インテリジェントプラットフォーム管理インターフェース

インテリジェントプラットフォーム管理インターフェイス( IPMI ) は、ホスト システムのCPU、ファームウェア( BIOSまたはUEFI )、オペレーティング システムから独立して管理および監視機能を提供する、自律型コンピュータ サブシステム用のコンピュータ インターフェイス仕様のセットです。 IPMI は、コンピュータ システムの帯域外管理やその動作の監視のためにシステム管理者が使用するインターフェイスのセットを定義します。 たとえば、IPMI は、オペレーティング システムやログイン シェルではなくハードウェアへのネットワーク接続を使用して、電源がオフになっているか応答しない可能性のあるコンピュータを管理する方法を提供します。 別の使用例としては、カスタムオペレーティング システムをリモートでインストールすることが挙げられます。 IPMI がない場合、カスタム オペレーティング システムをインストールするには、管理者が物理的にコンピュータの近くにいて、OSインストーラーを含むDVDまたはUSB フラッシュ ドライブを挿入し、モニターとキーボードを使用してインストール プロセスを完了する必要があります。 IPMI を使用すると、管理者はISO イメージをマウントし、インストーラー DVD をシミュレートして、リモートでインストールを実行できます。^[1]

この仕様はIntelが主導し、1998年9月16日に初めて公開されました。Cisco 、Dell、^[2] Hewlett Packard Enterprise、Intelなど200社以上のコンピュータシステムベンダーによってサポートされています。 ^[3] [ ^4]

標準化されたインターフェイスとプロトコルを使用すると、IPMI に基づくシステム管理ソフトウェアで複数の異なるサーバーを管理できます。メッセージ ベースのハードウェア レベルのインターフェイス仕様である IPMI は、オペレーティング システム(OS) とは独立して動作するため、管理者はオペレーティング システムやシステム管理 ソフトウェアがなくてもシステムをリモートで管理できます。したがって、IPMI 機能は、次の 3 つのシナリオのいずれでも機能します。

• OS が起動する前（例えば、BIOS 設定のリモート監視や変更が可能）
• システムの電源が切れたとき
• OSまたはシステム障害後 – インバンドシステム管理と比較したIPMIの主な特徴は、SSHを使用してオペレーティングシステムにリモートログインできることです。

システム管理者は、IPMI メッセージングを使用して、プラットフォームの状態 (システム温度、電圧、ファン、電源、シャーシ侵入など) を監視したり、インベントリ情報を照会したり、範囲外の状態のハードウェア ログを確認したり、同じ接続を介してリモート コンソールから要求を発行する (システムの電源をオフにして再起動するなど) などの回復手順を実行したり、ウォッチドッグ タイマーを構成したりすることができます。この標準では、システムが単純なネットワーク管理プロトコル(SNMP) プラットフォーム イベント トラップ (PET) を 送信するための警告メカニズムも定義されています。

監視対象システムは電源がオフでもかまいませんが、電源と監視媒体 (通常はローカル エリア ネットワーク(LAN) 接続) に接続されている必要があります。IPMI はオペレーティング システムの起動後にも機能し、管理データと構造をシステム管理ソフトウェアに公開します。IPMI はインターフェイスの構造と形式のみを標準として規定しており、詳細な実装は異なる場合があります。IPMI バージョン 1.5 の実装では、直接の帯域外 LAN またはシリアル接続、またはサイドバンド LAN 接続を介してリモートクライアントと通信できます。サイドバンド LAN 接続では、ボードのネットワーク インターフェイス コントローラ(NIC) を使用します。このソリューションは専用 LAN 接続よりも安価ですが、帯域幅が制限され、セキュリティの問題もあります。

IPMI バージョン 2.0 に準拠したシステムは、シリアル オーバー LAN 経由で通信することもできます。これにより、シリアル コンソールの出力を LAN 経由でリモートで表示できます。IPMI 2.0 を実装するシステムには通常、KVM over IP、リモート仮想メディア、および帯域外組み込み Web サーバー インターフェイス機能も含まれますが、厳密に言えば、これらは IPMI インターフェイス標準の範囲外です。

DCMI (データ センター管理インターフェイス) は、IPMI に基づく同様の標準ですが、データ センター管理により適したように設計されています。IPMI で定義されたインターフェイスを使用しますが、オプションのインターフェイスの数を最小限に抑え、電力制限制御が含まれるなど、さまざまな違いがあります。

