使用装置标识符的远程供应的制作方法

专利名称：使用装置标识符的远程供应的制作方法
技术领域：
本发明的实施例涉及远程供应(provisioning)的领域。
背景技术：
将新服务器整合到企业网络通常需要信息技术(IT)技术人员手动 将启动装置插入新服务器并在本地控制台操纵新服务器。虽然这种供 应服务器的方法对几台服务器的效果相当不错，但在整合大量分布式 服务器时则需要大量的资源。
英特尔公司(Intel Corporation)于1999年9月20日发布的预启动执 行环境(preboot execution environment)(PXE) 2.1版中详细说明的步骤 已经提供了远程供应。这些步骤规定PXE启动服务器通过网络启动 PXE客户端。PXE2.1步骤使用PXE客户端的唯一标识信息，如全球 唯一标识符(GU!D)和/或通用唯一标识符(UUID)，以使得动态主机配置 协议(DHCP)可识别PXE客户端并为PXE客户端提供因特网协议(IP) 地址。然后，PXE客户端可从PXE启动服务器获得操作系统(OS)启动 映像。由于涉及OS启动映像的完整性和可靠性的安全问题，此过程 通常在封闭网络内^l行。

发明内容
本发明的一个方面在于一种具有关联指令的机器可访问々某体，所 述指令在执行时导致机器向供应服务器传送装置标识符，所述标识符 通常将装置识别为装置类别之一；从所述供应服务器接收消息，所述 消息包括至少部分根据所述装置标识符加密的至少一部分；解密所述 消息的至少所述部分；向所述供应服务器传送指示，所述指示是至少 所述部分已成功解密以认证所述装置标识符与所述装置的关联；以及从所述供应服务器接收操作系统启动映像。
本发明的另一个方面在于一种设备，包含通信接口，所述通信接
口配置为将所述设备在通信上耦合到网络；还包含供应代理，所述供 应代理耦合到所述通信接口并且配置为经由所述通信接口使供应服务 器参加传输层安全交换，其中所述供应代理提供识别设备为装置类别 之一的装置标识符、认证所述装置标识符与所述设备的关联，并且在 成功认证所述关联时接收唯一识别企业内的所述装置的本地装置标识符。
本发明的又一个方面在于一种方法，包括从装置接收装置标识 符，所述标识符通常将所述装置识别为装置类别之一；至少部分根据 所述装置标识符加密至少消息的一部分；将所述消息发送至装置；从 所述装置接收指示，所述指示是至少所述部分已成功解密；至少部分 根据所述指示认证所述装置标识符与所述装置的关联；以及至少部分 根据所述关联的认证向所述装置传送操作系统启动映像。


通过以下结合附图的详细说明，将易于理解本发明的实施例。为 了便于此说明，相同的参考标号表示相同的结构元件。本发明的实施 例在附图中作为实例而不是以限制的方式来说明。
图l说明根据本发明的各种实施例的远程供应环境。 图2是流程图，说明根据本发明的各种实施例的PXE客户端操作。 图3是流程图，说明根据本发明的各种实施例的PXE启动服务器 操作。
图4说明根据本发明的各种实施例的计算装置。
具体实施例方式
在以下详细说明中，参照构成其组成部分的附图，其中相同标号 表示相同部件，并且作为说明，给出了一些可实施本发明的实施例。
6应当理解，可采用其它实施例并做出结构上或逻辑上的更改，只要不 背离本发明的范围。因此，以下详细说明不是限制性的，根据本发明 的实施例的范围由所附权利要求及其等效物来限定。
各种操作将以一种有助于理解本发明实施例的方式依次描述为多 个分立操作，但是，描述的顺序不应被理解为意味着这些操作一定是 顺序相关的。
为说明本发明，短语"A和/或B"表示"(A)、 (B)或(A和B)。为 说明本发明，短语"A、 B和/或C"表示"(A)、 (B)、 (C)、 (A和B)、 (A和C)、 (B和C)或(A、 B和C)"。
说明中可能会使用短语"在一个实施例中"或"在实施例中"， 这可分别指一个或多个相同或不同的实施例。此外，如本发明实施例 中所用，词语"包含"、"包括"、"具有"等是同义的。
