(57)【特許請求の範囲】
【請求項１】
管理コンソールによって、クライアント・デバイスが能動管理技術をサポートしているかどうかを検査するために前記クライアント・デバイスに更新コマンドを送る段階と、
前記管理コンソールによって、前記クライアント・デバイスから能動管理技術値を受信した後にワンタイム・パスワードを生成する段階と、
前記ワンタイム・パスワードをプロビジョニング・サーバーおよび前記クライアント・デバイスに記憶する段階と、
前記クライアント・デバイスの管理エージェントによって、能動管理ユニットにネットワーク・インターフェースを開いてセットアップ・メッセージを傾聴するよう命令する段階と、
完全修飾ドメイン名が利用可能でない場合、前記能動管理ユニットによって、前記プロビジョニング・サーバーを識別する段階と、
前記プロビジョニング・サーバーによって、前記ワンタイム・パスワードを使って前記クライアント・デバイスを認証する段階と、
前記クライアント・デバイスによって、証明書チェーンを使って前記プロビジョニング・サーバーを認証する段階と、
前記能動管理ユニットによって、前記プロビジョニング・サーバーを監査する段階と、
前記プロビジョニング・サーバーによって、前記クライアント・デバイスと前記プロビジョニング・サーバーとの間に安全な接続を確立する段階とを有する、
方法。
【請求項２】
前記クライアント・デバイスによってサポートされている能動管理技術が傾聴モードに構成設定されている場合に前記ワンタイム・パスワードが生成される、請求項１記載の方法。
【請求項３】
前記プロビジョニング・サーバーを識別する前記段階がさらに、動的ホスト構成プロトコル・サーバーからドメイン名サーバー・サフィックスを取得することを含む、請求項１記載の方法。
【請求項４】
前記クライアント・デバイスを認証する前記段階がさらに：
前記クライアント・デバイスから前記ワンタイム・パスワードを受信する段階と、
前記クライアント・デバイスから受信されたワンタイム・パスワードを、前記プロビジョニング・サーバーに記憶されているワンタイム・パスワードと照合する段階とを有する、
請求項１記載の方法。
【請求項５】
前記プロビジョニング・サーバーを認証する前記段階がさらに：
前記プロビジョニング・サーバーに自己署名証明書を与え、ここで、前記自己署名証明書および鍵ペアが前記クライアント・デバイスによって生成される段階と、
前記ネットワーク・インターフェースを通じて、前記プロビジョニング・サーバーによって送られた、信頼のルートを含む証明書チェーンを含む前記セットアップ・メッセージを受信する段階と、
前記証明書チェーンのハッシュ値を記憶されている複数のハッシュ値と照合する段階とを有する、
請求項４記載の方法。
【請求項６】
請求項５記載の方法であって、前記クライアント・デバイスおよび前記プロビジョニング・サーバーによって、トランスポート層セキュリティ・プロトコルを使って、前記クライアント・デバイスと前記プロビジョニング・サーバーとの間の認証された接続を確立する段階をさらに有する、方法。
【請求項７】
前記プロビジョニング・サーバーを監査する前記段階が、前記プロビジョニング・サーバーとのセッションの複数のパラメータの記録を維持することを含む、請求項１記載の方法。
【請求項８】
前記プロビジョニング・サーバーを識別する前記段階が、利用可能な完全修飾ドメイン名を使って前記ドメイン名サーバーに問い合わせすることによって前記プロビジョニング・サーバーを位置発見することを含む、請求項１記載の方法。
【請求項９】
管理エージェントをサポートするプロセッサおよび前記プロセッサに結合されたチップセットを有するコンピューティング・デバイスであって、
前記管理エージェントは管理コンソールに、該管理コンソールから更新要求を受信した後に、能動管理技術値を送るものであり、
前記チップセットは、
能動管理技術値を前記管理エージェントに与え、
前記管理コンソールからワンタイム・パスワードを受信した後に、該ワンタイム・パスワードを不揮発性メモリに記憶し、
前記能動管理技術に、セットアップ・メッセージを傾聴するようネットワーク・インターフェースを開くよう命令し、
完全修飾ドメイン名が利用可能でない場合、プロビジョニング・サーバーを識別し、
証明書チェーンを使って前記プロビジョニング・サーバーを認証し、
前記プロビジョニング・サーバーとの安全な接続を確立する前に前記プロビジョニング・サーバーを監査する、
コンピューティング・デバイス。
【請求項１０】
不揮発性メモリをさらに有する請求項９記載のコンピューティング・デバイスであって、前記不揮発性メモリは、当該コンピューティング・デバイスによってサポートされている能動管理技術が傾聴モードに構成設定されている場合に前記ワンタイム・パスワードを記憶する、コンピューティング・デバイス。
【請求項１１】
前記チップセットが、前記プロビジョニング・サーバーの前記完全修飾ドメイン名が利用可能でない場合に動的ホスト構成プロトコル・サーバーからドメイン名サーバー・サフィックスを取得することによってネットワーク・アドレスを決定する、請求項９記載のコンピューティング・デバイス。
【請求項１２】
前記チップセットがさらに能動管理技術ユニットを有する、請求項１１記載のコンピューティング・デバイスであって、前記能動管理技術ユニットは、
前記プロビジョニング・サーバーに自己署名証明書を与え、
前記プロビジョニング・サーバーから、前記ネットワーク・インターフェースを通じて、信頼のルートを含む証明書チェーンを含む前記セットアップ・メッセージを受信し、
前記証明書チェーンのハッシュ値を記憶されている複数のハッシュ値と照合する、
請求項１１記載のコンピューティング・デバイス。
【請求項１３】
前記能動管理技術ユニットが、トランスポート層セキュリティ・プロトコルを使って、前記プロビジョニング・サーバーとの認証された接続を確立する、請求項１２記載のコンピューティング・デバイス。
【請求項１４】
前記チップセットが、前記プロビジョニング・サーバーを監査するために、前記プロビジョニング・サーバーとのセッションの複数のパラメータの記録を維持する、請求項９記載のコンピューティング・デバイス。
【請求項１５】
前記チップセットが、利用可能な完全修飾ドメイン名を使って前記ドメイン名サーバーに問い合わせすることによって前記プロビジョニング・サーバーを位置発見する、請求項９記載のコンピューティング・デバイス。
【請求項１６】
ネットワーク・インターフェースをさらに有する請求項９記載のコンピューティング・デバイスであって、前記ネットワーク・インターフェースは、
前記管理コンソールから前記ワンタイム・パスワードを受領し、
前記の署名された証明書を前記プロビジョニング・サーバーに送り、
前記プロビジョニング・サーバーから前記証明書チェーンを受信する、
コンピューティング・デバイス。
【請求項１７】
複数の命令を有する機械可読媒体であって、前記命令が実行されると、コンピューティング・デバイスが：
更新コマンドを受信するのに応答して能動管理技術値を送る段階と、
クライアント・デバイス内にワンタイム・パスワードを記憶する段階と、
能動管理技術にネットワーク・インターフェースを開いてセットアップ・メッセージを傾聴するよう命令する段階と、
完全修飾ドメイン名が利用可能でない場合、前記プロビジョニング・サーバーを識別する段階と、
前記ワンタイム・パスワードを使って前記クライアント・デバイスを認証する段階と、
証明書チェーンを使って前記プロビジョニング・サーバーを認証する段階と、
前記プロビジョニング・サーバーを監査する段階と、
前記クライアント・デバイスと前記プロビジョニング・サーバーとの間に安全な接続を確立する段階とを実行する、
機械可読媒体。
【請求項１８】
前記クライアント・デバイスによってサポートされている能動管理技術が傾聴モードに構成設定されている場合に前記ワンタイム・パスワードが生成される、請求項１７記載の機械可読媒体。
【請求項１９】
前記プロビジョニング・サーバーを識別する前記段階がさらに、動的ホスト構成プロトコル・サーバーからドメイン名サーバー・サフィックスを取得することを含む、請求項１７記載の機械可読媒体。
【請求項２０】
前記プロビジョニング・サーバーを認証する前記段階がさらに：
前記プロビジョニング・サーバーに自己署名証明書を与え、ここで、前記自己署名証明書および鍵ペアが前記クライアント・デバイスによって生成される段階と、
前記ネットワーク・インターフェースを通じて、信頼のルートを含む証明書チェーンを含む前記セットアップ・メッセージを受信する段階と、
前記証明書チェーンのハッシュ値を記憶されている複数のハッシュ値と照合する段階とを有する、
請求項１７記載の機械可読媒体。
【請求項２１】
請求項２０記載の機械可読媒体であって、トランスポート層セキュリティ・プロトコルを使って、前記クライアント・デバイスと前記プロビジョニング・サーバーとの間の認証された接続を確立する段階をさらに有する、請求項２０記載の機械可読媒体。
【請求項２２】
