Voraussetzungen für die Out-of-Band-Verwaltung in Configuration Manager

Eine Microsoft-Unternehmenszertifizierungsstelle (CA) mit Zertifikatvorlagen, um die Zertifikate bereitzustellen und zu verwalten, die für die Out-of-Band-Verwaltung erforderlich sind.

Die ausstellende Zertifizierungsstelle muss Zertifikatanforderungen der AMT-Computerkonten, die von Configuration Manager während des AMT-Bereitstellungsprozesses in Active Directory-Domänendiensten erstellt werden, automatisch genehmigen.

Zum Widerrufen von AMT-Zertifikaten muss die ausstellende Zertifizierungsstelle mit der Berechtigung "Zertifikate ausstellen und verwalten" für den Server ausgestattet sein, auf dem die Anmeldungspunkt-Standortsystemrolle installiert ist.

Wichtig
Von AMT können keine Zertifizierungsstellenzertifikate unterstützt werden, deren Schlüssellänge 2048 Bits überschreitet.

Der Out-of-Band-Dienstpunkt und jeder Desktop- bzw. Laptopcomputer, der out-of-band verwaltet wird, muss über spezifische PKI-Zertifikate verfügen, die unabhängig von Configuration Manager verwaltet werden.

Weitere Informationen zu den Zertifikatanforderungen finden Sie unter PKI-Zertifikatanforderungen für Configuration Manager.

Schritt-für-Schritt-Anweisungen finden Sie unter Bereitstellen der Zertifikate für AMT.

Das Computerkonto für den Anmeldungspunkt-Standortsystemserver muss über DCOM-Berechtigungen verfügen, um AMT-Zertifikate von der ausstellenden Zertifizierungsstelle widerrufen zu können.Stellen Sie sicher, dass dieser Standortservercomputer ein Mitglied der Sicherheitsgruppe "Zertifikatdienst-DCOM-Zugriff" (Windows Server 2008) oder CERTSVC_DCOM_ACCESS (Windows Server 2003 SP1 und höher) in der Domäne der ausstellenden Zertifizierungsstelle ist.

Active Directory-Container und universelle Sicherheitsgruppe:

• Der Active Directory-Container muss mit den korrekten Sicherheitsberechtigungen für die Domäne der AMT-basierten Computer konfiguriert werden:wenn der Standort AMT-basierte Computer aus mehreren Domänen verwaltet, muss derselbe Containername und Pfad für alle Domänen verwendet werden.

• Eine universelle Sicherheitsgruppe, die Computerkonten für die AMT-basierten Computer enthält

Hinweis
Sie müssen das Active Directory-Schema für die Out-of-Band-Verwaltung nicht erweitern.

Während des AMT-Bereitstellungsprozesses werden von Configuration Manager Computerkonten in diesem Active Directory-Container bzw. dieser Organisationseinheit (OE) erstellt und der universellen Sicherheitsgruppe hinzugefügt.

Für den Standortservercomputer sind die folgenden Berechtigungen erforderlich:

• Für die OE, die während des AMT-Bereitstellungsprozesses verwendet wird, müssen Alle untergeordneten Objekte erstellen und Alle untergeordneten Objekte löschen gewährt werden, und diese Berechtigungen müssen auf Nur dieses Objekt angewendet werden.

• Für die universelle Sicherheitsgruppe, die während des AMT-Bereitstellungsprozesses verwendet wird, Ermöglichen Lesen und Schreiben, und wenden Sie auf nur dieses Objekt.

Standortsystemrollen-Abhängigkeiten für die Computer, auf denen der Anmeldungspunkt und die Out-of-Band-Dienstpunkt-Standortsystemrollen ausgeführt werden

Informationen hierzu finden Sie im Abschnitt Voraussetzungen für Standortsystemrollen des Themas Unterstützte Konfigurationen für den Konfigurations-Manager.

MSXML 6.0 wird auf Computern benötigt, auf denen die Out-of-Band-Verwaltungskonsole ausgeführt wird.

Die Setup-Voraussetzungsprüfung für Configuration Manager schließt die Prüfung auf Microsoft MSXML 6.0 ein.

Computer, die out-of-band verwaltet werden sollen, müssen derselben Active Directory-Gesamtstruktur angehören wie die Standortsystemserver, auf denen der Out-of-Band-Dienstpunkt und der Anmeldungspunkt ausgeführt werden.

Darüber hinaus müssen Computer denselben Namespace frei. nicht zusammenhängenden Namespaces werden nicht unterstützt.

Die Out-of-Band-Verwaltung der nachfolgend aufgeführten Computer wird nicht unterstützt.Deaktivieren Sie AMT auf diesen Computern:

• Arbeitsgruppencomputer

• Computer, die sich in einer anderen Active Directory-Gesamtstruktur befinden wie die Computer, auf denen der Out-of-Band-Dienstpunkt und der Anmeldungspunkt ausgeführt werden

• Computer, die sich in derselben Active Directory-Gesamtstruktur wie die Standortsystemserver mit dem Out-of-Band-Dienstpunkt und dem Anmeldungspunkt befinden, die jedoch nicht denselben Namespace verwenden (separater Namespace)

  Beispiel: Ein AMT-basierter Computer mit dem FQDN „computer1,northwindtraders.com“ kann nicht vom Standortsystem mit dem Out-of-Band-Dienstpunkt mit dem FQDN „contoso.com“ bereitgestellt werden, auch wenn sie derselben Active Directory-Gesamtstruktur angehören.

