Partager via

Exemples de scénarios d'implémentation de la gestion hors bande

  • Article

Mis à jour: octobre 2004

S'applique à: System Center Configuration Manager 2007 R2, System Center Configuration Manager 2007 R3, System Center Configuration Manager 2007 SP1, System Center Configuration Manager 2007 SP2

Les sections suivantes proposent, à titre d'exemples, des scénarios d'implémentation de gestion hors bande dans Configuration Manager 2007 SP1 ou ultérieur :

  • Configuration AMT hors bande pour de nouveaux ordinateurs

  • Configuration AMT intrabande pour ordinateurs clients Configuration Manager

  • Configuration AMT d'un réseau sans fil avec Configuration Manager 2007 SP2

Notes

Les informations figurant dans cette rubrique s'appliquent uniquement à Configuration Manager 2007 SP1 et versions ultérieures.

Dans les cas suivants, l'entreprise dispose d'une infrastructure à clés publiques (PKI) existante, utilisant les services de certificats Enterprise Edition de Windows Server 2003, ainsi qu'une autorité de certification d'entreprise fonctionnant avec Windows Server 2003 Enterprise Edition.

Configuration AMT hors bande pour de nouveaux ordinateurs

Ce scénario montre comment vous pouvez utiliser la configuration hors bande des ordinateurs AMT pour les nouveaux ordinateurs sur lesquels aucun système d'exploitation n'est installé.

A. Datum Corporation reçoit un lot de nouveaux ordinateurs AMT conformes aux exigences de gestion hors bande dans Configuration Manager 2007. L'entreprise a récemment mis à jour son site central avec Configuration Manager 2007 SP1, alors que d'autres sites fonctionnent encore avec Configuration Manager 2007. Tous les clients Configuration Manager fonctionnent avec Configuration Manager 2007.

Tant que les clients ne sont pas mis à niveau vers une version prenant en charge AMT dans Configuration Manager 2007 SP1 (ou version ultérieure), il n'est pas possible d'effectuer la configuration intrabande de ces ordinateurs.

Tommy Hartono est l'administrateur Configuration Manager en charge de la configuration de ces ordinateurs sur le site central. Ces ordinateurs sont tous regroupés sur le domaine unique de l'entreprise et sont conformes à la configuration requise pour la prise en charge de la gestion hors bande avec Configuration Manager 2007 SP1 (ou version ultérieure).

Les ordinateurs AMT ne possèdent pas d'image de microprogramme personnalisée. Tommy a obtenu l'accord de son responsable pour l'achat d'un certificat de configuration AMT auprès d'une des autorités de certification (CA) externes configurées dans le microprogramme de ces ordinateurs.

Pour configurer les nouveaux ordinateurs AMT hors bande, Tommy suit les opérations indiquées dans le tableau suivant.

Processus Référence

Tommy vérifie la configuration requise pour la gestion hors bande et effectue les changements suivants pour son site Configuration Manager :

  • Il désigne un serveur de système de site sur lequel il installe le point de service hors bande. Cet ordinateur possède le nom de domaine complet (FQDN) suivant : server15.adatum.com. Étant donné que ce serveur fonctionne avec Windows Server 2003 SP2, il installe le correctif 942841 requis.

  • Il installe la dernière version de Windows Remote Management (WinRM) sur le serveur de système de site.

Pour plus d'informations sur le correctif, consultez https://go.microsoft.com/fwlink/?LinkId=106107.

Pour télécharger la dernière version de WinRM et pour plus d'informations, consultez https://go.microsoft.com/fwlink/?LinkId=105682.

Tommy travaille ensuite en collaboration avec les administrateurs des services Active Directory afin de créer une unité d'organisation dans le domaine adatum.com pour les objets d'ordinateurs AMT publiés et de configurer cette unité d'organisation de sorte que le serveur du site ait un contrôle total sur elle et sur tous ces objets enfants.