前記プロビジョニング・サーバーを監査する前記段階が、前記プロビジョニング・サーバーとのセッションの複数のパラメータの記録を維持することを含む、請求項１７記載の機械可読媒体。
【請求項２３】
前記プロビジョニング・サーバーを識別する前記段階が、利用可能な完全修飾ドメイン名を使って前記ドメイン名サーバーに問い合わせすることによって前記プロビジョニング・サーバーを位置発見することを含む、請求項１７記載の機械可読媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本願は、コンピュータ・システムにおける能動管理技術（AMT）のプロビジョニングに関する。
【背景技術】
【０００２】
コンピュータ・システムは、該コンピュータ・システムを発見する、治癒する、保護するといった機能をサポートするためにインテル（登録商標）能動管理技術（AMT:  active  management  technology）のプロビジョニング（provisioning）を許容しうる。コンピュータ・システムにおいてインテル（登録商標）能動管理技術（AMT）をプロビジョニングする間、企業IT部門の技術者は、エンドユーザー領域またはITステージング領域のいずれかにおける構成設定値を手動で提供しうる。
【０００３】
本稿で記載される発明は、付属の図面において、限定ではなく例として図解される。図解の簡明のため、図面に示される要素は必ずしも縮尺通りに描かれていない。たとえば、いくつかの要素の大きさは、明快のため、他の要素に対して誇張されていることがある。さらに、適切と思われる場合には、対応するまたは相当する要素を示すために、複数の図面の間で参照符号が繰り返し用いられている。
【発明の開示】
【発明が解決しようとする課題】
【０００４】
本発明は、コンピュータ・システムにおける能動管理技術（AMT）のプロビジョニングに関する有利な技術を提供する。
【課題を解決するための手段】
【０００５】
ある側面では、本願は、クライアント・デバイスが能動管理技術をサポートしているかどうかを検査するためにクライアント・デバイスに更新コマンドを送る段階と、クライアント・デバイスから能動管理技術値を受信した後に管理コンソールにおいてワンタイム・パスワードを生成する段階と、前記ワンタイム・パスワードをプロビジョニング・サーバーおよび前記クライアント・デバイスに記憶する段階と、能動管理技術にネットワーク・インターフェースを開いてセットアップ・メッセージを傾聴するよう命令する段階と、完全修飾ドメイン名が利用可能でない場合、前記プロビジョニング・サーバーを識別する段階と、前記ワンタイム・パスワードを使って前記クライアント・デバイスを認証する段階と、証明書チェーンを使って前記プロビジョニング・サーバーを認証する段階と、前記プロビジョニング・サーバーを監査する段階と、前記クライアント・デバイスと前記プロビジョニング・サーバーとの間に安全な接続を確立する段階とを有する、方法を提供する。
【０００６】
他の側面では、本願は対応するコンピューティング・デバイスおよび機械可読媒体を提供する。
【発明を実施するための最良の形態】
【０００７】
以下の記述は、コンピュータ・システムにおける能動管理技術（AMT）のプロビジョニングを記載する。以下の記述において、本発明のより十全な理解を与えるために、論理的な実装、資源分配もしくは共有もしくは重複実装、システム・コンポーネントの型および相互関係ならびに論理的な分配または統合選択といった数多くの個別的詳細が述べられる。しかしながら、当業者は、本発明がそのような個別的詳細なしでも実施されうることを理解するであろう。他の例では、制御構造、ゲートレベル回路およびソフトウェア命令シーケンスは、本発明を埋没させないよう、詳細には示さなかった。当業者は、含まれている記述で、不相応な試行なしに適切な機能性を実装できるであろう。
【０００８】
明細書における「一つの実施形態」「ある実施形態」「例示的な実施形態」の言及が記載される実施形態が特定の特徴、構造または特性を含むことがあるが、すべての実施形態が必ずしもその特定の特徴、構造または特性を含むとは限らない。さらに、そのような表現は必ずしも同じ実施形態を指すのではない。さらに、特定の特徴、構造または特性がある実施形態との関連で記載されるとき、そのような特徴、構造または特性を他の実施形態との関連で実施することは、明示的に記載されているか否かにかかわらず、当業者の知識の範囲内であることを述べておく。
【０００９】
本発明の実施形態は、ハードウェア、ファームウェア、ソフトウェアまたはそれらの任意の組み合わせにおいて実装されうる。本発明の実施形態は、機械可読媒体上に記憶された命令として実装されてもよく、該命令は一つまたは複数のプロセッサによって読み込まれ、実行されてもよい。機械可読媒体は、情報を、機械（たとえばコンピューティング・デバイス）によって読み取り可能な形で記憶する任意の機構を含みうる。
【００１０】
たとえば、機械可読媒体は、読み出し専用メモリ（ROM）；ランダム・アクセス・メモリ（RAM）；磁気ディスク記憶媒体；光記憶媒体；フラッシュメモリ・デバイスを含みうる。さらに、ファームウェア、ソフトウェア、ルーチンおよび命令が本稿においてある種の動作を実行するとして記載されることがあるが、そのような記載は単に便宜上のものであって、そのような動作は実際にはコンピューティング・デバイス、プロセッサ、コントローラおよび他の装置が前記ファームウェア、ソフトウェア、ルーチンおよび命令を実行することから帰結することは理解しておくべきである。
【００１１】
ネットワーク環境１００のある実施形態が図１に示されている。ある実施形態では、ネットワーク環境１００はクライアント・システム１０５、ネットワーク１６０、動的ホスト構成プロトコル（DHCP:  dynamic  host  configuration  protocol）サーバー１６５、ドメイン名システム（DNS:  domain  name  system）サーバー１７０、プロビジョニング・サーバー１８０および管理コンソール１９０を有していてもよい。
【００１２】
ネットワーク１６０は、クライアント・デバイス１０５、DHCPサーバー１６５、DNSサーバー１７０、プロビジョニング・サーバー１８０および管理コンソール１９０といったコンピューティング・デバイスを結合しうる。ネットワーク１６０は、ルーターおよびゲートウェイといったネットワーク・デバイスを有していてもよく、それらによって、有線および無線の媒体を通じたクライアント・デバイス１０５、DHCPサーバー１６５、DNSサーバー１７０、プロビジョニング・サーバー１８０および管理コンソール１９０の間のデータの転送がサポートされうる。ある実施形態では、ネットワーク１６０のネットワーク・デバイスは、転送制御プロトコル／インターネット・プロトコルのスイート（TCP/IP）、ユーザー・デーグラム・プロトコル（UDP）および他の同様のプロトコル・スイートをサポートしうる。
【００１３】
DHCPサーバー１６５は、ネットワーク１６０に結合されたコンピューティング・デバイスに、該コンピューティング・デバイスから要求を受信するのに応答して、IPアドレスを割り当てうる。ある実施形態では、DHCPサーバー１６５はクライアント・デバイス１０５が使用しうるドメイン名を提供し、一方でドメイン名システム（DNS）を介してホスト名を解決する。ある実施形態では、DHCPサーバー１６５はクライアント・デバイス１０５に、該クライアント・デバイス１０５から要求を受信するのに応答して、動的にIPアドレスを割り当てうる。DHCPサーバー１６５はまた、デフォルト・ゲートウェイ、サブネット・マスク、クライアント・デバイス１０５のIPアドレスおよび他の同様のパラメータをクライアント・デバイス１０５に提供してもよい。
【００１４】
DNSサーバー１７０は、ドメイン名をIPアドレスに変換しうる。DNSサーバー１７０は、プロビジョニング・サーバー１８０のコンタクト情報をクライアント・デバイス１０５に提供してもよく、クライアント・デバイス１０５のコンタクト情報をプロビジョニング・サーバー１８０に提供してもよい。DNSサーバー１７０はまた、管理サーバー１９０がクライアント・デバイス１０５のアドレスを位置発見するのをサポートしてもよい。
【００１５】
設定段階の間、管理コンソール１９０はクライアント・デバイス１０５にコンタクトし、クライアント・デバイス１０５がAMTをサポートしているかどうかを判定するために更新要求を送りうる。管理コンソール１９０は、クライアント・デバイス１０５がAMTをサポートする場合、該更新要求に応答してクライアント・デバイス１０５からAMT値を受信しうる。ある実施形態では、管理コンソール１９０は、クライアント・デバイス１０５からAMT値を受信した後、ワンタイム・パスワード（OTP:  one-time  password）を生成してもよい。ある実施形態では、AMT値は、普遍一意識別子（UUID:  universal  unique  identifier）、AMTバージョン識別子およびそのような他の値を含んでいてもよい。ある実施形態では、AMT値はクライアント・デバイス１０５を一意的に同定し、クライアント・デバイス１０５が能動管理技術をサポートしているかどうかを示してもよい。ある実施形態では、管理コンソール１９０は前記AMT値およびOTPをプロビジョニング・サーバー１８０に送り、前記OTPをクライアント・デバイス１０５に送ってもよい。ある実施形態では、管理コンソール１９０は、クライアント・デバイス１０５がプロビジョニング・サーバー１８０およびDNSサーバー１７０を位置発見するのをサポートしてもよい。