• Computer, die sich in derselben Active Directory-Gesamtstruktur wie der Out-of-Band-Dienstpunkt Standortserver System jedoch einen unzusammenhängenden Namespace haben – z. B. ein AMT-basierten Computer, der einen DNS-Namen "Computer1.corp.Fabrikam.com" und befindet sich in einer Active Directory-Domäne mit dem Namen na.corp.fabrikam.com.

IPv4

IPv6 wird nicht unterstützt.Für die Out-of-Band-Verwaltung wird ausschließlich IPv4 verwendet.

Infrastrukturunterstützung für 802.1X-authentifizierte Kabel- und Funknetzwerke:

• Unterstützung für 802.1X-Kabelnetzwerke: Clientauthentifizierung mit EAP-TLS, EAP-TTLS/MSCHAPv2 oder PEAPv0/EAP-MSCHAPv2

• Funknetzwerkunterstützung: Sicherheit mit WPA und WPA2; AES oder TKIP-Verschlüsselung; Clientauthentifizierung mit EAP-TLS, EAP-TTLS/MSCHAPv2 oder PEAPv0/EAP-MSCHAPv2

Hinweis
Wenn Sie mit einem Clientzertifikat Clientauthentifizierungsmethoden EAP-TLS oder EAP-TTLS/MSCHAPv2 verwenden, die RADIUS-Lösung muss unterstützen die Authentifizierung mithilfe des folgenden Formats: domäne\computerkonto.

Zur Out-of-Band-Verwaltung von AMT-basierten Computern in einem 802.1X-authentifizierten Kabel- oder -Funknetzwerk benötigen Sie eine Infrastruktur, die diese Umgebung unterstützt.Diese Netzwerke können mithilfe einer Microsoft RADIUS-Lösung, wie Network Policy Server unter Windows Server 2008 konfiguriert werden.Andere RADIUS-Lösungen können verwendet werden, sofern sie 802.1X-kompatiblen und Support angezeigten die Konfigurationsoptionen für verdrahtete 802.1 X-Unterstützung und Unterstützung für drahtlose authentifizierte.

Weitere Informationen zum Netzwerkrichtlinienserver unter Windows Server 2008 finden Sie unter Network Policy Server (Netzwerkrichtlinienserver).

Weitere Informationen zu anderen RADIUS-Lösungen, finden Sie unter Intel vPro Expert Center: Microsoft vPro-Verwaltbarkeit.

Am primären Standort muss System Center 2012 Configuration Manager ausgeführt werden. Zudem müssen der Out-of-Band-Dienstpunkt und der Anmeldungspunkt installiert sein.

Der Out-of-Band-Dienstpunkt muss sich in derselben Active Directory-Gesamtstruktur wie der Standortserver befinden. An jedem primären Standort können Sie nur jeweils einen Out-of-Band-Dienstpunkt installieren.

Schritt 4: Konfigurieren des Anmeldungspunkts und Out-of-Band-Dienstpunkts für die AMT-Bereitstellung 

Zum Konfigurieren der Out-of-Band-Verwaltung müssen Sie über die folgenden Sicherheitsberechtigungen verfügen:

• Standort: Lesen und Ändern

• Anmeldungsprofil für mobile Geräte: Lesen, Erstellen, Ändern, Messungsstandort und Zertifikate für Betriebssystembereitstellung verwalten

In der Sicherheitsrolle Hauptadministrator sind diese Berechtigungen enthalten.

Für die Out-of-Band-Verwaltung von Computern müssen Sie über die folgenden Sicherheitsberechtigungen für die Sammlungen verfügen, in denen diese Computer enthalten sind:

• AMT bereitstellen: Diese Sicherheitsberechtigung ermöglicht Ihnen das Verwalten von AMT-Computern über die Configuration Manager-Konsole, was das Ermitteln des Status der AMT-Verwaltungscontroller, das Bereitstellen von Computern für AMT und Überwachungsaktionen wie das Aktivieren und Anwenden von Überwachungsprotokolleinstellungen, das Deaktivieren der Überwachung und das Löschen des Überwachungsprotokolls umfasst.

• AMT steuern: Diese Sicherheitsberechtigung erlaubt die Anzeige und Verwaltung von Computern mithilfe der Out-of-Band-Verwaltungskonsole und das Initiieren von Energiesteuerungsaktionen in der Configuration Manager-Konsole.In der Sicherheitsrolle Remotetools ist die Berechtigung AMT steuern enthalten.

• Lesen und Sammlungseinstellungen ändern: Mit diesen Sicherheitsberechtigungen können Sie die AMT-Bereitstellung für die Sammlung aktivieren.

• AMT bereitstellen, Lesen und Ressource lesen: Mit diesen Sicherheitsberechtigungen können Sie Bereitstellungsinformationen entfernen und AMT-Verwaltungscontroller aktualisieren.

Weitere Informationen zum Konfigurieren von Sicherheitsberechtigungen finden Sie unter Konfigurieren der rollenbasierten Verwaltung.