Les groupes de sécurité Windows sont également créés pour préparer les certificats PKI :

  • Un groupe appelé « Points de service hors bande ConfigMgr » contenant server15.

  • Un groupe appelé « Serveurs de site principal ConfigMgr » contenant le serveur de site principal sur le site central.

Pour plus d'informations, consultez les rubriques suivantes :

Tommy travaille également avec son équipe chargée des services d'infrastructure et obtient les résultats suivants :

  • Il confirme que les routeurs et les pare-feu ne nécessitent aucune reconfiguration pour la communication hors bande.

  • Il confirme que leurs serveurs DNS acceptent les mises à jour dynamiques afin que le nouveau serveur de système de site sur lequel il installe le point de service hors bande puisse inscrire automatiquement un enregistrement d'alias dans DNS.

  • Il confirme que le serveur DHCP possède la configuration requise avec les paramètres suivants :

    1. Il existe une étendue active avec des adresses disponibles.

    2. L'étendue est configurée avec l'option 006 pour les serveurs de domaine et l'option 015 pour le nom de domaine.

    3. Le serveur DHCP met à jour automatiquement DNS grâce aux enregistrements de ressource de l'ordinateur.

Pour plus d'informations à propos des ports utilisés avec la communication de gestion hors bande, consultez les informations de port en tant que dépendance externe dans Configuration requise pour la gestion hors bande.

Pour plus d'informations sur les paramètres DNS et DHCP, consultez les rubriques suivantes :

Tommy travaille avec l'équipe PKI et obtient les résultats suivants :

  • Un modèle personnalisé est créé pour demander le certificat de configuration AMT nécessaire à leur autorité de certification externe.

  • La demande de certificat pour le certificat de configuration AMT est publiée sur server15 et sauvegardée dans un fichier. Elle peut alors être envoyée à l'autorité de certification externe.

  • Le fichier de demande de certificat est envoyé à l'autorité externe avec un bon de commande. Le jour suivant, Tommy reçoit la réponse de certificat par courrier électronique. Il installe le certificat sur server15.

  • Le certificat de configuration AMT est exporté sous forme de fichier .PFX et stocké en toute sécurité sur le serveur.

  • Le modèle de certificat de serveur Web est dupliqué et configuré en vue de l'adapter à la gestion hors bande.

Pour obtenir des instructions sur le déploiement de certificats PKI requis pour la gestion hors bande, consultez Exemple de déploiement étape par étape des certificats PKI requis pour AMT et la gestion hors bande : Autorité de certification Windows Server 2003.

Pour plus d'informations sur les certificats requis, consultez Certificats requis pour la gestion hors bande.

Pour plus d'informations sur la façon dont les certificats sont utilisés dans le cadre de la gestion hors bande, consultez À propos de certificats pour la gestion hors bande.

Tommy configure ensuite le site central de Configuration Manager et effectue les changements suivants :

  • Il installe un nouveau serveur de système de site sur server15, le configure avec le nom de domaine complet (FQDN) intranet de server15.adatum.com, et installe le point de service hors bande.

  • Dans la boîte de dialogue Propriétés du composant hors bande, il configure le composant de gestion hors bande de la manière suivante :

    • Dans l'onglet Général, il spécifie l'unité d'organisation créée sur adatum.com, active l'option Inscrire ProvisionServer comme alias dans DNS, configure un mot de passe fort pour le compte MEBx, accède au fichier de certificat AMT exporté et indique le mot de passe utilisé lors du processus d'exportation. Il sélectionne ensuite l'autorité de certification émettrice et le modèle de certificat AMT à utiliser.

    • Dans l'onglet Paramètres AMT, il attribue un compte d'utilisateur AMT à un groupe de sécurité globale Windows qui comprend des techniciens du support technique qui utiliseront la console de gestion hors bande. Il sélectionne toutes les fonctionnalités AMT disponibles pour ce compte d'utilisateur AMT. Il sélectionne également l'option Activer la redirection IDE et série sur réseau local.