【００１６】
プロビジョニング・サーバー１８０はクライアント・デバイス１０５上のAMTのプロビジョニングをサポートしうる。ある実施形態では、プロビジョニング・サーバー１８０はインテル（登録商標）セットアップおよび構成設定サービス（SCS:  set-up  and  configuration  services）のようなセットアップおよび構成設定アプリケーションをサポートしてもよい。ある実施形態では、プロビジョニング・サーバー１８０はAMT値およびOTPを管理コンソール１９０から受信してもよく、プロビジョニング・サーバー１８０が適切なクライアント・デバイス１０５と通信していることを保証するために、AMT値およびOTPを記憶してもよい。ある実施形態では、プロビジョニング・サーバー１８０は、クライアント・デバイス１０５を認証するためにAMT値およびOTPを使ってもよい。ある実施形態では、プロビジョニング・サーバー１８０はクライアント・デバイス１０５からハロー・パケットを受信してもよく、ハロー・パケットに埋め込まれているOTPをクライアント・デバイスを認証する前に記憶されたOTPと比較してもよい。ある実施形態では、プロビジョニング・サーバー１８０は、クライアント・デバイス１０５から自己署名証明書を受信したのち、証明書チェーンを送ってもよい。ある実施形態では、証明書チェーンはプロビジョニング・サーバー１８０を認証するために使われてもよい。ある実施形態では、プロビジョニング・サーバー１８０は、相互認証が完了した後に、クライアント・デバイスとの安全な（secure）セッションを樹立してもよい。ある実施形態では、プロビジョニング・サーバー１８０の認証は、悪者のプロビジョニング・サーバーが自らをプロビジョニング・サーバー１８０として認証するのを回避してもよい。
【００１７】
クライアント・デバイス１０５は、クライアント・デバイス１０５上の能動管理技術の自動プロビジョニングを許容しうる能動管理技術（AMT）コンポーネントをサポートしてもよい。ある実施形態では、能動管理技術をセットアップし、構成設定するプロセスは、プロビジョニング（provisioning）と称されてもよい。クライアント・デバイス１０５上での能動管理技術のプロビジョニングは、クライアント・デバイス１０５の発見、治癒および保護をリモートに可能にしうる。ある実施形態では、AMTは改善された資産管理、IT部門の技術者による最小限のデスク・サイド訪問、改善されたセキュリティ・レベル、リモートの障害検出およびそのような他の同様の特徴を可能にしうる。ある実施形態では、クライアント・デバイス１０５は、プロビジョニング・サーバー１８０および管理コンソール１９０とのインターフェースをもつために、ネットワーク・インターフェース１５９を通じてネットワーク１６０と結合してもよい。
【００１８】
ある実施形態では、クライアント・デバイス１０５は、クライアント・システム１０５が自動的にプロビジョニング・サーバー１８０との安全な接続を確立するのを可能にしうる、ノータッチ（zero-touch）またはワンタッチ（one-touch）のプロビジョニング機能をサポートしてもよい。ある実施形態では、ノータッチ・プロビジョニング機能はクライアント・デバイス１０５が、IT技術者がITステージング領域およびエンドユーザー領域において手動でクライアント・デバイス１０５を構成設定する必要なく、能動管理技術をプロビジョニングすることを可能にしうる。ある実施形態では、ノータッチ・プロビジョニングは、セキュリティ保護されていない（unsecured）DNSサフィックス・オプションまたはセキュリティ保護されたDNSサフィックス・オプションを使って実行されてもよい。
【００１９】
ある実施形態では、セキュリティ保護されていないDNSサフィックス・オプションは、AMTがそのDNSドメイン内のクライアント・デバイスのFQDNのDNSサフィックスを得るためにDHCPサーバーを使うプロビジョニング機能を指しうる。ある実施形態では、FQDNは、そのDNSドメイン内の適切なプロビジョニング・サーバーを識別するために使用されうる。しかしながら、セキュリティ保護されていないDNSサフィックス・オプションを使っている間、敵がDHCPサーバーを乗っ取り、AMTに、クライアント・デバイス１０５が敵のDNSドメイン内にあると結論させることがありうる。ある実施形態では、セキュリティ保護されたDNSサフィックス・オプションは、プロビジョニング・サーバー１８０のFQDNが購入契約のもとでOEMによってAMTに提供されうるプロビジョニング機能を指しうる。ある実施形態では、AMTをサポートするクライアント・デバイス１０５は、プロビジョニング・サーバー１８０を識別するためにDHCPサーバー１５０にコンタクトしなくてもよい。
【００２０】
ある実施形態では、ワンタッチ・プロビジョニング機能は、ITステージング領域においてクライアント・システム１０５を構成設定し、次いでエンドユーザー領域でAMTを構成設定する必要なしにエンドユーザー領域で使用されることを許容しうる。ある実施形態では、ワンタッチ・プロビジョニングは、安全なDNS（secure  DNS）オプションまたはプロビジョニング識別子（provisioning  identifier）／プロビジョニング事前共有鍵（provisioning  pre-shared  key）もしくはプロビジョニング・パスフレーズ（provisioning  passphrase）（PID/PPS）オプションを使用しうる。ある実施形態では、AMTをプロビジョニングするために使用されうるPID/PPSはセキュリティ鍵を表しうる。ある実施形態では、ワンタッチ・プロビジョニング機能は、クライアント・システム１０５がプロビジョニング・サーバー１８０と、IT技術者がエンドユーザー領域（end-user  area）で手動でクライアント・デバイス１０５を構成設定する必要なしに、自動的に安全な接続を確立することを可能にしうる。ある実施形態では、ITステージング領域（IT  staging  area）とは、コンピュータ・システムをエンドユーザーに発する前および後にコンピュータ・システムを構成設定、セットアップ、追跡（track）および修理する企業組織のIT部局を指しうる。
【００２１】
ある実施形態では、クライアント・システム１０５はアプリケーション１１０、オペレーティング・システム（OS）１２０およびハードウェア・ユニット１５０を有しうる。ある実施形態では、ハードウェア・ユニット１５０は中央処理ユニット（CPU）１５２、チップセット１５５、メモリ１５６、NVRAM１５７、BIOS１５８およびネットワーク・インターフェース１５９を有していてもよい。ある実施形態では、クライアント・デバイス１０５は、クライアント・デバイス１０５とプロビジョニング・サーバー１８０との間に安全かつ認証された通信チャネルをリモートに開始するノータッチまたはリモート構成設定（RCFG:  remote  configuration）をサポートしてもよい。
【００２２】
中央処理ユニット１５２はチップセット１５５に結合されうる。チップセット１５５は、CPU１５２が、メモリ１５６、NVRAM１５７、BIOS１５８およびネットワーク・インターフェース１５９のようなI/Oデバイスとインターフェースをもつことを許容しうるものである。中央処理ユニット１５２は、CPU１５２の資源を管理し、アプリケーション１１０をスケジューリングしうるオペレーティング・システム１２０をサポートしていてもよい。ある実施形態では、CPU１５２はインテル（登録商標）のマイクロプロセッサ・ファミリーを含んでいてもよい。ある実施形態では、AMTのプロビジョニングは、インテル（登録商標）vPro（商標）およびインテル（登録商標）セントリノ（登録商標）のようなプラットフォームによってサポートされてもよい。
【００２３】
チップセット１５５は、能動管理技術（AMT）をサポートしうる能動管理ユニット１５３を有していてもよい。ある実施形態では、チップセット１５５は、AMTをサポートする場合、AMT対応チップセットと称されてもよい。ある実施形態では、能動管理ユニット１５３は、能動管理技術（AMT）をサポートするための管理エンジン（ME:  management  engine）のようなプログラム可能な処理ユニットを有していてもよい。ある実施形態では、能動管理ユニット１５３は、ハードウェア１５０の、CPU１５２のような他のブロックによってサポートされてもよいし、あるいは能動管理ユニット１５３はスタンドアローン・コンポーネントとして設けられてもよい。ある実施形態では、AMTファームウェア・コンポーネントは、NVRAM１５７のような不揮発性記憶装置によってサポートされてもよい。ある実施形態では、能動管理ユニット１５３は、クライアント・システム１０５の上でAMTをプロビジョニングするためにファームウェア・コードを実行してもよい。