IPMI サブシステムは、ベースボード管理コントローラ (BMC) と呼ばれるメイン コントローラと、サテライト コントローラと呼ばれるさまざまなシステム モジュールに分散されたその他の管理コントローラで構成されます。同じシャーシ内のサテライト コントローラは、インテリジェント プラットフォーム管理バス/ブリッジ (IPMB) と呼ばれるシステム インターフェイスを介して BMC に接続します。IPMB は、I²C (Inter-Integrated Circuit) の拡張実装です。BMC は、インテリジェント プラットフォーム管理コントローラ (IPMC) バスまたはブリッジを介して、サテライト コントローラまたは別のシャーシ内の別の BMC に接続します。BMC は、この仕様で定義されている特殊なワイヤ プロトコルであるリモート管理制御プロトコル(RMCP) を使用して管理できます。IPMI over LAN には、RMCP+ ( RMCP よりも強力な認証を備えたUDPベースのプロトコル) が使用されます。

複数のベンダーが BMC チップを開発し、販売しています。組み込みアプリケーションに使用される BMC はメモリが限られているため、完全な IPMI 機能を実装するには最適化されたファームウェア コードが必要になる場合があります。高度に統合された BMC は複雑な命令を提供し、サービス プロセッサの完全な帯域外機能を提供できます。IPMI インターフェイスを実装するファームウェアは、さまざまなベンダーによって提供されています。フィールド交換可能ユニット(FRU) リポジトリには、ベンダー ID や製造元など、交換可能なデバイスの在庫が保持されます。センサー データ レコード (SDR) リポジトリには、ボード上にある個々のセンサーのプロパティが提供されます。たとえば、ボードには温度、ファン速度、電圧のセンサーが含まれている場合があります。

ベースボード管理コントローラ (BMC) は、IPMI アーキテクチャにインテリジェンスを提供します。これは、コンピュータ (通常はサーバー)のマザーボードに組み込まれた特殊なマイクロコントローラです。BMC は、システム管理ソフトウェアとプラットフォーム ハードウェア間のインターフェイスを管理します。BMC には専用のファームウェアと RAM があります。

コンピュータ システムに組み込まれたさまざまな種類のセンサーが、温度、冷却ファンの速度、電源状態、オペレーティング システム(OS) の状態などのパラメータを BMC に報告します。BMC はセンサーを監視し、パラメータのいずれかが事前に設定された制限内に収まっていない場合は、システムの潜在的な障害を示し、ネットワーク経由でシステム管理者に警告を送信できます。管理者は、BMC とリモート通信して、システムをリセットしたり、電源を入れ直してハングした OS を再び実行したりするなどの修正措置を講じることもできます。これらの機能により、システムの 総所有コストが削減されます。

IPMI バージョン 2.0 に準拠したシステムは、シリアル オーバー LAN 経由で通信することもできます。これにより、シリアル コンソールの出力を LAN 経由でリモートで表示できます。IPMI 2.0 を実装するシステムには通常、KVM over IP、リモート仮想メディア、および帯域外組み込み Web サーバー インターフェイス機能も含まれますが、厳密に言えば、これらは IPMI インターフェイス標準の範囲外です。

BMC への物理インターフェイスには、SMBus、RS-232 シリアルコンソール、アドレス ラインとデータ ライン、および BMC がシステム内の他の管理コントローラからの IPMI 要求メッセージを受け入れることを可能にする IPMB が含まれます。

BMC への直接シリアル接続は、接続自体が安全であるため暗号化されません。LAN 経由の BMC への接続では、ユーザーのセキュリティ上の懸念に応じて、暗号化を使用する場合と使用しない場合があります。

クローズドインフラストラクチャとしてのBMCに関する一般的なセキュリティに関する懸念が高まっています。^{[5] [6] [7] [8]} OpenBMCはLinux Foundation CollaborativeのオープンソースBMCプロジェクトです。 ^[9]

2013年7月2日、Rapid7は最新のIPMI 2.0プロトコルとさまざまなベンダーによる実装のセキュリティ侵入テストガイドを公開しました。^[10]

2013年には、ベースボード管理コントローラ（BMC）の設計と脆弱性に関連するセキュリティ上の懸念から、古いバージョンのIPMIを使用しないようアドバイスする情報源もありました^{[5] 。 [11] [12]}

しかし、他の管理インターフェースと同様に、セキュリティのベストプラクティスでは、信頼できる管理者に制限された専用の管理LANまたはVLANにIPMI管理ポートを配置することが推奨されています。^[13]

IPMI仕様はRAKP+と、解読が計算上不可能な強力な暗号で更新されました。^[14]その結果、ベンダーはこれらの脆弱性を修正するパッチを提供しました。^{[引用が必要]}

DMTF組織は、現代のデータセンター環境で動作するように、Redfishと呼ばれる安全でスケーラブルなインターフェース仕様を開発しました。^[15]