Pour plus d'informations, consultez les rubriques suivantes :

Tommy effectue ensuite les dernières étapes suivantes nécessaires à la configuration hors bande des ordinateurs AMT :

  • Il crée un nouveau regroupement qui contiendra les ordinateurs AMT.

  • Il prépare un fichier CSV (valeurs séparées par des virgules) comprenant les détails des ordinateurs y compris leur FQDN et UUID.

  • Il lance l'Assistant Importation d'ordinateur pour gestion hors bande et spécifie le fichier CSV, ainsi que le regroupement créé.

  • il met à jour le regroupement afin de voir et de confirmer les ordinateurs qu'il vient d'importer.

Pour plus d'informations, consultez les rubriques suivantes :

Tommy fournit des instructions qui indiquent que lors de la livraison des ordinateurs, le câble d'alimentation et l'adaptateur réseau sont connectés mais qu'il n'y a pas besoin d'y toucher.

Il surveille le processus de configuration.

Pour plus d'informations, consultez Comment identifier les ordinateurs configurés pour AMT.

À la suite de ces opérations, les nouveaux ordinateurs sont configurés pour AMT. Lorsque le système d'exploitation est installé sur chaque ordinateur, le même FQDN que celui figurant dans le fichier CSV est utilisé, ce qui permet la gestion hors bande de ces ordinateurs.

Configuration AMT intrabande pour ordinateurs clients Configuration Manager

Cet exemple explique de quelle manière vous pouvez recourir à la configuration intrabande pour les ordinateurs AMT qui exécutent le client Configuration Manager 2007 SP1.

Trey Research possède une hiérarchie Configuration Manager 2007 SP1 et s'intéresse à l'utilisation de la gestion hors bande pour gérer les ordinateurs situés dans des bureaux distants. L'entreprise commande tous ces ordinateurs chez le même fournisseur. Étant donné que les ordinateurs sont livrés directement dans les bureaux distants, ils sont installés avec une image de version spécifique à Trey Research qui comprend le système d'exploitation Windows, les paramètres et applications standard, ainsi que le client Configuration Manager 2007 SP1.

Outre la personnalisation de l'ordinateur, Trey Research demande une image de microprogramme personnalisée qui comprend une empreinte numérique du certificat de l'autorité de certification racine interne, leur évitant d'avoir à se procurer un certificat de configuration AMT auprès d'une autorité de certification externe. L'empreinte numérique du certificat est désignée par le fournisseur comme le hachage de l'autorité de certification racine. Vous trouverez cette valeur en suivant la procédure suivante : Comment localiser l'empreinte numérique de votre certificat racine interne pour la configuration AMT.

Terry Adams est l'administrateur de Configuration Manager en charge de la configuration des ordinateurs sur le site de Configuration Manager. Ces ordinateurs sont tous établis sur le domaine enfant de l'entreprise : testnet.treyresearch.net. Les serveurs de système de site résident dans treyresearch.net. Lors de l'installation du client Configuration Manager avec affectation automatique des sites, les ordinateurs seront placés dans les limites de plusieurs sites secondaires qui dépendent tous du site central.

Pour la configuration intrabande des nouveaux ordinateurs AMT, Terry suit les actions indiquées dans le tableau suivant :

Processus Référence

Terry vérifie la configuration requise pour la gestion hors bande et effectue les changements suivants pour son site Configuration Manager :

  • Il désigne un serveur de système de site sur lequel il installe le point de service hors bande. Cet ordinateur possède le nom de domaine complet (FQDN) suivant : server15.treyresearch.net. Étant donné que ce serveur fonctionne avec Windows Server 2003 SP2, il installe le correctif 942841 requis.

  • Il installe la dernière version de Windows Remote Management (WinRM) sur le serveur de système de site.

Pour plus d'informations sur le correctif, consultez https://go.microsoft.com/fwlink/?LinkId=106107.