【００２４】
ある実施形態では、能動管理ユニット（AMU:  active  management  unit）１５３は、インテル（登録商標）AMTのプロビジョニングをサポートしてもよい。ある実施形態では、クライアント・システム１０５は、AMTをプロビジョニングするのに、ノータッチ・プロビジョニングまたはワンタッチ・プロビジョニング・アプローチを使用しうる。ある実施形態では、能動管理ユニット（AMU）１５３は、ノータッチ・プロビジョニング・アプローチを使う間、遅延されたプロビジョニングをサポートしてもよい。遅延されたプロビジョニングを使う間、AMU１５３は、オペレーティング・システム１２０をインストールしたあと、AMTをプロビジョニングしてもよい。
【００２５】
ある実施形態では、能動管理ユニット（AMU）１５３は、ワンタッチ・プロビジョニングを使っている間、遅延されたプロビジョニングまたはベアメタル（bare-metal）プロビジョニングを使ってもよい。ある実施形態では、能動管理ユニット（AMU）１５３は、ベアメタル・プロビジョニングを使う間、オペレーティング・システム１２０のインストール前にAMTをプロビジョニングしてもよい。ある実施形態では、能動管理ユニット１５３はAMTをプロビジョニングしてもよく、その際、クライアント・デバイス１０５はオペレーティング・システム１２０をリモート・ソースから、AMTをプロビジョニングすることによって確立された安全な接続を通じてダウンロードしてもよい。
【００２６】
クライアント・デバイス１０５上でAMTをプロビジョニングするオプションを選択するある実施形態が図２に描かれている。ブロック２１０では、能動管理ユニット１５３は、NVRAM１５７に証明書ハッシュが存在するかどうかを判定してもよく、証明書ハッシュが存在していなければ制御はブロック２３０にわたり、それ以外の場合にはブロック２６０にわたる。ある実施形態では、証明書ハッシュは、信頼されるX509v3のルート証明書の暗号ハッシュを含んでいてもよい。ある実施形態では、能動管理ユニット１５３は、プロビジョニング・サーバー１８０によって提供される証明書チェーンのルート証明書のハッシュ値を、NVRAM１５７中に記憶されている諸証明書ハッシュと比較してもよい。一致するものが見出されなければ、制御はブロック２３０にわたり、それ以外の場合にはブロック２６０にわたる。ある実施形態では、装置製造供給元（OEM）がNVRAM１５７中にSHA-1の証明書ハッシュを記憶してもよい。SHA-1証明書ハッシュは、トランスポート層セキュリティ（TLS）、安全なソケット層（SSL）、IPsecおよび他の同様の暗号プロトコルを含むセキュリティ・アプリケーションおよびプロトコルで使用されうるものである。ある実施形態では、装置製造供給元（OEM）は、証明書ハッシュを生成してもよいし、プラットフォーム販売者によって提供される証明書ハッシュを使ってもよい。ある実施形態では、装置製造供給元（OEM）は、クライアント・デバイス１０５をエンドユーザーに出荷する前にNVRAM１５７内に証明書ハッシュのイメージを記憶しうる。
【００２７】
ブロック２３０では、能動管理ユニット１５３は、PID/PPS値が利用可能かどうかを検査してもよく、PID/PPS値が利用可能でなければ制御はブロック２４０にわたり、PID/PPS値が利用可能であれば制御はブロック２５０にわたる。ある実施形態では、装置製造供給元（OEM）は、クライアント・デバイス１０５をエンドユーザーに出荷する前にPID/PPS値をBIOS１５８内に記憶してもよい。
【００２８】
ブロック２４０では、能動管理ユニット１５３は、企業IT部局のITステージング領域で始まりうるワンタッチ・プロビジョニングを待ってもよい。ブロック２５０では、能動管理ユニット１５３は、下記の図６および図７において記載されるPID/PPSプロビジョニング・オプションを開始してもよい。
【００２９】
ブロック２６０では、能動管理ユニット１５３は、PID/PPS値の存在を検査してもよく、PID/PPS値が存在していなければ制御はブロック２７０にわたり、PID/PPS値が存在していれば制御はブロック２９５にわたる。ある実施形態では、装置製造供給元（OEM）がクライアント１０５をエンドユーザーに出荷する前にBIOS１５８内にPID/PPS値を記憶してもよい。
【００３０】
ブロック２７０では、能動管理ユニット１５３は、プロビジョニング・サーバー１８０の完全修飾ドメイン名（FQDN:  fully  qualified  domain  name）のような設定値が利用可能かどうかを検査してもよい。ある実施形態では、装置製造供給元（OEM）が、プロビジョニング・サーバー１８０のFQDNをBIOS１５８内に記憶してもよい。プロビジョニング・サーバー１８０のFQDNがBIOS１５８内に存在しない場合、制御はブロック２８０にわたり、FQDNがBIOS１５８内に存在する場合、制御はブロック２９０にわたる。
【００３１】
ブロック２８０では、能動管理ユニット１５３は、下記の図３で記載されるセキュリティ保護されていないDNSプロビジョニング・オプションを使用しうる。ブロック２９０では、能動管理ユニット１５３は、下記の図４および図５に記載されている安全なDNSプロビジョニング・オプションを使用しうる。ブロック２９５では、能動管理ユニット１５３は、下記の図６および図７に記載されているPID/PPSプロビジョニング・オプションを使用しうる。
【００３２】
安全でないDNSオプションを使ったAMTのプロビジョニングの実施形態が図３のフローチャートに示されている。ある実施形態では、安全でないDNSプロビジョニング・オプションは、オペレーティング・システム１２０がインストールされたあとにクライアント・デバイス１０５をプロビジョニングするために使用されうる。ブロック３０５において、管理コンソール１９０は、能動管理技術（AMT）の存在を発見するためにクライアント・デバイス１０５にコンタクトしうる。ある実施形態では、管理コンソール１９０が更新要求を送ってもよい。
【００３３】
ブロック３１０では、管理エージェント１２５は、クライアント・デバイス１０５がAMTを含むかどうかを判定しうる。ある実施形態では、管理エージェント１２５は、チップセット１５５がAMT対応かどうかを判定するためにチップセット１５５とのインターフェースをもちうるドライバ１３５を開始しうる。ある実施形態では、ドライバ１３５が問い合わせパケットをチップセット１５５に送ってもよく、状態ビットを含む応答パケットを受信してもよい。該状態がAMTの存在を指示しうる。チップセット１５５がAMTを有する場合、制御はブロック３１５にわたり、そうでない場合、プロビジョニング・アプローチは終了する。
【００３４】
ブロック３１５では、管理エージェント１２５は能動管理ユニット１５３からAMT値を取得しうる。ある実施形態では、管理エージェント１２５はドライバ１３５を開始しうる。ドライバ１３５は能動管理ユニット１５３に問い合わせを送りうる。能動管理ユニット１５３はNVRAM１５７およびBIOS１５８からAMT情報を取得しうる。ある実施形態では、ドライバ１３５は管理エンジン・インターフェース（MEI:  management  engine  interface）またはHECIドライバを有していてもよい。ある実施形態では、AMT値は、構成設定モード、構成設定状態、AMTバージョンおよび他の同様の値といったAMT値を含んでいてもよい。ある実施形態では、管理エージェント１２５は、普遍一意識別子（UUID）、AMTバージョンおよび他の同様の値を受信してもよい。ある実施形態では、UUIDは、オペレーティング・システム１２０のインストール状態とは独立に、クライアント・デバイス１０５を一意的に識別しうる。
【００３５】
ブロック３２０では、管理エージェント１２５は、AMT値を管理コンソール１９０に送りうる。ある実施形態では、クライアント・デバイス１０５がAMTをサポートしているかどうかを判定するために、AMT値が管理コンソール１９０によって使用されうる。ある実施形態では、管理コンソール１９０はAMT値をプロビジョニング・サーバー１８０に転送してもよい。
【００３６】
ブロック３２５では、管理コンソール１９０は、ワンタイム・パスワード（OTP）を生成しうる。このOTPは管理エージェント１２５およびプロビジョニング・サーバー１８０に送られうる。ある実施形態では、OTPは、クライアント・デバイス１０５が装置製造供給元（OEM）からAMTが「傾聴モード（Listen  mode）」に設定されて出荷される場合に生成される。ある実施形態では、OTPは、プロビジョニング・サーバー１８０によって、クライアント・デバイス１０５を認証するために使用されてもよい。
