Lenovo ThinkPad X200 Tablet 7453 Manuel utilisateur

Guide de déploiement
Hardware Password Manager
Mise à jour : juillet 2010
Guide de déploiement
Hardware Password Manager
Mise à jour : juillet 2010
Remarque : Avant d'utiliser le présent document et le produit associé, prenez connaissance des
informations générales figurant à l'Annexe D «Remarques» à la page 53.
Troisième édition (Juillet 2010)
© Copyright Lenovo 2010.
Les produits, données, logiciels informatiques et services LENOVO ont été développés exclusivement à titre privé et sont
vendus à des entités gouvernementales en tant qu'articles commerciaux conformément à l'article 48 C.F.R. 2.101, dont
l'utilisation, la reproduction et la divulgation sont soumises à des limitations et des restrictions.
REMARQUE SUR LES DROITS LIMITÉS ET RESTREINTS : si les produits, les données, les logiciels ou les services sont
fournis conformément à un contrat General Services Administration (GSA), l'utilisation, la reproduction et la divulgation
sont soumises aux restrictions stipulées dans le contrat nº GS-35F-05925.
Table des matières
Préface . . . . . . . . . . . . . . . . . v
Chapitre 1. Présentation . . . . . . . . 1
Chapitre 2. Installation de Hardware
Password Manager sur la console
ThinkManagement . . . . . . . . . . . 3
Conditions prérequises . . . . . . . . . . .
Préparation du serveur principal . . . . . . . .
Console ThinkManagement avec configuration du
serveur HPM . . . . . . . . . . . . . . .
Migration vers un nouveau serveur LDAP . . . .
Installation de Hardware Password Manager sur
un périphérique Lenovo . . . . . . . . . . .
.
.
3
4
.
.
5
7
.
7
Chapitre 3. Gestion des
périphériques Hardware Password
Manager avec la console
ThinkManagement . . . . . . . . . . . 9
Affichage des périphériques Hardware Password
Manager et de leurs propriétés . . . . . . . . . 9
Gestion des utilisateurs enregistrés sur les
périphériques Hardware Password Manager .
10
Configuration de la connexion à un serveur
LDAP . . . . . . . . . . . . . . . .
11
Affichage des utilisateurs Hardware Password
Manager et de leurs propriétés . . . . . .
11
Suppression de l'accès d'un utilisateur à un
périphérique Hardware Password Manager. .
12
Gestion des groupes Hardware Password
Manager . . . . . . . . . . . . . . .
12
Gestion des actions distantes et des paramètres
de stratégie pour les périphériques Hardware
Password Manager . . . . . . . . . . . . .
13
Mise à jour globale des stratégies de client . . .
15
Mise à jour globale des mots de passe matériels .
16
Mise à jour du compte d'urgence . . . . . . .
17
Modification des paramètres de stratégie de
serveur. . . . . . . . . . . . . . . . . .
18
Definition des étendues et des rôles des utilisateurs
de la console . . . . . . . . . . . . . . .
19
Chapitre 4. Client Hardware
Password Manager . . . . . . . . . .
Configuration du périphérique Hardware Password
Manager . . . . . . . . . . . . . . . . .
Enregistrement d'un périphérique auprès
du serveur Hardware Password Manager et
enregistrement du premier utilisateur . . . . . .
Enregistrement d'utilisateurs supplémentaires sur
un périphérique Hardware Password Manager . .
© Copyright Lenovo 2010
21
21
22
23
Suppression d'un utilisateur d'un périphérique
Hardware Password Manager . . . . . . . . .
Annulation de l'enregistrement d'un périphérique
sur le serveur Hardware Password Manager . . .
Mise à jour des données d'identification sur un
périphérique Hardware Password Manager . . .
23
24
24
Chapitre 5. Déploiement . . . . . . .
27
Intégration des empreintes digitales . . . . . .
Compatibilité avec Safe Guard Easy/Safe Guard
Enterprise . . . . . . . . . . . . . . . .
Enregistrement en un clic . . . . . . . . . .
Préenregistrement . . . . . . . . . . .
Enregistrement d'un utilisateur sur un système
préenregistré . . . . . . . . . . . . .
27
Chapitre 6. Scénarios . . . . . . . .
31
Scénarios de maintenance (modifications de
configuration) . . . . . . . . . . . . . . .
Scénario 1 - Modifications de la configuration
matérielle . . . . . . . . . . . . . . .
Scénario 2 - Erreur CMOS . . . . . . . .
Scénario 3 - Remplacement du périphérique
de lecture d'empreintes digitales . . . . . .
Scénario 4 - Mots de passe matériels déjà
définis . . . . . . . . . . . . . . . .
Scénario 5 - Configuration sous le système
d'exploitation (paramètres du BIOS à
distance) . . . . . . . . . . . . . . .
Scénario 6 - Remplacement de la carte
mère . . . . . . . . . . . . . . . . .
Scénario 7 - Ajout d'une unité de disque dur .
Scénario 8 - Remplacement ou déplacement
d'une unité de disque dur . . . . . . . .
Scénario 9 - Changement de l'emplacement
d'un disque dur dans un système . . . . .
Scénario 10 - Retrait d'une unité de disque
dur . . . . . . . . . . . . . . . . .
Scénario 11 - Flashage du BIOS . . . . . .
Scénario 12 - Le système enregistré ne peut
plus accéder au serveur Hardware Password
Manager . . . . . . . . . . . . . . .
Scénario 13 - Accès à la configuration du
BIOS. . . . . . . . . . . . . . . . .
Scénario 14 - Chargement des paramètres par
défaut dans la configuration du BIOS . . . .
Scénario 15 - Ne pas protéger toutes les
unités de disque dur . . . . . . . . . .
Scénarios utilisateur . . . . . . . . . . . .
Scénario 1 - Oubli des données d'identification
du compte matériel, réseau connecté . . . .
29
29
29
30
31
31
31
32
33
33
33
34
34
35
35
35
36
36
36
36
37
37
iii
Scénario 2 - Oubli des données d'identification
du compte matériel, AUCUNE connexion
réseau . . . . . . . . . . . . . . . .