Pour télécharger la dernière version de WinRM et pour plus d'informations, consultez https://go.microsoft.com/fwlink/?LinkId=105682.

Terry travaille ensuite en collaboration avec les administrateurs des services Active Directory afin de créer une unité d'organisation dans le domaine testnet.treyresearch.net pour les objets d'ordinateurs AMT publiés et de configurer le serveur de site de sorte qu'il dispose d'un contrôle total de cette unité d'organisation et de tous ces objets enfants.

Les groupes de sécurité Windows sont également créés pour préparer les certificats PKI :

  • Un groupe appelé « Points de service hors bande ConfigMgr » contenant server15.

  • Un groupe appelé « Serveurs de site principal ConfigMgr » contenant le serveur de site principal sur le site central.

Pour plus d'informations, consultez les rubriques suivantes :

Terry sait qu'il existe un pare-feu entre son site et les bureaux distants, c'est pourquoi il identifie les ports qui nécessitent une ouverture pour permettre une communication hors bande entre les systèmes du site et les ordinateurs basés sur AMT. Il soumet une demande de modification pour les changements de pare-feu nécessaires.

Pour plus d'informations à propos des ports utilisés avec la communication de gestion hors bande, consultez les informations de port en tant que dépendance externe dans Configuration requise pour la gestion hors bande.

Terry travaille avec l'équipe PKI et obtient les résultats suivants :

  • Un modèle personnalisé est créé pour demander le certificat de configuration AMT requis par leur autorité de certification interne.

  • La demande de certificat pour le certificat de configuration AMT est délivrée à partir de server15 et est approuvée et installée automatiquement.

  • Le certificat de configuration AMT est exporté sous forme de fichier .PFX et stocké en toute sécurité sur le serveur.

  • Le modèle de certificat de serveur Web est dupliqué et configuré en vue de l'adapter à la gestion hors bande.

Pour obtenir des instructions sur le déploiement de certificats PKI requis pour la gestion hors bande, consultez Exemple de déploiement étape par étape des certificats PKI requis pour AMT et la gestion hors bande : Autorité de certification Windows Server 2003.

Pour plus d'informations sur les certificats requis, consultez Certificats requis pour la gestion hors bande.

Pour plus d'informations sur la façon dont les certificats sont utilisés dans le cadre de la gestion hors bande, consultez À propos de certificats pour la gestion hors bande.

Terry configure ensuite le site principal de Configuration Manager et effectue les changements suivants :

  • Il installe un nouveau serveur de système de site sur server15, le configure avec le nom de domaine complet (FQDN) intranet de server15.treyresearch.net, puis installe le point de service hors bande.

  • Dans la boîte de dialogue Propriétés de gestion hors bande, il configure le composant de gestion hors bande de la manière suivante :

    • Dans l'onglet Général, il spécifie l'unité d'organisation créée sur testnet.treyresearch.net. Il configure ensuite un mot de passe fort pour le compte MBEx, accède au fichier de certificat AMT exporté, indique le mot de passe utilisé lors du processus d'exportation, puis sélectionne l'autorité de certification émettrice et le modèle de certificat AMT à utiliser.

    • Dans l'onglet Paramètres AMT, il attribue un compte d'utilisateur AMT à un groupe de sécurité globale Windows qui comprend des techniciens du support technique qui utiliseront la console de gestion hors bande. Il sélectionne toutes les fonctionnalités AMT disponibles pour ce compte d'utilisateur AMT. Il sélectionne également les options Activer la redirection IDE et série sur réseau local, Autoriser les réponses de ping, et Activer le contournement de mot de passe de BIOS pour les commandes de la mise sous tension.

Pour plus d'informations, consultez les rubriques suivantes :

Terry souhaite utiliser la fonctionnalité d'éveil par appel réseau (Wake On LAN) pour installer des mises à jour logicielles critiques sur des ordinateurs. Il a déjà essayé cette fonctionnalité et s'est rendu compte que les diffusions dirigées vers le sous-réseau consomment trop de bande passante réseau via des liaisons distantes et que peu de leurs cartes réseau fonctionnent avec des transmissions en monodiffusion.