【００３７】
ブロック３３０では、管理エージェント１２５はOTPを受信し、OTPをNVRAM１５７に記憶してもよい。
【００３８】
ブロック３３５では、管理エージェント１２５は能動管理ユニット１５３がセットアップ・メッセージを受信するためにネットワーク・インターフェースを開くことを可能にしうる。ある実施形態では、管理エージェント１２５は、AMU１５３がポートを開いてトランスポート層セキュリティ（TLS）セットアップ・メッセージのようなセットアップ・メッセージを傾聴することを可能にするためのAMTEnableNetworkSetupListen()コマンドのようなコマンドを送りうる。ある実施形態では、能動管理ユニット１５３はネットワーク・インターフェースが開かれた後、クライアント・デバイス１０５のIPアドレスを取得しうる。
【００３９】
ブロック３４０では、能動管理ユニット１５３は鍵ペアおよび自己署名証明書を生成しうる。ある実施形態では、鍵ペアおよび自己署名証明書は、プロビジョニング・サーバー１８０とクライアント・デバイス１０５との間の保護されたチャネルを提供するために使用されうる。ある実施形態では、能動管理ユニット１５３は、鍵ペアおよび自己署名証明書を生成するための証明書生成コードを実行してもよい。ある実施形態では、能動管理ユニット１５３は2048ビットの法を使ったRSA秘密鍵・公開鍵ペアおよび該RSA秘密鍵・公開鍵ペアを使った自己署名証明書（X.509v3）を生成してもよい。ある実施形態では、能動管理ユニット１５３は、鍵ペアおよび署名された証明書を、AMU１５３内のプライベートなデータ領域に記憶してもよい。ある実施形態では、能動管理ユニット１５３は、鍵ペアおよび署名された証明書の生成後、AMTProvKeyGenSuccessfulのようなビットを真に設定してもよい。
【００４０】
ブロック３４５では、能動管理ユニット１５３は、プロビジョニング・サーバー１８０のFQDNのようなセットアップ値が利用可能であるかどうかを検査してもよく、FQDNが利用可能でなければ制御はブロック３５０にわたり、それ以外の場合にはブロック３５５にわたる。
【００４１】
ブロック３５０では、能動管理ユニット１５３は、ネットワーク１６０のDNSサフィックスを取得してもよい。ある実施形態では、能動管理ユニット１５３はDHCPサーバー１６５からDNSサフィックスを取得してもよい。ある実施形態では、能動管理ユニット１５３は、DNSサフィックスを取得するためのDHCPのオプション15を使用してもよい。ある実施形態では、能動管理ユニット１５３は、プロビジョニング・サーバー１８０のIPアドレスを、DNSサフィックスを使って位置発見してもよい。ある実施形態では、能動管理ユニット１５３はプロビジョニング・サーバー１８０に「ハロー」パケットを送ってもよい。ある実施形態では、ハロー・パケットは、クライアント・デバイス１０５のAMT値を含んでいてもよい。
【００４２】
ブロック３５５では、プロビジョニング・サーバー１８０は、クライアント・デバイス１０５の能動管理ユニット１５３との相互認証されたセッションを開いてもよい。ある実施形態では、プロビジョニング・サーバー１８０は、能動管理ユニット１５３との、トランスポート層セキュリティ（TLS）の相互認証されたセッションを開いてもよい。
【００４３】
ブロック３６０では、プロビジョニング・サーバー１８０は、能動管理ユニット１５３との相互認証された接続を生成しうる。ある実施形態では、プロビジョニング・サーバー１８０およびクライアント・デバイス１０５は、TLSハンドシェーク・プロトコルを使って相互認証された接続を確立してもよい。TLSハンドシェーク・プロトコルの一環として、ある実施形態では、能動管理ユニット１５３が自己署名証明書をプロビジョニング・サーバー１８０に送ってもよく、応答して、プロビジョニング・サーバー１８０は、プロビジョニング・サーバー１８０からの信頼ルート証明書（the  root  of  trust  certificate）を含む証明書チェーンを受信してもよい。
【００４４】
ある実施形態では、能動管理ユニット１５３は、信頼ルート証明書のハッシュを計算し、そのハッシュ値をNVRAM１５７に記憶されているハッシュ値のリストと照合することによって、証明書チェーンを検証してもよい。ある実施形態では、能動管理ユニット１５３は、プロビジョニング・サーバー１８０のFQDN内のDNSサフィックスをブロック３５０でDHCPサーバー１６５から得られたDNSサフィックスと照合することによって、DNSサフィックスを検証してもよい。ある実施形態では、能動管理ユニット１５３は、証明書チェーンがAMTをプロビジョニングするために意図されていたかどうかを検証するために、証明書の使用を検証してもよい。ある実施形態では、能動管理ユニット１５３は、AMU１５３が適切なプロビジョニング・サーバーと通信しているかどうかを検証するために、プロビジョニング・サーバー認証を検査してもよい。上記の検証が成功した場合、能動管理ユニット１５３は、プロビジョニング・サーバー１８０を信頼してもよい。そのようなアプローチは、悪者のプロビジョニング・サーバーがプロビジョニング・サーバー１８０であるとして認証する可能性を軽減しうる。
【００４５】
ブロック３６５で、能動管理ユニット１５３は、プロビジョニング・サーバー１８０の情報を監査しうる。ある実施形態では、AMTファームウェアが、各プロビジョニング試行の監査記録を維持してもよい。ある実施形態では、能動管理ユニット１５３がNVRAM１５７に監査情報を書き込んでもよい。ある実施形態では、監査情報は、第一フィールド（ビット１〜２：方法を表す；ビット３：発話（Talk）／傾聴（Listen）のモードを表す；ビット４〜８：リザーブ）、証明書に記憶されているようなプロビジョニング・サーバー１８０のFQDNを記憶するための256バイトの第二フィールド、信頼されたルート証明書（trusted  root  certificate）のハッシュ値を記憶するための20バイトの第三フィールド、中間証明書機関のシリアル番号を記憶するための三つの16バイトの配列（three  16  byte  array）を含む第四フィールド、上記のハッシュ値を生成するために使われるハッシュ・アルゴリズムを表す1ビットの第五フィールド、TLSセッション確立の日時を表す第六フィールド、プロビジョニング・サーバー１８０のIPアドレスを表す第七フィールドおよび証明書が時間有効性検査（time  validity  check）に通ったかどうかを表す第八フィールドを含んでいてもよい。
【００４６】
ブロック３７０で、プロビジョニング・サーバー１８０は、ブロック３３０において受信されたOTPを送るよう、能動管理ユニット１５３に要求しうる。ブロック３７５では、プロビジョニング・サーバー１８０は能動管理ユニット１５３から受信されたOTPを検証しうる。ある実施形態では、プロビジョニング・サーバー１８０は、ブロック３２５で管理コンソール１９０から受信されたOTPを、能動管理ユニット１５３から受信されたOTPと比較しうる。
【００４７】
ブロック３８０において、プロビジョニング・サーバー１８０は、クライアント・デバイス１０５との安全な接続を確立しうる。ある実施形態では、プロビジョニング・サーバー１８０は、クライアント・デバイス１０５との安全な接続を確立するためにTLSまたはTLS-PSK（pre-shared  key［事前共有鍵］）を使ってもよい。
【００４８】
ブロック３８５では、プロビジョニング・サーバー１８０は、HTTPダイジェスト・ネットワーク管理者ユーザー名およびパスワードといった工場既定値を使って、クライアント・デバイス１０５にログインしてもよい。
【００４９】
ブロック３９０では、プロビジョニング・サーバー１８０は、PID/PPS証明書、秘密鍵、現在の日時、HTTPダイジェスト・クレデンシャルおよびHTTPネゴシエーション可能クレデンシャルといった構成設定データを提供してもよい。ブロック３９５では、クライアント・デバイス１０５は通常動作をリセットおよび開始しうる。
【００５０】
ある実施形態では、能動管理ユニット１５３は、クライアント・デバイス１０５上でAMTをプロビジョニングするために安全なDNSオプションを使ってもよい。安全なDNSオプションを使う間、AMU１５３は、購入契約のもとで装置製造供給元（OEM）によってエンドユーザーに提供されたプロビジョニング・サーバー１８０のFQDNを使ってもよい。ある実施形態では、FQDNは、カスタム製造の間に装置製造供給元（OEM）によってNVRAM１５７内に記憶されうる。そのようなアプローチは、AMU１５３が上記のブロック３５０に示されるようにDHCPサーバー１６５からDNSサフィックスを取得することを回避することによって、AMTの安全なプロビジョニングを提供しうる。