Scénario 3 - Oubli du mot de passe
d'entreprise . . . . . . . . . . . . . .
Scénario 4 - Connexion manuelle à l'aide de
différents types de clavier . . . . . . . .
Scénario 5 - Gestion des enregistrements à
partir de plusieurs partitions d'amorçage . .
Scénario 6 - BitLocker . . . . . . . . . .
iv
Guide de déploiement Hardware Password Manager
Annexe A. Sécurité et confort . . . .
41
37
Annexe B. Reprise après incident . .
43
37
Annexe C. Conseils et astuces . . . .
47
38
Annexe D. Remarques . . . . . . . .
53
Marques . . . . . . . . . . . . . . . . .
54
38
38
Préface
Le présent guide s'adresse aux administrateurs de systèmes informatiques ou aux responsables du
déploiement du programme Lenovo® Hardware Password Manager™ sur les ordinateurs de leur entreprise.
Il fournit les informations nécessaires à l'installation de Hardware Password Manager sur un ou plusieurs
ordinateurs, à condition que des licences du logiciel aient été acquises pour chaque ordinateur cible.
L'application Hardware Password Manager comporte une aide que les administrateurs et les utilisateurs
peuvent consulter lorsqu'ils recherchent des informations sur l'utilisation de l'application.
Lenovo Hardware Password Manager a été développé à l'intention des informaticiens professionnels
pour répondre aux défis uniques qu'ils peuvent rencontrer. Le présent guide de déploiement fournit des
instructions et des solutions relatives à l'utilisation de Hardware Password Manager. Si vous avez des
suggestions ou des commentaires, communiquez-les à votre représentant Lenovo agréé. Pour en savoir
plus sur les technologies susceptibles de vous aider à réduire le coût total de possession et à vérifier les
mises à jour périodiques de ce guide, consultez le site Web suivant :
http://www.lenovo.com
© Copyright Lenovo 2010
v
vi
Guide de déploiement Hardware Password Manager
Chapitre 1. Présentation
L'outil Hardware Password Manager (HPM) Lenovo permet à un administrateur de gérer des mots de passe
matériels pour tous les périphériques PC enregistrés. En outre, il définit la notion d'ID utilisateur et mot de
passe au niveau du BIOS pour que l'utilisateur final puisse les utiliser en tant que connexion unique au proxy.
Cet ID utilisateur et ce mot de passe peuvent être synchronisés avec l'ID et le mot de passe Windows pour
cet utilisateur. L'utilisateur a également la possibilité de s'authentifier auprès du BIOS en utilisant son
empreinte digitale. Lorsque le périphérique est mis sous tension, l'utilisateur est invité à saisir ces données
d'identification. Une fois les informations fournies, le périphérique connecte l'utilisateur à son bureau. Ce
mécanisme préserve la confidentialité de l'utilisateur et lui permet d'utiliser le périphérique, même s'il ne
connaît pas les mots de passe réels.
Une fois HPM installé, le serveur principal Lenovo ThinkManagement Console joue le rôle du serveur HPM : il
gère et authentifie les périphériques HPM. Par ailleurs, un serveur Active Directory ou eDirectory fait office
de serveur d'authentification pour Hardware Password Manager : le serveur HPM vérifie les données
d'identification utilisateur par rapport aux données enregistrées sur le serveur LDAP.
Sur les périphériques client Lenovo avec prise en charge HPM, l'administrateur installe un agent qui contient
une application Hardware Password Manager. Lorsque le périphérique client est mis sous tension, il
communique via le port UDP 50001 avec le serveur HPM.
Une fois qu'un client a démarré sur le système d'exploitation, il utilise l'application client Hardware Password
Manager pour communiquer avec un service Web sur le serveur. Cette communication s'effectue via
un canal HTTPS.
L'administrateur utilise les fonctionnalités HPM dans la console ThinkManagement pour gérer les
périphériques HPM, créer et déployer des stratégies vers ces périphériques. Ces stratégies déterminent
la façon dont Hardware Password Manager est mis en œuvre pour les périphériques ; par exemple,
l'administrateur sélectionne quelles options utilisateur sont disponibles sur les périphériques HPM dans le
cadre de la définition d'une stratégie.
© Copyright Lenovo 2010
1
2
Guide de déploiement Hardware Password Manager
Chapitre 2. Installation de Hardware Password Manager sur
la console ThinkManagement
Pour utiliser la fonctionnalité HPM, vous devez installer Lenovo ThinkManagement Console. Dans le cadre
de cette installation, vous devez définir des détails de connexion pour votre serveur LDAP pour qu'il
fournisse des services d'authentification pour HPM. Les stratégies utilisées pour la génération des mots de
passe matériels et la gestion des périphériques client sont également définies dans la console.
Ensuite, vous installez le logiciel client HPM sur les périphériques Lenovo individuels qui prennent en
charge HPM. Un paramètre du BIOS est utilisé pour activer ou désactiver la prise en charge HPM sur ces
périphériques. Ce paramètre doit être défini sur Enabled pour que le périphérique puisse fonctionner
avec HPM.
Une fois que ces tâches d'installation sont terminées, vous pouvez commencer à enregistrer les
périphériques HPM Lenovo sur le serveur HPM et enregistrer les utilisateurs sur ces périphériques.
Conditions prérequises
Les éléments suivants doivent être pris en compte avant de procéder à l'installation de Lenovo
ThinkManagement Console avec HPM sur votre serveur :
• Le serveur doit avoir accès à Internet pour obtenir les logiciels prérequis et s'activer une fois l'installation
terminée.
• Le serveur doit avoir une adresse IP statique.
• Le serveur ne peut pas être un contrôleur de domaine. Il est toutefois recommandé que le serveur se
joigne à un domaine.
• Le compte auquel vous vous connectez pour effectuer l'installation du serveur principal doit disposer de
droits d'administrateur sur le serveur avec accès en lecture et écriture. Il est préférable que ce compte
soit également un compte Administrateur du domaine. Ce compte sera utilisé pour créer le compte initial
de niveau administrateur qui permettra de se connecter à la console ThinkManagement.