Il active l'éveil par appel réseau et décide de garder l'option par défaut Utiliser les commandes de mise sous tension si les ordinateurs prennent en charge cette technologie, sinon, utiliser les paquets de mise en éveil.

Pour plus d'informations, consultez les rubriques suivantes :

Pour activer la configuration intrabande automatique pour AMT, Terry effectue ensuite les dernières étapes :

  • Il active la découverte des contrôleurs de gestion.

  • Il crée un regroupement basé sur une requête qui ajoute dynamiquement des ordinateurs équipés de contrôleurs de gestion pouvant être configurés pour AMT par Configuration Manager.

  • Il configure le regroupement avec le paramètre de regroupement pour activer la configuration automatique des contrôleurs de gestion hors bande.

Pour plus d'informations, consultez les rubriques suivantes :

Terry surveille le regroupement et le processus de configuration des nouveaux ordinateurs une fois qu'ils sont installés et qu'ils ont rejoint le site.

Pour plus d'informations, consultez Comment identifier les ordinateurs configurés pour AMT.

À la suite de ces actions, les ordinateurs exécutant le client Configuration Manager 2007 SP1 sont configurés pour AMT et peuvent être gérés hors bande, même s'ils ne démarrent pas par la suite et/ou que le système d'exploitation ne répond plus, ils nécessitent une mise sous tension pour une maintenance de routine, ou une reconfiguration de leurs paramètres BIOS.

Pour obtenir des exemples de scénarios d'utilisation de la gestion hors bande, consultez Exemples de scénarios d'utilisation de la gestion hors bande.

Configuration AMT d'un réseau sans fil avec Configuration Manager 2007 SP2

Ce scénario explique comment configurer des ordinateurs AMT pour leur gestion sur un réseau sans fil avec Configuration Manager 2007 SP2 après leur configuration originale avec Configuration Manager 2007 SP1.

Trey Research a récemment mis à niveau sa hiérarchie et ses clients Configuration Manager 2007 SP1 vers Configuration Manager 2007 SP2 et désire étendre la prise en charge de la gestion hors bande de ses ordinateurs portables sur son réseau sans fil. Celui-ci utilise un serveur Windows Server 2008 exécutant un serveur de stratégie réseau (NPS) et nécessite un certificat client pour l'authentification.

Terry Adams est l'administrateur Configuration Manager chargé de s'assurer que ces ordinateurs portables peuvent continuer à être gérés hors bande sur le réseau sans fil. Il met en œuvre les procédures décrites dans le tableau ci-dessous.

Processus Référence

Terry vérifie les conditions requises de la prise en charge des réseaux sans fil pour la gestion hors bande et confirme que les versions d'AMT des ordinateurs portables prennent en charge les profils sans fil. Il note que les paramètres de configuration sans fil requis par le serveur de stratégie réseau concernent la sécurité WPA2, le chiffrement AES et l'authentification EAP-TLS.

Pour vérifier s'il faut configurer d'autres éléments pour prendre en charge cet environnement, Terry vérifie également dans la documentation de planification la présence d'autres informations relatives à la prise en charge des réseaux sans fil.

Pour plus d'informations sur les conditions requises, consultez Configuration requise pour la gestion hors bande.

Pour vérifier que la configuration de la prise en charge de la gestion hors bande est la bonne décision pour les réseaux sans fil, consultez Déterminer si vous devez configurer la prise en charge des réseaux 802.1X et sans fil.

Terry collabore avec l'équipe PKI pour créer un nouveau modèle de certificat qui sera utilisé par les ordinateurs AMT pour l'authentification sur le serveur de stratégie réseau.