【００５１】
ITステージング領域において安全なDSNオプションを使ってクライアント・デバイス１０５上でAMTをプロビジョニングする実施形態が、図４のフローチャートに示されている。ある実施形態では、安全なDNSオプションは、ITステージング領域において実行される第一部分およびエンドユーザー領域において実行される第二部分を有しうる。
【００５２】
ブロック４１０において、ITステージング領域の技術者が、クライアント・デバイス１０５を電源に結合することによってクライアント・デバイス１０５を電源投入しうる。
【００５３】
ブロック４２０では、技術者はAMT  BIOS構成設定画面を開きうる。ある実施形態では、技術者はAMT  BIOS構成設定画面を開くためにファンクション・キーを使ってもよい。
【００５４】
ブロック４３０では、技術者は、管理者ユーザー名およびパスワードのような工場既定設定を使ってAMT環境にログインする。
【００５５】
ブロック４４０では、技術者はBIOSパスワードを変更しうる。ブロック４５０では、技術者は、プロビジョニング・サーバー１８０のFQDNのようなセットアップ値を提供しうる。ある実施形態では、FQDNは装置製造供給元（OEM）によって提供されてもよい。
【００５６】
ブロック４７０では、技術者は任意的なパラメータを提供してもよい。ある実施形態では、技術者は、任意的に、「発話」モードにあるAMTがベアメタル・プロビジョニングをサポートできるようにしてもよい。ある実施形態では、技術者はプロビジョニング・サーバー１８０によって提供されるワンタイム・パスワード（OTP）を入力してもよい。ある実施形態では、技術者は、その組織のITポリシーに基づいて、信頼された証明書ハッシュのリストを修正してもよい。
【００５７】
ブロック４９０では、技術者は、クライアント・デバイス１０５の電源を落とし、クライアント・デバイス１０５をエンドユーザーに配布してもよい。ある実施形態では、技術者は、普遍シリアル・バス（USB）スティックを使って、セットアップ・パラメータを提供するプロセスを自動化してもよい。他の実施形態では、セットアップ・パラメータは、装置製造供給元（OEM）の製造フロアでNVRAM１５７およびBIOS１５８のようなAMTフラッシュ・デバイスにプログラムされてもよい。
【００５８】
エンドユーザー領域での、安全なDNSオプションオプションを使ったAMTのプロビジョニングの実施形態が図５のフローチャートに示されている。ITステージング領域において前記第一部分が完了した後、クライアント・デバイス１０５はエンドユーザーに提供されうる。ある実施形態では、ブロック５０５から５８０がエンドユーザー領域で実行されうる。
【００５９】
ブロック５０５では、管理コンソール１９０が、クライアント・デバイス１０５によってサポートされるAMTが発話モードにあるかどうかを検査してもよく、クライアント・デバイス１０５が発話モードになければ制御はブロック５１０にわたり、それ以外の場合にはブロック５４５にわたる。ある実施形態では、発話か傾聴モードかは、クライアント・デバイス１０５の内部状態として設定される。
【００６０】
ブロック５１０では、管理コンソール１９０は、能動管理技術（AMT）の存在を発見するためにクライアント・デバイス１０５にコンタクトしうる。ある実施形態では、管理コンソール１９０は更新要求を送りうる。
【００６１】
ブロック５１５では、管理エージェント１２５はクライアント・デバイス１０５がAMTを有するかどうかを判定してもよい。ある実施形態では、管理エージェント１２５はドライバ１３５を開始しうる。ドライバ１３５は、チップセット１５５がAMT対応かどうかを判定するためにチップセット１５５とのインターフェースをもちうる。ある実施形態では、ドライバ１３５はチップセット１５５に問い合わせパケットを送ってもよく、AMTの存在を示しうる状態ビットを含む応答パケットを受信してもよい。クライアント・デバイス１０５がAMTをもつ場合、制御はブロック５２５にわたり、それ以外の場合にはプロビジョニング・アプローチは終了する。
【００６２】
ブロック５２５では、管理エージェント１２５は能動管理ユニット１５３からAMT値を取得しうる。ある実施形態では、管理エージェント１２５はドライバ１３５が能動管理ユニット１５３からAMT値を収集することを開始させうる。ある実施形態では、ドライバ１３５は、AMT値収集信号をAMU１５３に送りうる。ある実施形態では、AMU１５３は、ドライバ１３５からのAMT値収集信号を受信するのに応答して、NVRAM１５７およびBIOS１５８からAMT値を取得しうる。ある実施形態では、AMT値は構成設定モード、構成設定状態、AMTバージョンおよび同様の他の値を表す値を含みうる。ある実施形態では、管理エージェント１２５は、普遍一意識別子（UUID）、AMTバージョンおよび他の同様の値を受信してもよい。ある実施形態では、UUIDは、オペレーティング・システム１２０のインストール状態とは独立に、クライアント・デバイス１０５を一意的に識別しうる。
【００６３】
ブロック５３０では、管理エージェント１２５は、AMT値を管理コンソール１９０に送りうる。ある実施形態では、管理コンソール１９０に送られたAMT値はプロビジョニング・サーバー１８０に転送されうる。
【００６４】
ブロック５３５では、管理エージェント１２５は、能動管理ユニット１５３がセットアップ・メッセージを受信するためにネットワーク・インターフェースを開くことを可能にしうる。ある実施形態では、管理エージェント１２５は、AMU１５３がネットワーク・インターフェースまたはポートを開いてネットワーク・インターフェース上のトランスポート層セキュリティ（TLS）セットアップ・メッセージのようなセットアップ・メッセージを傾聴することを可能にするためのAMTEnableNetworkSetupListen()コマンドのようなコマンドを送りうる。
【００６５】
ブロック５４０では、能動管理ユニット１５３は、クライアント・デバイス１０５が結合されているネットワーク１６０のDNSサフィックスを得るために受動的にDHCPメッセージをのぞき見し（snoop）てもよい。ある実施形態では、クライアント・デバイス１０５によってサポートされるホスト・オペレーティング・システムが能動的にDHCPサーバー１７０と通信してもよく、AMU１５３はそのDHCPメッセージを受動的にのぞき見してDHCP情報を学習してもよい。ある実施形態では、DHCPのぞき見は、悪者DHCPサーバー、DHCPブロードキャスト要求可視性の消滅およびDHCPサーバー・アドレス消耗攻撃（exhaustion  attack）に対する保護を防止しうる。
【００６６】
ブロック５４５では、能動管理ユニット１５３は、クライアント・デバイス１０５のIPアドレスを決定しうる。ある実施形態では、能動管理ユニット１５３は、DHCPサーバー１６５に要求を送ってもよく、DHCPサーバー１６５からIPアドレスを受信してもよい。ある実施形態では、ブロック５４５は、能動管理ユニット１５３が発話モードにセットアップされている場合に到達する。ある実施形態では、能動管理１５３が発話モードに設定されている場合にベアメタル・プロビジョニング・アプローチが使用されうる。
【００６７】
ブロック５５０では、能動管理ユニット１５３は、ブロック４５０で与えられたプロビジョニング・サーバー１８０のFQDNを使ってDNSサーバー１７０に問い合わせをすることによって、プロビジョニング・サーバー１８０を位置発見してもよい。
【００６８】
ブロック５５５では、能動管理ユニット１５３はプロビジョニング・サーバー１８０との接続性を生成してもよい。ある実施形態では、能動管理ユニット１５３はプロビジョニング・サーバー１８０とのTCP接続を確立してもよく、クライアント・デバイス１０５のIPアドレス、PID値、UUID、ROMおよびファームウェアのバージョン番号および他の同様の値を含むハロー・パケットをプロビジョニング・サーバー１８０に送ってもよい。
【００６９】
ブロック５６０では、プロビジョニング・サーバー１８０は、クライアント・デバイス１０５の能動管理ユニット１５３と相互認証されたセッションを開いてもよい。ある実施形態では、プロビジョニング・サーバー１８０は、能動管理ユニット１５３とのトランスポート層セキュリティ（TLS）相互認証されたセッションを開いてもよい。
【００７０】
ブロック５６５では、プロビジョニング・サーバー１８０は、能動管理ユニット１５３との相互認証された接続を確立しうる。ある実施形態では、相互認証された接続は、TLSハンドシェーク・プロトコルを使って確立されてもよい。TLSハンドシェーク・プロトコルの一環として、ある実施形態では、能動管理ユニット１５３が自己署名証明書をプロビジョニング・サーバー１８０に送ってもよく、プロビジョニング・サーバー１８０からの信頼ルート証明書（the  root  of  trust  certificate）を含む証明書チェーンを受信してもよい。
【００７１】