图l说明根据本发明的各种实施例的远程供应环境，如环境100。 如本文中所用，"远程供应"可指启动服务器，如PXE启动服务器104， 通过网络连接为客户端装置(如PXE客户端108)提供OS启动映像。客 户端装置108可以^J良务器、台式计算装置、膝上型计算装置、移动 计算装置等。"客户端" 一词可仅指客户端装置108在供应步骤中的 作用，而不是限制本发明实施例。
远程供应可由PXE启动服务器104和PXE客户端108参加传输 层安全性(TLS)交换112发起。TLS交换112可以是第2层交换，其中 PXE客户端108为PXE启动J良务器104提供装置标识符(下文中称为 "devID")116，并且PXE启动服务器104认证devID 116与PXE客户 端108的关联。第2层交换可将传输层信息直接封装在数据链路层中， 绕过网络层服务。
devED 116通常可将PXE客户端108识别为装置类别之一的装置。 例如，devID可指示PXE客户端108为特定构成和型号的服务器。PXE 启动服务器104可能已收到带外(OOB)信息，如通过IT技术人员输入 来自物料清单(或来自厂商的网站等)，所述信息用于验证涉及远程供应步骤的客户端装置是否确实是整合到厂商的基础设施中的装置。此
验证可为建立PXE启动服务器104和PXE客户端108之间的安全关 联提供基础，从而以可靠的方式将OS启动映像传递到PXE客户端。
devID 116的共性可减少与唯一标识符(如GUID/UUID)的传送相 关联的私密性问题(privacy concerns),即可能会公开个人可识别信息
(PH)。
在制造PXE客户端108时，可通过将devID 116捆绑到PXE客户 端108的硬件使devID 116与PXE客户端108相关联。在各种实施例 中，devED可驻留在处理单元、芯片组(如信任平台模块(TPM))中、网 洛接口卡(NIC)等之中。devID 116可包括保密部分和公开部分。7>开 部分可包括关于devID116凭证的各种信息，如版本、序列号、签章、 发行者、有效日期、公钥信息等。私密部分可包括与PXE客户端108 关3f关的密码保护的秘密，可用于各种密码操作。在各种实施例中，devID 116可与电气和电子工程师协会(正EE)当前开发的名为"安全装置标识 (Secure Device Identity)"的802.1ar标准中提供的定义相容。
在TLS交换112之后，PXE客户端108可通过向DHCP服务器 122发出DHCP请求120来请求IP地址，DHCP服务器122可以是启 动服务器104的组成部分，如图中所示，或在其它实施例中，可以是 独立的服务器。DHCP服务器122可通过在DHCP确认消息124中提 供IP地址来响应。
虽然TLS交换112可在取得IP地址之后完成，如第3层交换，但 在之前进行交换可避免由不安全的DHCP服务器导致的安全漏洞。
在PXE客户端108获得IP地址之后，它可传送启动服务器发现 消息128以确定PXE启动服务器是否可用。在可用时，PXE启动服务 器104可使用启动服务器确i人消息132来响应。
PXE客户端108可在下载请求136中请求OS启动加载程序。PXE 启动服务器104可通过传送OS启动映像140来响应。
PXE客户端108可通过获得凭证消息144向PXE启动月l务器104请求凭证。PXE启动月良务器104可使用确认凭证消息148来响应。来 自PXE启动服务器104的凭证可以是包含指定数据对象的验证信息的 已签署证明。
PXE客户端108在收到OS启动映像和凭证之后可4丸行启动映4象
152。
图2和图3是流程图，分别显示PXE客户端108和PXE启动服 务器104在根据各种实施例的TLX交换112中的操作。在框204中， PXE客户端108可通过传送devID 116至PXE启动服务器104发起TLS 交4灸112。具体地说，并且根据实施例，PXE客户端108可传送devID 116的公开部分至PXE启动服务器104。