Pour plus d'informations sur la création du modèle de certificat client, consultez la section « Préparation des certificats d'authentification du client des ordinateurs AMT 802.1X » dans Exemple de déploiement étape par étape des certificats PKI requis pour AMT et la gestion hors bande : Autorité de certification Windows Server 2003.

Pour plus d'informations sur les certificats requis, consultez À propos de certificats pour la gestion hors bande.

Terry configure l'onglet Propriétés de gestion hors bande : 802.1X et sans fil dans le nœud Configuration des composants du site principal de Configuration Manager :

  • Il crée un profil sans fil contenant le nom du réseau sans fil, le type de sécurité WPA2-Enterprise et la méthode de chiffrement AES. Il sélectionne ensuite le certificat racine approuvé du serveur de stratégie réseau et le modèle de certificat client créé précédemment.

  • Il ne sélectionne pas l'option Ajouter automatiquement les ordinateurs basés sur ATM au groupe de sécurité car pour une sécurité accrue, les comptes d'ordinateurs associés aux ordinateurs portables AMT seront manuellement ajoutés à un groupe de sécurité pour l'authentification au serveur de stratégie réseau.

Pour plus d'informations, consultez Comment configurer les ordinateurs AMT pour les réseaux câblés authentifiés 802.1X et sans fil.

Au moyen d'un regroupement personnalisé pour les ordinateurs portables, Terry marque les noms des ordinateurs déjà configurés pour AMT avec l'état AMT Configuré. Il exporte la liste des noms d'ordinateur à partir de la console et la transmet à l'administrateur du serveur de stratégie réseau afin que les ordinateurs puissent être ajoutés à un groupe de sécurité servant à octroyer l'accès au réseau.

Pour plus d'informations sur l'état AMT, consultez À propos de l'état AMT et de la gestion hors bande.

Pour plus d'informations sur l'exportation d'affichages de listes à partir de la console Configuration Manager, consultez Comment exporter des affichages de listes vers un fichier.

Pour mettre les informations de configuration à jour afin que les ordinateurs portables puissent être gérés hors bande sur le réseau sans fil, Terry clique avec le bouton droit sur les ordinateurs du regroupement. Il clique sur Gestion hors bande, puis sur Mettre à jour les données de configuration dans la mémoire du contrôleur de gestion.

Pour plus d'informations, consultez Comment mettre à jour les paramètres AMT des ordinateurs configurés à l'aide de la gestion hors bande.

Terry utilise le fichier journal Amtopmgr.log pour vérifier que le profil sans fil a été correctement configuré pour ces ordinateurs AMT.

Pour plus d'informations, consultez la procédure « Pour vérifier si les ordinateurs AMT sont configurés pour les connexions câblées authentifiées et sans fil » dans Comment configurer les ordinateurs AMT pour les réseaux câblés authentifiés 802.1X et sans fil.

À la suite de ces opérations, la prise en charge de la gestion hors bande de ces ordinateurs AMT est étendue au réseau sans fil. Par exemple, s'ils ne démarrent pas, ou que le système d'exploitation ne répond plus, ou qu'ils doivent être mis sous tension dans le cadre d'une maintenance de routine, ou que les paramètres de leurs BIOS ont besoin d'être reconfigurés, ils peuvent être gérés, et ce même en étant connectés au réseau sans fil.

Pour plus d'informations et des exemples de scénarios d'utilisation de la gestion hors bande, consultez Exemples de scénarios d'utilisation de la gestion hors bande.

Voir aussi

Concepts

À propos de la configuration AMT pour la gestion hors bande
Liste de vérification de l'administrateur : Activation de la gestion hors bande
Certificats requis pour la gestion hors bande
Déterminer les rôles d'administrateur et les processus pour la gestion hors bande
Présentation de la gestion hors bande

Autres ressources

Configuration de la gestion hors bande
Référence technique pour la gestion hors bande

Pour plus d'informations, consultez Informations et prise en charge de Configuration Manager 2007.
Pour contacter l'équipe de documentation, envoyez un e-mail à SMSdocs@microsoft.com.