ある実施形態では、能動管理ユニット１５３は、信頼ルート証明書のハッシュを計算し、そのハッシュ値をNVRAM１５７に記憶されているハッシュ値のリストと照合することによって、証明書チェーンを検証してもよい。ある実施形態では、能動管理ユニット１５３は、プロビジョニング・サーバー１８０のFQDN内のDNSサフィックスをDHCPサーバー１６５から得られたDNSサフィックスと照合することによって、DNSサフィックスを検証してもよい。ある実施形態では、能動管理ユニット１５３は、証明書チェーンがAMTをプロビジョニングするために意図されていたかどうかを検証するために、証明書の使用を検証してもよい。ある実施形態では、能動管理ユニット１５３は、サーバー認証を検査してもよい。上記の検証が成功した場合、能動管理ユニット１５３は、プロビジョニング・サーバー１８０を信頼してもよい。そのようなアプローチは、悪者のプロビジョニング・サーバーがプロビジョニング・サーバー１８０であるとして認証する可能性を軽減しうる。
【００７２】
ブロック５６８で、能動管理ユニット１５３は、プロビジョニング・サーバー１８０の情報を監査しうる。ある実施形態では、AMTファームウェアが、最後のプロビジョニング試行の監査記録を維持してもよい。ある実施形態では、能動管理ユニット１５３がNVRAM１５７に監査情報を書き込んでもよい。
【００７３】
ブロック５７０で、プロビジョニング・サーバー１８０は、クライアント・デバイス１０５についてOTPが設定されているかどうかを検査するために、データベースを検索しうる。ある実施形態では、プロビジョニング・サーバー１８０は、企業ポリシーに基づいてOTPを設定しうる。
【００７４】
ブロック５７５では、プロビジョニング・サーバー１８０は、ブロック４７０においてクライアント・デバイス１０５に提供されたOTPを送るよう、能動管理ユニット１５３に要求しうる。ブロック５８０では、プロビジョニング・サーバー１８０は能動管理ユニット１５３から受信されたOTPを検証しうる。ある実施形態では、プロビジョニング・サーバー１８０は、データベースから取り出されたOTPを能動管理ユニット１５３から受信されたOTPと比較しうる。
【００７５】
ブロック５９０において、プロビジョニング・サーバー１８０は、クライアント・デバイス１０５との安全な接続を確立しうる。ある実施形態では、プロビジョニング・サーバー１８０は、クライアント・デバイス１０５との安全な接続を確立するためにTLSまたはTLS-PSK（pre-shared  key［事前共有鍵］）を使ってもよい。
【００７６】
ITステージング領域でのPID/PPSオプションを使ったクライアント・デバイス１０５上でのAMTのプロビジョニングの実施形態が、図６のフローチャートに示されている。
【００７７】
ブロック６１０では、技術者がプロビジョニング・サーバー１８０に、PID/PPSペアのようなセットアップ値を生成するよう要求しうる。ある実施形態では、プロビジョニング・サーバー１８０は、事前共有鍵の公開部分であってもよいプロビジョニング識別子（PID）のような第二のセットアップ値と、前記事前共有鍵の秘密部分、プロビジョニング・パスフレーズ（PPS）のような第三のセットアップ値とを生成しうる。
【００７８】
ブロック６２０では、ITステージング領域における技術者は、クライアント・デバイス１０５を電源投入してもよい。ブロック６３０で、技術者はAMT  BIOS構成設定画面を開きうる。ある実施形態では、技術者はAMT  BIOS構成設定画面を開くためにファンクション・キーを使ってもよい。
【００７９】
ブロック６４０では、技術者は、管理者ユーザー名およびパスワードのような工場既定設定を使ってAMT環境にログインする。
【００８０】
ブロック６５０では、技術者はBIOSパスワードを変更しうる。ブロック６６０では、技術者は、PID/PPSペアのような前記第二および第三のセットアップ値をBIOSに入力しうる。ある実施形態では、技術者は、ブロック６１０でプロビジョニング・サーバー１８０によって生成されたPID/PPSペアを入力しうる。
【００８１】
ブロック６７０では、技術者はプロビジョニング・サーバー１８０のFQDNまたはIPアドレスのような第一のセットアップ値をも入力しうる。ある実施形態では、FQDNまたはIPアドレスはNVRAM１５７に記憶されうる。ある実施形態では、FQDNは装置製造供給元（OEM）によって提供されてもよい。
【００８２】
ブロック６８０では、技術者は任意的なセットアップ・パラメータを提供しうる。ある実施形態では、技術者は、任意的に、「発話」モードにあるAMTがベアメタル・プロビジョニングをサポートできるようにしてもよい。ある実施形態では、技術者はプロビジョニング・サーバー１８０によって提供されるワンタイム・パスワード（OTP）を入力してもよい。ある実施形態では、技術者は、その組織のITポリシーに基づいて、信頼された証明書ハッシュのリストを修正してもよい。
【００８３】
ブロック６９０では、技術者は、クライアント・デバイス１０５の電源を落とし、クライアント・デバイス１０５をエンドユーザーに配布してもよい。ある実施形態では、技術者は、普遍シリアル・バス（USB）スティックを使って、能動管理ユニット１５３にセットアップ・パラメータを提供するプロセスを自動化してもよい。他の実施形態では、セットアップ・パラメータは、装置製造供給元（OEM）の製造フロアでNVRAM１５７およびBIOS１５８のようなAMTフラッシュ・デバイスにプログラムされてもよい。
【００８４】
エンドユーザー領域での、PID/PPSオプションを使ったAMTのプロビジョニングの実施形態が図７のフローチャートに示されている。
【００８５】
ブロック７０５で、管理コンソール１９０が、クライアント・デバイス１０５によってサポートされているAMTが発話モードにあるかどうかを検査してもよく、クライアント・デバイス１０５が発話モードになければ制御はブロック７１０にわたり、それ以外の場合にはブロック７５０にわたる。
【００８６】
ブロック７１０では、管理コンソール１９０は、能動管理技術（AMT）の存在を発見するためにクライアント・デバイス１０５にコンタクトしうる。ある実施形態では、管理コンソール１９０は更新要求を送りうる。
【００８７】
ブロック７１５では、管理エージェント１２５はクライアント・デバイス１０５がAMTを有するかどうかを判定してもよい。ある実施形態では、管理エージェント１２５はドライバ１３５を開始しうる。ドライバ１３５は、チップセット１５５がAMT対応かどうかを判定するためにチップセット１５５とのインターフェースをもちうる。ある実施形態では、ドライバ１３５はチップセット１５５に問い合わせパケットを送ってもよく、AMTの存在を示しうる状態ビットを含む応答パケットを受信してもよい。クライアント・デバイス１０５がAMTをもつ場合、制御はブロック７２５にわたり、それ以外の場合にはプロビジョニング・アプローチは終了する。
【００８８】
ブロック７２５では、管理エージェント１２５は能動管理ユニット１５３からAMT値を取得しうる。ある実施形態では、管理エージェント１２５はドライバ１３５を開始しうる。ドライバ１３５は、能動管理ユニット１５３に問い合わせを送りうる。能動管理ユニット１３５は、NVRAM１５７およびBIOS１５８からAMT値を取得しうる。ある実施形態では、AMT値は構成設定モード、構成設定状態、AMTバージョンおよび同様の他の値を含みうる。ある実施形態では、管理エージェント１２５は、普遍一意識別子（UUID）、AMTバージョンおよび他の同様の値を受信してもよい。ある実施形態では、UUIDは、オペレーティング・システム１２０のインストール状態とは独立に、クライアント・デバイス１０５を一意的に識別しうる。
【００８９】
ブロック７３０では、管理エージェント１２５は、AMT値を管理コンソール１９０に送りうる。ある実施形態では、管理コンソール１９０はAMT値をプロビジョニング・サーバー１８０に転送してもよい。
【００９０】
ブロック７３５では、管理エージェント１２５は、能動管理ユニット１５３がセットアップ・メッセージを受信するためにネットワーク・インターフェースを開くことを可能にしうる。ある実施形態では、管理エージェント１２５は、AMUがそのネットワーク・インターフェースを開いてセットアップ・メッセージを傾聴することを可能にするためのAMTEnableNetworkSetupListen()コマンドのようなコマンドを送りうる。ある実施形態では、セットアップ・メッセージは、ネットワーク・インターフェース上のトランスポート層セキュリティ（TLS）セットアップ・メッセージを含みうる。
【００９１】
ブロック７５０では、能動管理ユニット１５３は、クライアント・デバイス１０５のIPアドレスを決定しうる。ある実施形態では、能動管理ユニット１５３は、DHCPサーバー１６５に要求を送ってもよく、DHCPサーバー１６５から受信される応答からIPアドレスを取り出してもよい。
【００９２】
