AMTデバイスにてUSBプロビジョニングし、プライベート証明書でIntel SCSにAMTデバイスを登録

デバイスの管理とAMTについて調べていたところ、ほとんどの記事がベンダーの証明書を使う設定についてのものが多く、これだとサーバはDMZでの運用になり潜在的にリスクが高くなります。

なお、試してみたのですが、Intel Ema, MeshCentralのいずれも、プライベートCAをつかった証明書ではACM(admin control mode)にてProvisioningができません。非常に残念です。

そこで、プライベートネットワーク環境でAMT管理できないものかといろいろと試行錯誤した結果、一度だけAMTデバイスにてUSBプロビジョニングを行い、その後、Intel SCSに登録することができたので、手順概要だけですが、記事にしてみました。

Intel SCSをつかっての大まかな設定手順は以下の通りです。なお、今回のAMTデバイスのＯＳはWindows、サーバーはWindows Serverです。

1. プライベートネットワーク環境下のWindows サーバの認証局の設定
2. intel scsのインストール
3．AMT Provisioning 証明書の発行とSCS/RCSへの登録
4．intel scsを使ってusb用のSetup.binを作成(TLS設定のみ)
5. MeshcommanderのSetup.binエディタをつかって、プライベートルート認証局のハッシュ値（sha256）を設定。
6. ５のsetup.binをつかって、AMTデバイスをUSBプロビジョニング(初期設定)。
7．AMTデバイスにて”Intel(R) Management and Security Application Local Management Service”をインストール（ベンダーによりインストール方法は異なります。）
8. acuconfig.exeをつかって、AMTデバイスをSCS/RCSサーバに登録。

なお、今回の詳細は割愛しますが、以上の手順を踏むと、Meshcommanderをつかって、TLS接続でAMTデバイスの管理ができます。vPro非搭載のAMTデバイスでもSerial Over Lanを使ってBIOSの設定ができること、また、電源の状態なども確認できました。

簡単ですが、以上です。