Pour garantir une installation opérationnelle propre du logiciel, l'ordre d'installation suivant est recommandé :
1. Installez le système d'exploitation Windows® Server 2008 R2 (32 bits) avec SP2 ou Windows Server
2008 R2 (64 bits).
2. Installez le composant Windows Internet Information Services (IIS).
Remarque : Pour le système d'exploitation Windows Server 2003 R2 (32 bits), cette opération DOIT être
effectuée avant l'installation d'ASP.Net.
3. Installez les composants Windows suivants :
• ASP.Net
• SNMP
4. Utilisez Windows Update pour installer toutes les mises à jour critiques disponibles.
5. Installez Microsoft® .NET Framework® 2.0 ou version ultérieure.
6. Installez Web Services Enhancements (WSE) 3.0 pour Microsoft .NET si vous utilisez le système
d'exploitation Windows Server 2008 R2 (64 bits) ou installez Web Services Enhancements (WSE) 2.0
SP3 si vous utilisez le système d'exploitation Windows Server 2003 R2 (32 bits).
© Copyright Lenovo 2010
3
Une fois la console ThinkManagement installée, il est recommandé d'activer Security and Patch Manager
pour obtenir des mises à jour pour ce produit. Dans la console, cliquez sur Aide ➙ Assistant de l'aide
LANDesk® ➙ Mises à jour de sécurité pour obtenir de l'aide relative à la configuration de Security and
Patch Manager.
Préparation du serveur principal
Le serveur principal HPM va utiliser la console ThinkManagement Console 9.0 qui est basée sur LANDesk
Management Suite 9.0. Pour plus d'informations sur la configuration système requise pour LANDesk
Management Suite, accédez au site Web suivant :
http://community.landesk.com/support/docs/DOC-7478
Pour plus d'informations sur les conditions préalables à l'installation de ThinkManagement Console 9.0,
accédez au site Web suivant :
http://community.landesk.com/support/docs/DOC-6767
La plateforme recommandée pour ThinkManagement Console 9.0 est le système d'exploitation Windows
Server 2008 R2 (64 bits). Les instructions suivantes décrivent la configuration du système d'exploitation
Windows Server 2008 R2 (64 bits) pour réunir les conditions préalables à l'utilisation de ThinkManagement
Console 9.0.
1. Installez le système d'exploitation Windows Server 2008 R2 (64 bits) à partir du support d'installation.
Il est recommandé de réinstaller le système d'exploitation serveur pour le serveur principal HPM, car
les images du système d'exploitation peuvent avoir des paramètres incompatibles avec le serveur
principal HPM.
2. Exécutez Windows Update et assurez-vous que toutes les mises à jour critiques ont été effectuées.
3. Nom du serveur principal. Il est important que le nom du serveur principal soit correctement défini. Une
fois l'installation terminée, vous ne pouvez pas renommer le serveur principal HPM.
4. Désactivez le service d'indexation et le service Recherche Windows, car ils pourraient affecter le
fonctionnement normal du serveur principal HPM. Pour plus d'informations, accédez au site Web
suivant :
http://community.landesk.com/support/docs/DOC-7245
5. Ajoutez le rôle du serveur d'applications.
a. Cliquez sur Démarrer ➙ Gestionnaire de serveur.
b. Cliquez sur Ajouter des rôles.
c. Sélectionnez Serveur Web (IIS).
d. Cliquez sur Suivant. Vous serez invité à ajouter des fonctions supplémentaires requises pour ce rôle.
e. Sélectionnez Ajouter les fonctionnalités requises.
f. Sur l'écran Sélectionner des rôles de serveurs, sélectionnez Serveur d'applications. Vous serez
invité à ajouter des fonctions supplémentaires requises pour ce rôle.
g. Cliquez sur Ajouter les fonctionnalités requises.
h. Sur l'écran Sélectionner des rôles de serveurs, cliquez sur Suivant.
i.
Cliquez sur Suivant.
j.
Sélectionnez Prise en charge du serveur Web (IIS). Vous serez invité à ajouter des fonctions et
des services de rôle supplémentaires.
k. Cliquez sur Ajouter les services de rôle requis.
l.
Sélectionnez Accès réseau COM+.
m. Cliquez sur Suivant.
n. Cliquez sur Suivant.
4
Guide de déploiement Hardware Password Manager
o. Sous la section Services de rôle, sélectionnez ASP, CGI et Fichiers Include côté serveur sous
Développement d'applications.
p. Faites défiler jusqu'au bas de la liste et sélectionnez Compatibilité avec la gestion IIS 6.
q. Cliquez sur Suivant.
r. Une boîte de dialogue Confirmer les sélections pour l'installation s'affiche. Cliquez sur Installer.
s. Cliquez sur Fermer lorsque l'installation est terminée.
Lorsque vous utilisez le système d'exploitation Windows Server 2008 R2 (64 bits), la fonction de
contrôle/d'alertes (SNMP) doit également être installée.
1. Cliquez sur Démarrer ➙ Gestionnaire de serveur.
2. Dans la console Gestionnaire de serveur, cliquez sur Fonctionnalités, puis cliquez sur Ajouter des
fonctionnalités dans le volet de droite de la fenêtre.
3. Sélectionnez Services SNMP.
4. Cliquez sur Suivant.
5. Cliquez sur Installer.
6. Cliquez sur Fermer.
Lorsque vous utilisez le système d'exploitation Windows Server 2003 R2 (32 bits) avec SP2, des composants
Windows supplémentaires doivent être installés.