在框304中，PXE启动服务器104可接收devID 116的7>开部分， 并且在框308中，使用devID 116的7>开部分加密至少一部分在框312 中传送至PXE客户端108的消息。消息的加密部分有时可被称作询问 (challenge)。
在框208中，PXE客户端108可接收消息，并且在框212中使用 devID 116的私密部分来解密加密的部分。然后在框216中，PXE客户 端108可传送该部分成功解密的指示至PXE启动服务器104。
在框316中，PXE启动服务器104可接收传送的指示并且在框320 中确定它是否有效。PXE启动服务器104可使用DevID的公开部分的 7>钥部分来验证此传送的指示。
如果指示无效，在框324中，PXE启动服务器104可不认证devID 与PXE客户端108的关联。如果指示有效，可在框328中认证关联， 并且在框332中PXE启动服务器104可传送本地devID (LdevE))。 LdevE)可以是企业特定的唯一 ID。
在框220中，PXE客户端108可接收和安装LdevID。 一旦安装在 PXE客户端108上，LdevID可侵占devE) 116。通过以这种方式提供 LdevID， PXE启动服务器104实际上可以远程取得PXE客户端108 的所有权。在确定dev!D是否正确与PXE客户端108关联之夕卜(或作为备选)， PXE启动服务器104可确定devID 116本身的有效性。这可通过参考 在devID 116的公开部分中直接传送的信息来确定，如有效性时帧和/ 或通过OOB信息，如应用于devID 116的有关失效(revocation)、更新
等的信息。
图4说明能够实现根据各种实施例的PXE计算装置的计算装置 400。如图所示，在实施例中，计算装置400包括互相耦合的处理器 404、存储器408和总线412。此外，如图所示，计算装置400包括互 相耦合的存储装置(storage)416和通信接口 420，如无线网络接口卡 (WNIC),以及之前所述的元件。
具体地说，存储器408和存储装置416可分别包括供应逻辑424 的临时和永久复制。供应逻辑424可包括在由处理器404执行时导致 实现供应代理的指令，所述代理结合根据本发明实施例的各种PXE装 置，如PXE启动服务器和/或PXE客户端，执行所述的远程供应操作。 这些远程供应操作包括但不限于，PXE启动服务器使用OS启动映像
在各种实施例中，存储器408可包括RAM、动态RAM(DRAM)、 静态RAM(SRAM)、同步DRAM(SDRAM)、 双倍数据速率 RAM(DDRRAM)等。
在各种实施例中，处理器404可包括一个或多个单核处理器、多 核处理器、控制器、专用集成电路(ASIC)等。
在各种实施例中，存储装置416可以是机器可访问媒体，包括集 成和/或外围存储装置，例如但不限于，盘和关联驱动器(如磁盘、光盘)、 通用串行总线(USB)存储装置和关联端口、闪速存储器、只读存储器 (ROM)、非易失性半导体装置等。
在各种实施例中，存储装置416可以是计算装置400的物理组成 部分的存储资源，或者它可以由计算装置400访问但不一定是其组成 部分。例如，存储装置416可以由计算装置400通过网络访问。在各种实施例中，计算装置400可具有或多或少的部件和/或不同 的架构。
虽然本文为了描述优选实施例已经说明和描述了 一些实施例，但 是，本领域的技术人员会理解，在没有背离本发明范围的情况下，适 合实现相同目的的大量备选和/或等效实施例或实现可取代所示和所 述的实施例。本申请意在涵盖本文所述的实施例的任何修改或变更。 因此，根据本发明的实施例显然仅受限于权利要求书及其等效物。
权利要求
1. 一种具有关联指令的机器可访问媒体，所述指令在执行时导致机器向供应服务器传送装置标识符，所述标识符通常将装置识别为装置类别之一；从所述供应服务器接收消息，所述消息包括至少部分根据所述装置标识符加密的至少一部分；解密所述消息的至少所述部分；向所述供应服务器传送指示，所述指示是至少所述部分已成功解密以认证所述装置标识符与所述装置的关联；以及从所述供应服务器接收操作系统启动映像。