IPMI 標準の外部には、独自の実装に応じて、いくつかの潜在的なソリューションが存在します。デフォルトの短いパスワードの使用や「cipher 0」ハッキングは、データセンターや中規模から大規模の展開で一般的に行われているように、SSL 経由の認証、承認、アカウンティング (AAA)にRADIUSサーバー を使用すれば簡単に克服できます。ユーザーの RADIUS サーバーは、FreeRADIUS/OpenLDAP または Microsoft Active Directory と関連サービスを使用して、 AAA をLDAPデータベースに安全に保存するように構成できます。

ロールベースのアクセスは、上位のロールの制限を増やすことで、現在および将来のセキュリティ問題に対応する方法を提供します。ロールベースのアクセスは、管理者、オペレーター、ユーザーの 3 つのロールでサポートされています。

全体的に、ユーザー ロールには BMC の読み取り専用アクセスがあり、電源サイクルなどのリモート制御機能や、マザーボード上のメイン CPU の表示やログイン機能はありません。したがって、ユーザー ロールを持つハッカーは機密情報にアクセスできず、システムを制御することもできません。ユーザー ロールは通常、SNMP ネットワーク監視ソフトウェアによって SNMP アラートが受信された後、センサーの読み取りを監視するために使用されます。

オペレータ ロールは、システムがハングアップするまれな状況で、NMI クラッシュ/コア ダンプ ファイルを生成し、システムを再起動または電源サイクルするために使用されます。このような場合、オペレータはシステム ソフトウェアにアクセスして、クラッシュ/コア ダンプ ファイルを収集することもできます。

管理者ロールは、システムを初めてインストールしたとき、システムの試運転中に最初の起動時に BMC を構成するために使用されます。

したがって、賢明なベスト プラクティスは、LDAP/RADIUS で Operator ロールと Administrator ロールの使用を無効にし、LDAP/RADIUS 管理者が必要とするときにのみ有効にすることです。たとえば、RADIUS では、ロールの Auth-Type 設定を次のように変更できます。

認証タイプ:=拒否

そうすることで、ユーザー名が RADIUS サーバーによって拒否されるため、RAKP ハッシュ攻撃が成功することを防ぐことができます。

IPMI標準仕様は、いくつかの反復を経て進化してきました。^{[16] [17]}

• v1.0は1998年9月16日に発表されました: 基本仕様
• v1.5、2001年2月21日公開: IPMI over LAN、IPMI over Serial/Modem、LAN Alertingなどの機能を追加
• v2.0、2004 年 2 月 12 日公開: シリアル オーバー LAN、グループ管理システム、拡張認証、ファームウェア ファイアウォール、VLAN サポートなどの機能が追加されました。
• v2.0 リビジョン 1.1、2013 年 10 月 1 日公開: エラッタ、説明、および補遺の修正、および IPv6 アドレス指定のサポートの追加
• v2.0 改訂版 1.1 エラッタ 7、2015年4月21日発行：エラッタ、説明、補遺の修正^[18]

• HP Integrated Lights-Out、HP の IPMI 実装
• Dell DRAC、DellのIPMI実装
• IBM リモート スーパーバイザ アダプタ、 IPMI 実装を含むIBMの帯域外管理製品
• MegaRAC、AMIの帯域外管理製品およびOEM IPMIファームウェア
• Avocent MergePoint 組み込み管理ソフトウェア、OEM IPMI ファームウェア
• Cisco Integrated Management Controller (IMC)、Cisco の IPMI 実装
• Lenovo xClarity、Lenovo の IPMI 実装

• アラート標準フォーマット（ASF）、別のプラットフォーム管理標準
• デスクトップおよびモバイルのシステムハードウェアアーキテクチャ（DASH）、別のプラットフォーム管理標準
• IPMI の代替として Intel の帯域外管理製品であるIntel Active Management Technology (AMT)
• レッドフィッシュ（仕様）
• 管理コンポーネントトランスポートプロトコル（MCTP）、ハードウェアコンポーネントを制御するために使用される低レベルプロトコル
• AMD の帯域外管理標準であるOpen Platform Management Architecture (OPMA)
• 一部の SPARC マシン上のシステム サービス プロセッサ
• 管理のためのワイヤード(WfM)

ウィキメディア・コモンズには、インテリジェント・プラットフォーム管理インターフェースに関連するメディアがあります。

• Intel IPMI テクニカル リソース ウェブサイト
• 一般的な IPMI ソフトウェア オープンソース プロジェクトの比較
• GNU FreeIPMI
• ipmiツール
• ipmiutil
• オープンIPMI
• coreIPM プロジェクト - IPMI ベースボード管理用のオープンソース ファームウェア
• IPMeye - 企業向けの集中型アウトオブバンドアクセス / VendorN の OneDDI プラットフォームの一部