Intelligent plattformshanteringsgränssnitt - Intelligent Platform Management Interface

Den Intelligent Platform Management Interface ( IPMI ) är en uppsättning datorgränssnitt specifikationer för en självständig dator delsystem som ger ledning och övervakningsfunktioner oberoende av värdsystemets CPU , firmware ( BIOS eller UEFI ) och operativsystem . IPMI definierar en uppsättning gränssnitt som används av systemadministratörer för out-of-band-hantering av datorsystem och övervakning av deras drift. Till exempel tillhandahåller IPMI ett sätt att hantera en dator som kan stängas av eller på annat sätt inte svara genom att använda en nätverksanslutning till hårdvaran snarare än till ett operativsystem eller inloggningsskal. Ett annat användningsfall kan vara att installera ett anpassat operativsystem på distans. Utan IPMI kan installation av ett anpassat operativsystem kräva att en administratör är fysiskt närvarande nära datorn, sätter i en DVD -skiva eller ett USB -minne som innehåller OS -installationsprogrammet och slutför installationsprocessen med en bildskärm och ett tangentbord. Med hjälp av IPMI kan en administratör montera en ISO -bild , simulera en installations -DVD och utföra installationen på distans.

Specifikationen leds av Intel och publicerades första gången den 16 september 1998. Den stöds av mer än 200 datorsystemsleverantörer, till exempel Cisco , Dell , Hewlett Packard Enterprise , Intel , OnLogic , Marvell Semiconductor , NEC Corporation , Supermicro och Tyan .

Efterföljaren till IPMI är Redfish .

Funktionalitet

Genom att använda ett standardiserat gränssnitt och protokoll kan systemhanteringsprogramvara baserat på IPMI hantera flera olika servrar. Som ett meddelandebaserad, hårdvara nivå interface specifikation fungerar IPMI oberoende av operativsystem (OS) för att tillåta administratörer att hantera ett system på distans i avsaknad av ett operativsystem eller i systemhanterings programvara . Således kan IPMI -funktioner fungera i något av tre scenarier:

  • innan ett operativsystem har startats (tillåter till exempel fjärrövervakning eller ändring av BIOS -inställningar)
  • när systemet stängs av
  • efter operativsystem eller systemfel-det viktigaste kännetecknet för IPMI jämfört med systemhantering i band är att det möjliggör fjärrloggning till operativsystemet med SSH

Systemadministratörer kan använda IPMI -meddelanden för att övervaka plattformsstatus (t.ex. systemtemperaturer, spänningar, fläktar, strömförsörjningar och chassiintrång); att fråga lagerinformation; att granska hårdvaruloggar över förhållanden utanför området; eller för att utföra återställningsprocedurer som att utfärda förfrågningar från en fjärrkonsol genom samma anslutningar, t.ex. avstängning och omstart av systemet, eller konfigurering av vakthundstimers . Standarden definierar också en varningsmekanism för systemet för att skicka en enkel nätverkshanteringsprotokoll (SNMP) plattformshändelsefälla (PET).

Det övervakade systemet kan vara avstängt, men måste vara anslutet till en strömkälla och till övervakningsmediet, vanligtvis en lokal nätverksanslutning (LAN). IPMI kan också fungera efter att operativsystemet har startat och exponerar hanteringsdata och strukturer för systemhanteringsprogramvaran. IPMI föreskriver endast gränssnittets struktur och format som standard, medan detaljerade implementeringar kan variera. En implementering av IPMI version 1,5 kan kommunicera via en direkt out-of-band lokalt nätverk (LAN) eller seriell anslutning eller via en sidobands nätverk (LAN) anslutning till en fjärr lokal klient . Sidbandets LAN-anslutning använder kortets nätverksgränssnittskontroller (NIC). Denna lösning är billigare än en dedikerad LAN -anslutning men har också begränsad bandbredd och säkerhetsproblem.

System som överensstämmer med IPMI version 2.0 kan också kommunicera via seriellt över LAN , varigenom seriell konsolutmatning kan fjärranslutas via LAN. System som implementerar IPMI 2.0 inkluderar vanligtvis också KVM över IP , fjärranslutna virtuella media och out-of-band inbäddade webbservergränssnittsfunktioner, även om de strikt sett ligger utanför IPMI-gränssnittets standard.