2. 如权利要求1所述的机器可访问i某体，其中所述装置标识符在 制造所述装置时与所述装置相关联。
3. 如权利要求1所述的机器可访问媒体，其中所述关联指令在执 行时还导致所述机器在传送所述指示之后和接收所述操作系统启动映像之前，接收唯 一识别企业内的所述装置的本地装置标识符。
4. 如权利要求3所述的机器可访问媒体，其中所述关联指令在执 行时还导致所述机器在所述机器上安装所述本地装置标识符。
5. 如权利要求l所述的机器可访问々某体，其中所述关联指令在访 问时还导致所述机器在传送所述装置标识符之后，传送动态主机配置协议请求以请求 因特网协iU也址。
6. 如权利要求1所述的机器可访问々某体，其中所述关联指令配置 为由预启动执行环境中的机器执行。
7. 如权利要求1所述的机器可访问々某体，其中所述传送所述装置 标识符、接收所述消息、传送所述指示以及接收所述操作系统启动映像包括传输层安全交换。
8. —种设备，包含通信接口 ，所述通信^妻口配置为将所述设备在通信上耦合到网络；以及供应代理，所述供应代理耦合到所述通信接口并且配置为经由所 述通信接口使供应服务器参加传输层安全交换，其中所述供应代理提 供识别设备为装置类别之一的装置标识符、认证所述装置标识符与所 述设备的关联，并且在成功认证所述关联时接收唯一识别企业内的所 述装置的本地装置标识符。
9. 如权利要求8所述的设备，其中所述装置标识符在制造所述设 备时与所述设备相关联。
10. 如权利要求8所述的设备，其中所述供应代理还配置为从所 述供应服务器接收操作系统启动映像。
11. 如权利要求8所述的设备，其中所述传输安全层交换在预启 动执行环境中发生。
12. 如权利要求8所述的设备，其中所述供应代理还供应为从所 述供应服务器接收消息，所述消息包括至少部分根据所述装置标识符 加密的至少一部分；解密所述消息的至少所述部分；以及向所述供应 服务器传送指示，所述指示是至少所述部分已成功解密以认证所述装 置标识符与所述设备的关联。
13. 如权利要求8所述的设备，其中所述装置标识符通常将所述 设备识别为装置类别之一 。
14. 一种方法，包括从装置接收装置标识符，所述标识符通常将所述装置识别为装置 类别之一；至少部分4艮据所述装置标识符加密至少消息的 一部分； 将所述消息发送至装置；从所述装置接收指示，所述指示是至少所述部分已成功解密；至少部分根据所述指示认证所述装置标识符与所迷装置的关联；以及至少部分根据所述关联的认证向所述装置传送操作系统启动映像。
15. 如权利要求14所述的方法，还包括远程取得所述装置的所 有权。
16. 如权利要求15所述的方法，其中所述远程取得所有权包括 在接收所述指示之后和传送所述操作系统启动映像之前，传送唯一识别企业内的所述装置的本地装置标识符。
17. 如权利要求14所述的方法，其中所述接收所述装置标识符、 传送所述消息以及接收所述指示包括传输层安全交换。
18. 如权利要求14所述的方法，还包括在所述的关联认证之后，接收动态主机配置协议(DHCP)请求；以及传送提供因特网协议地址的DHCP确认。
19.如权利要求14所述的方法，还包括 参考/^H月部分；以及至少部分根据所述公钥的参考确定所述装置标识符的有效性。
20.如权利要求19所述的方法，其中所述公钥部分经由厂商的网 站和/或物料清单发布。
全文摘要
本发明的名称为使用装置标识符的远程供应，其实施例提供一种使用装置标识符的远程供应。在一些实施例中，客户端装置可传送装置标识符至供应服务器，并且在认证装置标识符与客户端装置的关联之后的某个时间，从供应服务器接收操作系统启动映像。可描述其它实施例并要求其权益。
文档编号H04L12/24GK101442527SQ200810182279
公开日2009年5月27日 申请日期2008年11月21日 优先权日2007年11月21日
发明者M·A·罗斯曼, V·J·滋梅 申请人:英特尔公司