residem na mesma floresta do Active Directory como a ponto fora da banda serviço servidor de sistema do site, mas tiver um namespace separado — por exemplo, um computador AMT que tem um nome DNS de computer1.corp.fabrikam.com e reside em um domínio do Active Directory chamado na.corp.fabrikam.com.

IPv4.

Não há suporte para IPv6.Fora da banda gerenciamento usará apenas IPv4.

Suporte à infraestrutura do 802.1 X autenticado redes com fio e redes sem fio:

• Suporte a 802.1 X com fio autenticado: Opções de autenticação de cliente do EAP-TLS, EAP-TTLS/MSCHAPv2 ou PEAPv0/EAP-MSCHAPv2.

• Suporte sem fio: Segurança WPA e WPA2, AES ou criptografia TKIP, opções de autenticação de cliente do EAP-TLS, EAP-TTLS/MSCHAPv2 ou PEAPv0/EAP-MSCHAPv2.

Observação
Se você usar os métodos de autenticação de cliente de EAP-TLS ou EAP-TTLS/MSCHAPv2 com um certificado de cliente, a solução RADIUS deve oferecer suporte à autenticação usando o seguinte formato: domain\computer_account.

Para gerenciar computadores AMT fora da banda em um 802.1 X de rede com fio autenticado ou uma conexão sem fio, você deve ter uma infra-estrutura de suporte para esses ambientes.Essas redes podem ser configuradas usando uma solução RADIUS da Microsoft, como servidor de políticas de rede no Windows Server 2008.Outras soluções RADIUS podem ser usadas se estiverem 802.1 X compatível e suporte para que as opções de configuração listadas autenticado com fio 802.1 X suporte e o suporte sem fio.

Para obter mais informações sobre o servidor de políticas de rede no Windows Server 2008, consulte Network Policy Server.

Para obter mais informações sobre outras soluções RADIUS, consulte Intel vPro Expert Center: Microsoft vPro gerenciabilidade.

O site primário deve estar executando System Center 2012 Configuration Manager e instalaram o fora do ponto de serviço de banda e o ponto de registro.

A ponto fora da banda serviço deve na mesma floresta do Active Directory que o servidor do site, e você pode instalar apenas um ponto fora da banda serviço em cada site primário.

Etapa 4: Configurar o ponto de registro e ponto fora da banda Service para provisionamento AMT 

Para configurar o gerenciamento fora da banda, você deve ter as seguintes permissões de segurança:

• Site: Leitura e modificar

• Perfil de registro do dispositivo móvel: Leitura, criar, modificar, meça Site, e Gerenciar certificados para implantação de sistema operacional

O administrador completo função de segurança inclui essas permissões.

Para gerenciar computadores fora de banda, você deve ter as seguintes permissões de segurança para as coleções que contêm os computadores:

• Provisionar AMT: Essa permissão de segurança permite que você gerencie computadores AMT no console do Configuration Manager, que inclui a descobrir o status AMT de controladores de gerenciamento, provisionamento de computadores para AMT e as ações de auditoria de habilitar e desabilitar a auditoria e limpar o log de auditoria, configurações de log de auditoria de aplicação.

• Controlar AMT: Essa permissão de segurança permite exibir e gerenciar computadores usando a console fora da banda gerenciamento e iniciar ações de controle de energia no console do Configuration Manager.O Ferramentas remotas função de segurança inclui o controlar AMT permissão.

• Leitura e Modificar configuração da coleção para habilitar o provisionamento AMT para a coleção.

• Provisionar AMT, leitura, e ler recurso para remover informações de provisionamento e atualizar controladores de gerenciamento AMT.

Para obter mais informações sobre como configurar permissões de segurança, consulte Configurar administração baseada em funções.