1. Cliquez sur Démarrer ➙ Panneau de configuration ➙ Ajout/Suppression de programmes.
2. Cliquez sur Ajouter ou supprimer des composants Windows.
3. Ajoutez les composants suivants :
a. Serveur d'applications
• ASP.NET
• Internet Information Services (IIS)
b. Outils de gestion et d'analyse
• Simple Network Management Protocol
4. Cliquez sur Suivant.
5. Pour Composants de gestion de réseau optionnels, sélectionnez Oui.
6. Cliquez sur Terminer.
7. Installez Microsoft .NET Framework 2.0.
8. Redémarrez le serveur.
Vous devez également installer Web Services Enhancements (WSE) 3.0 pour Microsoft .NET. Ce composant
est fourni par Microsoft sur le site Web suivant :
http://www.microsoft.com/downloads/details.aspx?FamilyID=018a09fd-3a74-43c5-8ec1-8d789091255d&displaylang=en
1. Téléchargez le module d'installation Microsoft WSE 3.0.msi à partir du lien ci-dessus.
2. Récupérez le module d'installation et lancez l'exécutable sur le serveur principal.
3. Suivez les instructions dans la boîte de dialogue Installation en utilisant uniquement les paramètres
par défaut.
Console ThinkManagement avec configuration du serveur HPM
Assurez-vous que le serveur LDAP (Microsoft Active Directory ou Novell eDirectory) qui se comporte comme
le serveur d'authentification LDAP pour Hardware Password Manager fonctionne correctement.
Chapitre 2. Installation de Hardware Password Manager sur la console ThinkManagement
5
Pour télécharger le module d'installation de la console ThinkManagement avec HPM, enregistrez-vous sur
le site Web suivant : http://www.landesk.com/lenovo. Une fois l'enregistrement terminé, vous recevrez
un e-mail contenant un lien permettant de télécharger le module d'installation ainsi que des données
d'identification LANDesk pour activer le serveur principal après l'installation.
Lorsque vous avez téléchargé le module d'installation, suivez les instructions ci-dessous pour terminer
l'installation du serveur principal.
1. Connectez-vous au serveur avec des droits d'administrateur.
2. Récupérez le module d'installation ThinkManagement82D.exe. Copiez et collez le chemin du dossier
dans lequel les fichiers source d'installation seront extraits dans le presse-papiers pour y accéder
plus facilement.
3. Exécutez le fichier Autorun.exe de la console ThinkManagement dans le dossier où est extrait le
module d'installation. Sélectionnez Installer sur le serveur principal. Suivez les invites de l'assistant
d'installation et sélectionnez Redémarrer maintenant après l'installation.
4. Activez le serveur principal en indiquant votre nom de contact et mot de passe LANDesk dans l'utilitaire
d'activation du serveur principal (connexion Internet requise).
5. Configurez le serveur LDAP :
a. Connectez le serveur HARDWARE PASSWORD MANAGER et le serveur d'authentification LDAP
au réseau.
b. Lancez la console ThinkManagement.
c. Dans la boîte à outils se trouve un groupe Hardware Password Manager ThinkVantage comportant
trois éléments : Utilisateurs HPM enregistrés, Groupes HPM et Actions distantes et paramètres de
stratégie. Cliquez sur Groupes HPM et cliquez sur Configurer serveur LDAP (troisième bouton)
dans la barre d'outils.
d. Entrez les informations pour ce serveur LDAP qui servira de serveur d'authentification. Les éléments
suivants doivent être définis pour le serveur LDAP :
• Nom d'hôte : Le nom du serveur LDAP.
• Port : Le numéro du port permettant de communiquer avec le serveur. Le port par défaut est
389 pour Microsoft Active Directory. Si vous devez rechercher dans un catalogue global pour
accéder à plusieurs domaines Active Directory, modifiez le port en 3268. Si vous sélectionnez
Novell eDirectory comme serveur LDAP, le port par défaut est 636.
• Type de serveur : Sélectionnez le type de serveur (Microsoft Active Directory ou Novell
eDirectory).
• Type de chiffrement : Sélectionnez le type de chiffrement utilisé pour la communication avec
le serveur.
• Authorized user :
– Nom d'utilisateur permettant la connexion au serveur Microsoft Active Directory.
– Nom de domaine\nom d'utilisateur ou simplement un nom d'utilisateur.
–
Nom d'utilisateur permettant la connexion au serveur Novell eDirectory.
Remarque : Il est préférable d'utiliser cn=admin name, o=admin context. Si les restrictions
de liaison sont définies sur None, admin name.admin context fonctionnera. Si les restrictions
de liaison sont définies sur Disallow anonymous simple bind, admin name.admin context
ne fonctionnera pas.
– Mot de passe : Mot de passe de l'utilisateur autorisé sur le serveur LDAP.
e. Cliquez sur OK lorsque les informations sont complètes.
La configuration du serveur principal de la console ThinkManagement est terminée.
6
Guide de déploiement Hardware Password Manager
Migration vers un nouveau serveur LDAP
Il peut arriver que vous ayez besoin de modifier l'adresse IP ou le nom d'hôte de votre serveur LDAP. Vous
pouvez également avoir besoin de passer à un nouveau serveur ayant une adresse IP différente, voire
même de passer à un type de serveur LDAP différent.
Si l'une de ces modifications se produit, vous devez créer une nouvelle configuration serveur LDAP.
Pour ce faire, répétez l'étape 5 de configuration LDAP. Il est recommandé d'annuler l'enregistrement des
périphériques HPM existants, puis de les réenregistrer avec la nouvelle configuration LDAP. Dans le cas
contraire, les périphériques enregistrés avec l'ancienne configuration LDAP ne seront pas en mesure
d'exécuter différentes actions HPM telles qu'une connexion à un compte intranet.
Installation de Hardware Password Manager sur un périphérique Lenovo
Pour ajouter les fonctions Hardware Password Manager à un périphérique Lenovo, vous devez déployer un
agent HPM vers le périphérique. Pour ce faire, vous pouvez utiliser une méthode Push ou Pull.
Pour déployer un agent avec les fonctions du client Hardware Password Manager :
1. Dans la console ThinkManagement, cliquez sur Outils ➙ Configuration ➙ Configuration d'agent.
2. Cliquez sur Nouvelle sur la barre d'outils Configuration d'agent et entrez un nom pour cette
configuration d'agent.
3. Veillez à sélectionner l'option Hardware Password Manager dans la section Composants d'agent
à installer.
4. Enregistrez la configuration.
Si vous prévoyez de n'utiliser qu'une seule configuration d'agent ou si vous pensez utiliser la méthode de
déploiement Pull.