DCMI (Data Center Hanterbarhet Interface) är en liknande standard baserad på IPMI men utformad för att vara mer lämpade för Data Center management: den använder gränssnitten definieras i IPMI, men minimerar antalet valfria gränssnitt och inkluderar effekttäckningskontroll, bland andra skillnader.

IPMI -komponenter

IPMI -arkitekturdiagram visar BMC -sidband via SMBUS.
Gränssnitt till baseboard management controller (BMC)

Ett IPMI-delsystem består av en huvudkontroller, kallad baseboard management controller (BMC) och andra hanteringsstyrenheter fördelade på olika systemmoduler som kallas satellitkontroller. Satellitstyrenheterna i samma chassi ansluter till BMC via systemgränssnittet som kallas Intelligent Platform Management Bus/Bridge (IPMB)-en förbättrad implementering av I²C (Inter-Integrated Circuit). BMC ansluter till satellitstyrenheter eller ett annat BMC i ett annat chassi via IPMC -bussen eller bryggan (Intelligent Platform Management Controller). Det kan hanteras med Remote Management Control Protocol (RMCP), ett specialiserat trådprotokoll som definieras av denna specifikation. RMCP+ (ett UDP -baserat protokoll med starkare autentisering än RMCP) används för IPMI över LAN.

Flera leverantörer utvecklar och marknadsför BMC -chips. En BMC som används för inbäddade applikationer kan ha begränsat minne och kräva optimerad firmware -kod för implementering av hela IPMI -funktionen. Högintegrerade BMC: er kan ge komplexa instruktioner och tillhandahålla en fullständig out-of-band-funktionalitet för en tjänsteprocessor. Firmware som implementerar IPMI -gränssnitten tillhandahålls av olika leverantörer. En fält utbytbar enhet (FRU) förvaret håller inventering, såsom leverantör-ID och tillverkare, av potentiellt utbytbara enheter. Ett förrådsdataregister (SDR) förvarar egenskaperna för de enskilda sensorerna som finns på kortet. Till exempel kan kortet innehålla sensorer för temperatur, fläkthastighet och spänning.

Baseboard management controller

Se även: Out-of-band management § Implementering

Baseboard management controller (BMC) tillhandahåller intelligensen i IPMI -arkitekturen. Det är en specialiserad mikro inbäddade på moderkortet för en dator  - i allmänhet en server . BMC hanterar gränssnittet mellan systemhanteringsprogramvara och plattformshårdvara. BMC har sin egen firmware och RAM.

Olika typer av sensorer inbyggda i datorsystemet rapport till BMC på parametrar såsom temperatur , kylningsfläkthastigheter , effektstatus, operativsystem status (OS), etc. Den BMC övervakar sensorerna och kan skicka varningar till en systemadministratör via nätverk om någon av parametrarna inte håller sig inom förinställda gränser, vilket indikerar ett eventuellt fel i systemet. Administratören kan också fjärrkommunikera med BMC för att vidta några korrigerande åtgärder - till exempel att återställa eller slå av systemet för att få ett hängt OS igång igen. Dessa förmågor minskar den totala ägandekostnaden för ett system.

System som överensstämmer med IPMI version 2.0 kan också kommunicera via seriellt över LAN , varigenom seriell konsolutmatning kan fjärranslutas via LAN. System som implementerar IPMI 2.0 inkluderar vanligtvis också KVM över IP , fjärranslutna virtuella media och out-of-band inbäddade webbservergränssnittsfunktioner, även om de strikt sett ligger utanför IPMI-gränssnittets standard.

Fysiska gränssnitt till BMC inkluderar SMBuses , en seriell RS-232- konsol, adress- och datalinjer och en Intelligent Platform Management Bus (IPMB), som gör det möjligt för BMC att acceptera IPMI-förfrågningsmeddelanden från andra hanteringskontroller i systemet.

En direkt seriell anslutning till BMC är inte krypterad eftersom själva anslutningen är säker. Anslutning till BMC via LAN kanske använder kryptering beroende på användarens säkerhetsproblem.