ある実施形態では、ブロック７５０に達するのは、能動管理ユニット１５３が発話モードに構成設定されている場合である。ある実施形態では、能動管理ユニット１５３が発話モードにセットアップされている場合にベアメタル・プロビジョニング・アプローチが使用されうる。
【００９３】
ブロック７５５では、能動管理ユニット１５３は、ブロック６７０で与えられたプロビジョニング・サーバー１８０のFQDNを使ってDNSサーバー１７０に問い合わせをすることによって、プロビジョニング・サーバー１８０を位置発見してもよい。
【００９４】
ブロック７６０では、能動管理ユニット１５３はプロビジョニング・サーバー１８０との接続性を確立してもよい。ある実施形態では、能動管理ユニット１５３はプロビジョニング・サーバー１８０とのTCP接続を確立してもよく、クライアント・デバイス１０５のIPアドレス、PID値、UUID、ROMおよびファームウェアのバージョン番号および他の同様の値を含むハロー・パケットをプロビジョニング・サーバー１８０に送ってもよい。
【００９５】
ブロック７６５では、プロビジョニング・サーバー１８０は、プレマスター・シークレット（pre-master  secret）を検索してもよい。ある実施形態では、プレマスター・シークレットはマスター鍵およびセッション鍵を生成するために使用されてもよい。
【００９６】
ブロック７７０では、プロビジョニング・サーバー１８０は、クライアント・デバイス１０５の能動管理ユニット１５３とのトランスポート層セキュリティ（TLS）事前共有鍵（PSK）TLS-PSKセッションを開いてもよい。ある実施形態では、事前共有鍵は公開部分および秘密部分を有していてもよい。ある実施形態では、前記公開部分は事前共有鍵のプロビジョニング識別子（PID）を含んでいてもよく、前記秘密部分は事前共有鍵のプロビジョニング・パスフレーズ（PPS）を含んでいてもよい。
【００９７】
本発明のある種の特徴が例示的な実施形態を参照して記載されてきたが、本記載は限定する意味に解釈されることは意図されていない。例示的な実施形態のさまざまな修正および本発明の他の実施形態が本発明が属する分野の当業者には明白であり、それらも本発明の精神および範囲内にあると見なされるものである。
【図面の簡単な説明】
【００９８】
【図１】環境１００の実施形態を示す図である。
【図２】プロビジョニング・アプローチを選択するためのオプション選択手順を実行するクライアント・デバイス１０５の実施形態を示す図である。
【図３】クライアント・デバイスにおいてAMTをプロビジョニングするためのセキュリティ保護されていないDNSサフィックス・オプションを描いたフローチャートである。
【図４】セキュリティ保護されたDNSサフィックス・オプションを使ってクライアント・デバイスにおいてAMTをプロビジョニングする間、ITステージング領域において実行される動作を描いたフローチャートである。
【図５】セキュリティ保護されたDNSサフィックス・オプションを使ってクライアント・デバイスにおいてAMTをプロビジョニングする間、エンドユーザー領域において実行される動作を描いたフローチャートである。
【図６】PID/PPSオプションを使ってクライアント・デバイスにおいてAMTをプロビジョニングする間、ITステージング領域において実行される動作を描いたフローチャートである。
【図７】PID/PPSオプションを使ってクライアント・デバイスにおいてAMTをプロビジョニングする間、エンドユーザー領域において実行される動作を描いたフローチャートである。
【符号の説明】
【００９９】
１００  ネットワーク環境
１０５  クライアント・システム
１１０  アプリケーション
１２０  OS
１２５  管理エージェント
１３５  ドライバ
１５０  ハードウェア
１５２  CPU
１５５  チップセット
１５３  能動管理ユニット
１５６  メモリ
１５７  NVRAM
１５８  BIOS
１５９  ネットワーク・インターフェース
１６０  ネットワーク
１６５  DHCPサーバー
１７０  DNSサーバー
１８０  プロビジョニング・サーバー
１９０  管理コンソール
２１０  証明書ハッシュが存在？
２３０  PID/PPSが存在？
２４０  ワンタッチ・プロビジョニングを待つ
２５０  PID/PPSプロビジョニング・オプションを使用
２６０  PID/PPSが存在？
２７０  プロビジョニング・サーバーのFQDNが存在？
２８０  安全でないDNSプロビジョニング・オプションを使用
２９０  安全なDNSサフィックス・オプションを使用
２９５  PID/PPSプロビジョニング・オプションを使用
３０５  インテル（登録商標）能動管理技術AMTの存在を発見するためにクライアント・デバイスにコンタクト
３１０  インテル（登録商標）AMTが存在？
３１５  AMT値を取得
３２０  AMT値を送る
３２５  ワンタイム・パスワード（OTP）を生成
３３０  OTPを受信
３３５  AMUがセットアップ・メッセージを傾聴するためにネットワーク・インターフェースを開くことを可能にする
３４０  鍵ペアおよび自己署名証明書を生成
３４５  プロビジョニング・サーバーのFQDNが利用可能？
３５０  ネットワークのドメイン名サービス（DNS）サフィックスを取得
３５５  プロビジョニング・サーバーがAMUとの相互認証されたセッションを開く
３６０  相互認証された接続を生成
３６５  プロビジョニング・サーバーの情報を監査
３７０  OTPの要求を送る
３７５  受信されたOTPを検証
３８０  クライアント・デバイスとの安全な接続を確立
３８５  AMTをサポートするクライアント・デバイスにログイン
３９０  構成設定データを提供
３９５  クライアント・デバイスがリセットして通常動作を開始
４１０  AMTをサポートするクライアント・デバイスを電源投入
４２０  AMTのBIOS構成設定画面を開く
４３０  既定値を使ってクライアント・デバイスにログイン
４４０  BIOSパスワードを変更
４５０  プロビジョニング・サーバーのFQDNのような最初のセットアップ値を入力
４７０  任意的パラメータを提供
４９０  クライアント・デバイスの電源を落としてエンドユーザーに配送
５０５  モード＝発話？
５１０  インテル（登録商標）能動管理技術（AMT）の存在を発見するためにクライアント・デバイスに接触
５１５  インテル（登録商標）AMTが存在？
５２５  AMT値を取得
５３０  AMT値を送る
５３５  AMUがセットアップ・メッセージを傾聴するためにネットワーク・インターフェースを開くことを可能にする
５４０  システムとの間で送受信されるDHCPメッセージを受動的にのぞき見
５４５  IPアドレスを決定
５５０  FQDNを使ってDNSサーバーに問い合わせすることによってプロビジョニング・サーバーを位置発見
５５５  プロビジョニング・サーバーとの接続を生成
５６０  プロビジョニング・サーバーがAMUとの相互認証されたセッションを開く
５６５  相互認証された接続を確立
５６８  プロビジョニング・サーバーの情報を監査
５７０  OTPがあるかどうか検査
５７５  OTPの要求を送る
５８０  受信されたOTPを検証
５９０ローカル・ホストとの安全な接続を確立
６１０  プロビジョニング・サーバーを使って複数のセットアップ値（PID/PPSペア）を生成
６２０  AMTをサポートするローカル・ホストを電源投入
６３０  AMTのBIOS構成設定画面を開く
６４０  既定値を使ってローカル・ホストにログイン
６５０  BIOSパスワードを変更
６６０  前記複数のセットアップ値（PID/PPS）をBIOSに入力
６７０  プロビジョニング・サーバーのFQDNまたはIPアドレスを入力
６８０  任意的パラメータを提供
６９０  ローカル・ホストの電源を落としてエンドユーザーに配送
７０５  モード＝発話？
７１０  能動管理技術（AMT）の存在を発見するためにローカル・ホストに接触
７１５  AMTが存在？
７２５  AMT情報を取得
７３０  AMT情報を送る
７３５  AMUがセットアップ・メッセージを傾聴するためにネットワーク・インターフェースを開くことを可能にする
７５０  IPアドレスを決定
７５５  FQDNを使ってDNSサーバーに問い合わせすることによってプロビジョニング・サーバーを位置発見
７６０  プロビジョニング・サーバーとの接続を生成
７６５  プロビジョニング・サーバーがプレマスター・シークレットを検索
７７０  プロビジョニング・サーバーがTLS-PSKセッションを開く
【図１】
0004896956.tif 000002
【図２】
0004896956.tif 000003
【図３】
0004896956.tif 000004
【図４】
0004896956.tif 000005
【図５】
0004896956.tif 000006
【図６】
0004896956.tif 000007
【図７】
0004896956.tif 000008