Pour utiliser cette configuration d'agent par défaut, procédez comme suit :
1. Dans le volet Configuration d'agent de la console ThinkManagement, faites un clic droit sur la nouvelle
configuration d'agent.
2. Cliquez sur Définir par défaut. Une coche verte apparaît sur l'icône pour cette configuration.
Vous pouvez maintenant utiliser la méthode Push pour déployer l'agent vers vos périphériques Lenovo. Pour
plus d'informations, reportez-vous aux assistants de l'aide Getting Started et Discovering and Installing
Agents disponibles dans le menu d'aide de la console. Pour démarrer, vous avez simplement besoin
d'exécuter les étapes Launch the Configure Services Tool et Configure Scheduler Credentials.
Remarques :
1. Pour simplifier le processus de reconnaissance des périphériques, désactivez le pare-feu Windows®.
2. Pour Windows XP, le partage de fichiers simple doit être désactivé sur le périphérique Lenovo. Il
est normalement désactivé par défaut pour les périphériques qui se connectent dans un domaine.
Vous pouvez désactiver cette option à partir de Windows Explorer. Cliquez sur Outils ➙ Options
des dossiers ➙ Affichage, défilez jusqu'au bas de la liste et désélectionnez Utiliser le partage de
fichiers simple.
3. Pour Windows Vista®, il est recommandé de désactiver l'option Contrôle du compte d'utilisateur.
Lorsque l'agent est déployé, le portail client HPM est installé sur le périphérique. Le nom de fichier du portail
client cmp_portal.exe se trouve dans le dossier C:\Program Files\Lenovo\Hardware Password Manager .
Chapitre 2. Installation de Hardware Password Manager sur la console ThinkManagement
7
Vous pouvez également déployer l'agent à l'aide de la méthode Pull. Cette méthode requiert la connexion
à un dossier partagé sur le serveur HPM et l'exécution d'une application qui va installer la configuration
d'agent par défaut décrite précédemment.
1. Connectez-vous au périphérique Lenovo en tant qu'administrateur de domaine ou administrateur local.
2. Connectez-vous au partage LDLOGON directement via l'explorateur ou via le mappage d'une unité
réseau à \\<votre nom de serveur HPM>\ldlogon à l'aide des données d'identification d'administrateur
de domaine ou d'autres informations d'identification permettant d'accéder à ce partage.
3. Depuis l'unité partagée, lancez WSCFG32.EXE. Une boîte de dialogue affiche les composants qui seront
installés. Veillez à sélectionner l'option ThinkVantage Hardware Password Manager.
4. Suivez les invites pour terminer l'installation de l'agent.
Dans certains cas, il peut s'avérer nécessaire d'inclure le client ThinkVantage Hardware Password Manager
dans une image d'entreprise ou déployée à l'aide d'autres outils ou processus de gestion système. Pour
s'adapter à ces scénarios, il est possible de générér un module exécutable autonome de la configuration
d'agent à partir de la console. Cet exécutable va installer l'agent sans aucune intervention de l'utilisateur.
Pour créer un module d'installation de l'agent exécutable autonome, procédez comme suit :
1. Dans le volet Configuration d'agent de la console ThinkManagement, faites un clic droit sur Nouvelle
configuration d'agent.
2. Cliquez sur Créer le module d'installation du client autonome.
3. Indiquez le dossier dans lequel vous souhaitez enregistrer le fichier exécutable dans la boîte de dialogue
affichée.
Le nom du fichier exécutable sera basé sur le nom de la configuration d'agent. Le processus sera exécuté
en arrière-plan pendant environ une minute. Deux fichiers exécutables et deux fichiers journaux seront
créés. Un exécutable, désigné par «_with_status», fournit un programme d'installation qui affiche l'état de
l'installation à l'utilisateur. L'autre exécutable sera installé en mode silencieux.
8
Guide de déploiement Hardware Password Manager
Chapitre 3. Gestion des périphériques Hardware Password
Manager avec la console ThinkManagement
Les fonctions de Hardware Password Manager disponibles dans la console sont décrites dans les sections
suivantes :
•
«Affichage des périphériques Hardware Password Manager et de leurs propriétés» à la page 9
•
«Gestion des utilisateurs enregistrés sur les périphériques Hardware Password Manager» à la page 10
•
«Configuration de la connexion à un serveur LDAP» à la page 11
•
«Affichage des utilisateurs Hardware Password Manager et de leurs propriétés» à la page 11
•
«Suppression de l'accès d'un utilisateur à un périphérique Hardware Password Manager» à la page 12
•
«Gestion des groupes Hardware Password Manager» à la page 12
•
«Gestion des actions distantes et des paramètres de stratégie pour les périphériques Hardware Password
Manager» à la page 13
•
«Mise à jour globale des stratégies de client» à la page 15
•
«Mise à jour globale des mots de passe matériels» à la page 16
•
«Mise à jour du compte d'urgence» à la page 17
•
«Modification des paramètres de stratégie de serveur» à la page 18
Affichage des périphériques Hardware Password Manager et de leurs
propriétés
Dans la vue du réseau, un dossier distinct situé sous le dossier Devices est ajouté pour les périphériques
Hardware Password Manager Lenovo qui ont été reconnus et gérés. Ouvrez ce dossier des périphériques
gérés par Hardware Password Manager pour afficher une liste des ordinateurs et des disques durs.
Pour afficher les propriétés d'un périphérique Hardware Password Manager :
1. Dans la vue du réseau de la console ThinkManagement, développez le dossier Périphériques et
développez le dossier Périphériques Hardware Password Manager.
2. Cliquez sur Ordinateurs ou Disques durs selon le type de périphérique dont vous avez besoin.
3. Cliquez avec le bouton droit de la souris sur le nom du périphérique et sélectionnez Propriétés HPM.
Les informations dans la boîte de dialogue Propriétés ne sont pas modifiables. Les détails inclus dans
chacun des onglets sont résumés ci-dessous.
Récapitulatif
Les mots de passe répertoriés dans cet onglet sont grisés par défaut. Sélectionnez Afficher tout le texte du
mot de passe au bas de l'onglet. Cela permet d'éviter l'affichage indésirable des mots de passe matériels.