Det finns ökande farhågor om allmän säkerhet när det gäller BMC som en sluten infrastruktur. OpenBMC är ett Linux Foundation Collaborative open-source BMC-projekt.

säkerhet

Historiska frågor

Den 2 juli 2013 publicerade Rapid7 en guide för säkerhetstestningstestning av det senaste IPMI 2.0 -protokollet och implementeringar av olika leverantörer.

Vissa källor under 2013 avrådde från att använda den äldre versionen av IPMI, på grund av säkerhetsproblem relaterade till designen och sårbarheten hos Baseboard Management Controllers (BMC).

Men som för alla andra hanteringsgränssnitt dikterar bästa säkerhetsmetoder placeringen av IPMI -hanteringsporten på ett dedikerat hanterings -LAN eller VLAN som är begränsat till betrodda administratörer.

Senaste säkerhetsförbättringar i IPMI -specifikationen

IPMI -specifikationen har uppdaterats med RAKP+ och en starkare chiffer som är beräknande opraktisk att bryta. Leverantörer som ett resultat har tillhandahållit patchar som åtgärdar dessa sårbarheter.

Den DMTF Organisationen har utvecklat en säker och skalbar gränssnittsspecifikation kallad kungsfisk att arbeta i moderna datacenter miljöer.

Potentiella lösningar

Vissa potentiella lösningar finns utanför IPMI -standarden, beroende på proprietära implementeringar. Användningen av korta standardlösenord eller "chiffer 0" -hackar kan lätt övervinnas med hjälp av en RADIUS -server för autentisering, auktorisering och redovisning via SSL, vilket är typiskt i ett datacenter eller någon medelstor till stor distribution. Användarens RADIUS -server kan konfigureras för att lagra AAA säkert i en LDAP -databas med antingen FreeRADIUS/OpenLDAP eller Microsoft Active Directory och relaterade tjänster.

Rollbaserad åtkomst ger ett sätt att svara på nuvarande och framtida säkerhetsfrågor genom att öka begränsningarna för högre roller. Rollbaserad åtkomst stöds med tre tillgängliga roller: administratör, operatör och användare.

Sammantaget har användarrollen skrivskyddad åtkomst till BMC och ingen fjärrkontrollförmåga, t.ex. strömcykel eller möjlighet att visa eller logga in på huvud-CPU: n på moderkortet. Därför har alla hackare med användarrollen noll åtkomst till konfidentiell information och noll kontroll över systemet. Användarrollen används vanligtvis för att övervaka sensoravläsningar, efter att en SNMP -varning har tagits emot av SNMP Network Monitoring Software.

Operatörsrollen används i sällsynta fall när ett system hängs, för att generera en NMI -krasch-/kärndumpfil och starta om eller starta systemet. I ett sådant fall har operatören också tillgång till systemprogramvaran för att samla in krasch-/kärndumpfilen.

Administratörsrollen används för att konfigurera BMC vid första start under idrifttagning av systemet vid första installationen.

Därför är den försiktiga bästa praxisen att inaktivera användningen av operatörs- och administratörsrollerna i LDAP/RADIUS och endast aktivera dem när det behövs av LDAP/RADIUS -administratören. I RADIUS kan till exempel inställningen Auth-Type ändras till en roll: 

Auth-Type := Reject

Om du gör det förhindras att RAKP -hashattacker lyckas eftersom användarnamnet kommer att avvisas av RADIUS -servern.

Versionshistorik

IPMI -standardspecifikationen har utvecklats genom ett antal iterationer:

  • v1.0 tillkännagavs den 16 september 1998: grundspecifikation
  • v1.5, publicerad den 21 februari 2001: tillagda funktioner inklusive IPMI över LAN, IPMI över seriellt/modem och LAN -varning
  • v2.0, publicerad den 12 februari 2004: tillagda funktioner inklusive Serial over LAN, Group Managed Systems, Enhanced Authentication, Firmware Firewall och VLAN Support
  • v2.0 revision 1.1, publicerad den 1 oktober 2013: ändrad för felaktigheter, förtydliganden och tillägg, plus tillägg av stöd för IPv6 -adressering
  • v2.0 revision 1.1 Errata 7, publicerad den 21 april 2015: ändrad för errata, förtydliganden, tillägg

Implementeringar

Se även

Referenser

externa länkar