Users Guide

Sicherheitskonfigurationen und Kompatibilität
Das iDRAC-Servicemodul (iSM) wird mit der standardmäßigen Sicherheitskonfiguration bereitgestellt, um vor bestimmten Gefahren
wie DLL-Hijacking, DLL-Manipulationen und Offenlegung von Daten zu schützen. In diesem Abschnitt wird die Sicherheitskonfiguration
beschrieben, mit der iSM installiert wird.
Themen:
• Verbesserte Sicherheit zwischen iSM- und iDRAC-Kommunikation durch Verwendung des TLS-Protokolls
• Authentifizieren von DLLs und gemeinsam genutzten Objekten vor dem Laden
Verbesserte Sicherheit zwischen iSM- und iDRAC-
Kommunikation durch Verwendung des TLS-Protokolls
Die Datenkommunikation zwischen iSM und iDRAC verwendet TLS-geschützte USBNIC-INET-Sockel. Dadurch wird der Schutz aller
Daten gewährleistet, die vom iDRAC über USBNIC zum iSM übertragen werden. iSM und iDRAC verwenden selbst signierte Zertifikate zur
Steuerung der Authentifizierung. Die selbst signierten Zertifikate sind 10 Jahre lang gültig. Neue selbst signierte Zertifikate werden jedes
Mal bei jeder neuen Installation vom neuen iSM erzeugt. Installieren oder aktualisieren Sie das iSM, wenn die Zertifikate ablaufen.
ANMERKUNG:
Die Neuinstallation (Reparatur) von iSM ist auf Linux-Betriebssystemen nicht möglich. Sie müssen iSM auf Linux-
Betriebssystemen deinstallieren und anschließend installieren.
ANMERKUNG: Wenn das TLS-Clientzertifikat von iSM abläuft, schlägt die Kommunikation zwischen iSM und iDRAC fehl und es
wird ein Auditprotokoll des Betriebssystems erzeugt. Anschließend müssen Sie iSM auf dem Hostbetriebssystem neu installieren.
Sowohl der iDRAC als auch die Host TLS-Versionen müssen 1.1 oder höher sein. Die Kommunikation zwischen iSM und iDRAC schlägt
fehl, wenn die TLS-Protokollversionsverhandlung fehlschlägt. Wenn iSM mit TLS-Funktionalität auf iDRAC-Firmware installiert ist, die
TLS-Kommunikation über USBNIC nicht unterstützt, funktioniert es mit dem Nicht-TLS-Kanal wie in den früheren Versionen von iSM.
Wenn iSM installiert oder auf Version 3.4.0 oder höher aktualisiert wird, bevor iDRAC auf Version 3.30.30.30 oder höher aktualisiert
wird, muss iSM deinstalliert und neu installiert werden, um ein neues TLS-Zertifikat einzurichten. iSM mit TLS-Funktionalität wird von
iDRAC-Firmware ab Version 3.30.30.30 unterstützt.
iSM ohne TLS-Funktionalität funktioniert auf einer TLS-fähigen Version der iDRAC-Firmware nicht. Beispiel: iSM 3.3 oder frühere
Versionen ohne TLS-Fähigkeit werden von iDRAC-Firmware 3.30.30.30 und höher nicht unterstützt. Wenn iSM 3.3.0 auf iDRAC-Firmware
der Version 3.30.30.30 installiert ist, treten in der Lifecycle-Controller-Protokolldatei mehrere Ereignisse mit ISM0050 auf.
ANMERKUNG:
Wenn der FIPS-Modus (Federal Information Processing Standards) entweder auf dem Hostbetriebssystem oder
iDRAC aktiviert sind, wird die Kommunikation zwischen iSM und iDRAC nicht hergestellt.
Policy-Einstellungen für Betriebssystem-BMC-Passthrough auf
VMware ESXi
Im olgenden werden die Befehle und die betroffenen Parameter der Policy-Einstellungen für die Betriebssystem-BMC-Passthrough-
Schnittstelle auf VMware ESXi aufgeführt:
esxcli network vswitch standard portgroup policy security set -u -p "iDRAC Network"
Allow Promiscuous: false
Allow MAC Address Change: false
Allow Forged Transmits: false
esxcli network vswitch standard policy security set -v vSwitchiDRACvusb -f false -m false
Override vSwitch Allow Promiscuous: false
5
Sicherheitskonfigurationen und Kompatibilität 27