• Registration time and status : répertorie la date/heure d'enregistrement et l'état en cours.
• BIOS passwords : affiche les mots de passe pour chaque profil du BIOS, ainsi que la dernière date/heure
de sauvegarde du profil. Cette section comprend le mot de passe superviseur (SVP) qui permet la
connexion au périphérique avec l'accès administrateur, et le mot de passe à la mise sous tension (POP)
qui permet la connexion au périphérique en tant qu'utilisateur.
• Hard disk passwords : répertorie les mots de passe permettant d'accéder à chaque disque dur du
périphérique. Cette section affiche le mot de passe maître, le mot de passe utilisateur et tous les mots de
© Copyright Lenovo 2010
9
passe de secours sui ont pu êtré générés pour le disque dur (cliquez sur Afficher pour voir la liste des
mots de passe de secours).
• Compte administrateur d'urgence : répertorie les données d'identification du compte administrateur qui
peut accéder au périphérique Hardware Password Manager. Le compte administrateur d'urgence est
créé sur chaque périphérique. Ces données d'identification peuvent être utilisées en cas d'urgence pour
accéder au BIOS du périphérique avec des droits d'administrateur.
Enrolled users :
Tous les utilisateurs enregistrés pour accéder au périphérique Hardware Password Manager sont répertoriés
dans cet onglet. Le nom d'utilisateur du compte intranet est le nom utilisé pour la connexion du compte
utilisateur LDAP. Le nom d'utilisateur du compte matériel est le nom utilisé pour enregistrer des données
dans le compte matériel (une zone sécurisée de mémoire rémanente qui n'est accessible qu'à partir du BIOS
de l'ordinateur). Le chemin d'accès LDAP indique l'emplacement de l'utilisateur dans l'arborescence du
serveur LDAP (par exemple, CN=ADMINISTRATOR,CN=USERS,DC=TESTLAB).
Member of :
Cet onglet répertorie les groupes de comptes intranet auquel le périphérique appartient. Le chemin d'accès
LDAP indique l'emplacement du groupe dans l'arborescence du serveur LDAP.
Actions distantes :
La section Actions distantes répertorie tous les actions distantes antérieures qui ont été appliquées à
ce périphérique Hardware Password Manager. La section Actions distantes - Supprimer l'utilisateur
répertorie les utilisateurs enregistrés sur ce périphérique mais dont l'accès a été supprimé.
Stratégie client :
La liste Stratégie Windows indique le statut des paramètres de stratégie relatifs au système d'exploitation
actuellement appliqués au périphérique. La liste Stratégie BIOS indique le statut des paramètres de
stratégie relatifs au BIOS actuellement appliqués au périphérique. Ces paramètres sont sélectionnés dans
la boîte de dialogue Stratégie client ; pour plus d'informations, voir «Mise à jour globale des mots de
passe matériels» à la page 16.
Gestion des utilisateurs enregistrés sur les périphériques Hardware
Password Manager
Lorsqu'un périphérique Hardware Password Manager Lenovo est enregistré auprès du serveur Hardware
Password Manager, l'utilisateur principal de ce périphérique est enregistré en tant qu'utilisateur autorisé de
ce périphérique Hardware Password Manager. Vous pouvez enregistrer des utilisateurs supplémentaires sur
chaque périphérique Hardware Password Manager en utilisant le Portail client sur le périphérique ou en
incluant l'utilisateur dans un groupe Hardware Password Manager possédant des droits sur ce périphérique.
Pour gérer les utilisateurs pour les périphériques Hardware Password Manager, utilisez l'option Utilisateurs
HPM enregistrés dans la boîte à outils de la console ThinkManagement (ou cliquez sur Outils ➙
ThinkVantage Hardware Password Manager ➙ Utilisateurs HPM enregistrés).
L'outil Utilisateurs HPM enregistrés vous permet d'effectuer les opérations suivantes :
• Configurer la connexion au serveur LDAP
• Afficher une liste des utilisateurs Hardware Password Manager
• Afficher les propriétés d'un utilisateur Hardware Password Manager
•
10
Révoquer l'accès d'un utilisateur à un périphérique Hardware Password Manager
Guide de déploiement Hardware Password Manager
Configuration de la connexion à un serveur LDAP
Dans la vue Manage Enrolled Users, les utilisateurs et les groupes sont répertoriés dans une arborescence
qui affiche les utilisateurs et les groupes figurant sur le serveur LDAP que vous utilisez pour l'authentification
Hardware Password Manager. Pour afficher cette structure arborescente, vous devez d'abord configurer la
connexion au serveur LDAP.
Les informations que vous entrez dans cette boîte de dialogue permettent au serveur Hardware Password
Manager de se connecter au serveur LDAP, lequel peut être soit un serveur Microsoft Active Directory, soit
un serveur Novell eDirectory.
Vous pouvez effectuer une migration depuis un serveur LDAP vers un autre sans perdre de données. Si
vous pensez avoir besoin d'utiliser un serveur différent pour l'authentification LDAP, entrez les données
de configuration du nouveau serveur.
Pour configurer une connexion au serveur LDAP :
1. Cliquez sur Utilisateurs HPM enregistrés dans la boîte à outils (ou cliquez sur Outils ➙ ThinkVantage
Hardware Password Manager ➙ Utilisateurs HPM enregistrés).
2. Cliquez sur Serveur LDAP.
3. Entrez le nom d'hôte du serveur LDAP dans le champ Nom d'hôte.
4. Si vous souhaitez utiliser un port autre que le port par défaut pour accéder au serveur, désélectionnez
Utiliser le port par défaut et entrez un autre numéro de port.
5. Sélectionnez Type de serveur (Microsoft Active Directory ou Novell eDirectory).
6. Sélectionnez Type de chiffrement pour le serveur.
7. Entrez les données d'identification utilisées pour accéder au serveur LDAP dans les champs Utilisateur
autorisé et Mot de passe. L'utilisateur peut être indiqué au format domaine\nom d'utilisateur ou
il peut simplement s'agir du nom d'utilisateur.
Affichage des utilisateurs Hardware Password Manager et de leurs
propriétés
L'outil Utilisateurs HPM enregistrés vous permet d'afficher tous les utilisateurs qui sont enregistrés pour
accéder aux périphériques Hardware Password Manager Lenovo. Vous pouvez afficher une liste de tous
les utilisateurs ou sélectionner des groupes dans l'arborescence de répertoires LDAP afin d'afficher des
sous-ensembles de la liste. Vous pouvez afficher toutes les propriétés de chaque utilisateur Hardware
Password Manager enregistré, notamment l'ID utilisateur, le chemin d'accès LDAP, les groupes qui
contiennent l'utilisateur et les périphériques sur lesquels l'utilisateur est enregistré. Ces propriétés ne sont
pas modifiables dans la boîte de dialogue Propriétés.
Pour afficher les utilisateurs Hardware Password Manager enregistrés et leurs propriétés :
1. Cliquez sur Utilisateurs HPM enregistrés dans la boîte à outils (ou cliquez sur Outils ➙ ThinkVantage
Hardware Password Manager ➙ Utilisateurs HPM enregistrés).
2. Pour afficher tous les utilisateurs enregistrés, cliquez sur All users dans la structure arborescente.
3. Pour afficher un sous-ensemble d'utilisateurs, développez un ou plusieurs groupes figurant dans la
structure arborescente, puis cliquez sur un nom de groupe.
4. Pour afficher les propriétés d'un utilisateur, cliquez avec le bouton droit de la souris sur l'utilisateur dans
une liste d'utilisateurs, puis sélectionnez Propriétés.
Remarque : Vous pouvez également sélectionner l'utilisateur et cliquez sur Propriétés dans la barre d'outils.
Les options de la boîte de dialogue Propriétés sont résumées ci-dessous.
Chapitre 3. Gestion des périphériques Hardware Password Manager avec la console ThinkManagement
11
Summary :
Cet onglet répertorie l'ID et le nom usuel de l'utilisateur, le chemin d'accès dans l'arborescence LDAP où
se trouve l'arborescence, et le statut en cours de l'utilisateur. Il répertorie également la date et l'heure
auxquelles l'utilisateur a été enregistré en tant qu'utilisateur Hardware Password Manager.
Member of :
Cet onglet répertorie les groupes LDAP auxquels l'utilisateur appartient, avec le chemin d'accès LDAP de
chaque groupe.
Enrolled devices :
Cet onglet répertorie les périphériques sur lesquels l'utilisateur est enregistré, en indiquant le nom et l'ID
machine du périphérique.
Actions distantes :
Cet onglet répertorie toutes les actions Supprimer l'utilisateur qui ont été exécutées sur l'utilisateur, y
compris le nom du périphérique à partir duquel l'utilisateur a été supprimé et la date et l'heure de dernière
modification du statut.
Suppression de l'accès d'un utilisateur à un périphérique Hardware
Password Manager
Une fois qu'un utilisateur a été enregistré sur un périphérique Hardware Password Manager, vous pouvez
supprimer cet enregistrement si l'utilisateur ne doit plus avoir accès au périphérique. Pour supprimer un
utilisateur, vous créez une action distante qui est appliquée à chaque périphérique spécifié. La prochaine fois
que le périphérique est connecté au serveur Hardware Password Manager pour mettre à jour sa stratégie,
l'utilisateur sera supprimé de la liste des utilisateurs pour ce périphérique.
Pour supprimer un utilisateur d'un périphérique Hardware Password Manager, procédez comme suit :
1. Cliquez sur Utilisateurs HPM enregistrés dans la boîte à outils (ou cliquez sur Outils ➙ ThinkVantage
Hardware Password Manager ➙ Utilisateurs HPM enregistrés).
2. Dans la liste d'utilisateurs, sélectionnez le ou les utilisateurs.
3. Cliquez sur Révoquer l'utilisateur dans la barre d'outils.
4. Dans la boîte de dialogue Créer une action distante, désélectionnez la case à cocher pour un ou
plusieurs périphériques d'où vous souhaitez supprimer l'utilisateur.
5. Cliquez sur OK.
Gestion des groupes Hardware Password Manager
Les groupes Hardware Password Manager définissent un lien entre des groupes d'utilisateurs (définis dans
le serveur LDAP) et des périphériques Hardware Password Manager. Les groupes Hardware Password
Manager sont utiles parce qu'ils autorisent plusieurs utilisateurs à accéder à un ou plusieurs périphériques
sans qu'il soit nécessaire d'enregistrer chaque utilisateur individuellement sur chaque périphérique.
Lorsqu'un périphérique est ajouté à un groupe, tous les membres de ce groupe disposent des droits d'accès
à ce périphérique et peuvent utiliser une connexion à un compte intranet pour se connecter au périphérique.
Lorsque vous ouvrez l'outil Groupes HPM, des groupes sont répertoriés dans l'arborescence LDAP.
Chaque groupe est créé sur votre serveur LDAP ; vous ne pouvez pas créer de groupe dans la console
ThinkManagement. Toutefois, vous pouvez modifier des groupes (définir le rôle du groupe) et faire glisser
des périphériques vers des groupes afin d'associer ces périphériques aux membres de ces groupes.
12
Guide de déploiement Hardware Password Manager
Des groupes de comptes Intranet se distinguent par le rôle défini pour les utilisateur du groupe :
• User : un utilisateur final d'un périphérique Hardware Password Manager.
• Technicien de maintenance : un technicien informatique disposant d'un accès limité au périphérique
pour en assurer la maintenance. L'accès peut être limité à une plage de temps (durée) ou le technicien
peut être autorisé à un nombre défini de connexions.
• Administrateur : un utilisateur administratif autorisé à accéder aux périphériques.
Par exemple, tous les membres d'un groupe qui est défini avec le rôle Technicien de maintenance peuvent
se connecter aux périphériques du groupe un nombre de fois spécifié. Si le rôle est défini pour que
l'utilisateur ne puisse se connecter au périphérique que deux fois, l'accès au périphérique expire pour cet
utilisateur après sa seconde connexion.
Pour modifier un groupe Hardware Password Manager :
1. Cliquez sur Groupes HPM dans la boîte à outils (ou cliquez sur Outils ➙ ThinkVantage Hardware
Password Manager ➙ Groupes HPM).
2. Dans l'arborescence LDAP, cliquez sur un nom de groupe et cliquez sur le bouton Modifier un
groupe de comptes intranet dans la barre d'outils. La plupart des options de la boîte de dialogue
Edit Intranet Account Group ne sont pas modifiables. Vous pouvez sélectionner le rôle du groupe ;
si vous sélectionnez Technicien de maintenance, vous pouvez limiter l'accès aux périphériques
Hardware Password Manager.
3. Sélectionnez le rôle dans la zone de liste déroulante.
4. Sélectionnez Avec expiration si vous souhaitez limiter l'accès au périphérique à une durée ou à un
nombre de connexions spécifiques. (Cela ne s'applique qu'aux utilisateurs Service Tech.)
5. Si vous sélectionnez l'option Avec expiration, sélectionnez Durée et choisissez une heure de début
et de fin pour accéder aux périphériques Hardware Password Manager ; ou sélectionnez Nombre de
connexions restantes, puis choisissez le nombre de connexions ; ou sélectionnez Nombre de jours
autorisés par machine et choisissez un nombre de jours.
6. Cliquez sur OK.
Pour associer des périphériques à un groupe :
1. Cliquez sur Groupes HPM dans la boîte à outils (ou cliquez sur Outils ➙ ThinkVantage Hardware
Password Manager ➙ Groupes HPM).
2. Faites glisser le périphérique depuis la vue du réseau (à partir de Tous les périphériques ou
Périphériques Hardware Password Manager - Ordinateurs) jusque sur le nom du groupe dans
l'arborescence LDAP.
3. Pour afficher les périphériques associés à un groupe, cliquez sur le nom du groupe, puis sur Afficher
les ordinateurs dans la barre d'outils. Pour afficher les utilisateurs associés à un groupe, cliquez sur le
nom du groupe, puis sur Afficher utilisateurs LDAP dans la barre d'outils.
La boîte de dialogue affiche le nom distinctif LDAP du groupe et répertorie les périphériques ou utilisateurs
associés au groupe. Les membres du groupe peuvent se connecter à tous les périphériques répertoriés ici à
moins que vous n'ayez défini le groupe comme un groupe Service Tech dont l'accès aux périphériques est
soumis à une expiration, et que l'association ne soit arrivée à expiration.
Gestion des actions distantes et des paramètres de stratégie pour les
périphériques Hardware Password Manager
Les actions distantes sont des modifications apportées aux paramètres d'un périphérique Hardware
Password Manager qui sont appliquées à un ou plusieurs périphériques par l'administrateur. Ces actions
Chapitre 3. Gestion des périphériques Hardware Password Manager avec la console ThinkManagement
13
comprennent la gestion des données d'identification, l'enregistrement ou l'annulation d'enregistrement des
périphériques, ainsi que l'enregistrement ou la suppression d'utilisateurs.
Les actions distantes ne s'appliquent pas immédiatement aux périphériques Hardware Password Manager.
Une fois que l'administrateur applique à une ou plusieurs actions à un périphérique, les actions sont en
attente jusqu'à la prochaine mise sous tension du périphérique. Le périphérique se connecte alors au
serveur Hardware Password Manager server et demande l'exécution de toutes les actions en attente. Les
actions sont terminées par le client et les nouveaux paramètres deviennent effectifs.
Une action distante consiste à modifier les paramètres de stratégie sur le périphérique Hardware Password
Manager. Il existe deux types de stratégies : celles qui s'appliquent au niveau du système d'exploitation
(stratégies Windows) et celles qui s'appliquent au niveau du BIOS (stratégies du BIOS). Les stratégies
déterminent la façon dont le périphérique gère les données d'identification, et déterminent si l'enregistrement
du périphérique et de l'utilisateur démarrent automatiquement lors de la mise sous tension du périphérique.
Elles déterminent également si plusieurs utilisateurs peuvent être enregistrés sur un périphérique Hardware
Password Manager et la façon dont la connexion utilisateur est gérée pour le menu du BIOS.
Lorsque vous gérez les actions distantes, vous pouvez appliquer les actions de façon individuelle ou
globale. Lorsque l'outil Actions distantes et paramètres de stratégie est ouvert, vous pouvez faire
glisser des périphériques Hardware Password Manager à partir de la vue du réseau et les déposer sur des
actions distantes spécifiques. Vous pouvez aussi utiliser les boutons de la barre d'outils pour appliquer
les actions de façon globale.
Les actions distantes sont les suivantes :
• Renouveler un compte matériel : Remplace les mots de passe matériels du BIOS par un nouveau jeu
de données d'identification qui sont générées par le serveur Hardware Password Manager. Les nouvelles
données d'identification sont stockées dans le compte matériel, une zone sécurisée de mémoire
rémanente qui n'est accessible qu'à partir du BIOS de l'ordinateur.
• Restaurer un compte matériel : Restaure les mots de passe matériels du BIOS dans le compte matériel
à l'aide des données d'identification de secours stockées sur le serveur Hardware Password Manager.
Ces données incluent les sauvegardes des mots de passe utilisateur et système.
• Deregister PC : Efface les mots de passe matériels et modifie le statut dans le BIOS du périphérique
client de Registered en Enabled et supprime le périphérique de la liste des périphériques Hardware
Password Manager dans la console.
• Supprimer l'utilisateur : Supprime un utilisateur de la liste des utilisateurs autorisés à accéder au
périphérique Hardware Password Manager.
• Mettre à jour la stratégie client : Enregistre une stratégie client mise à jour dans le BIOS Hardware
Password Manager du périphérique, en remplacement de la stratégie précédente.
• Mettre à jour les mots de passe matériels communs : Enregistre de nouveaux mots de passe matériels
communs dans le périphérique Hardware Password Manager ; les mots de passe matériels communs
sont valides pour tous les périphériques Hardware Password Manager gérés par le serveur Hardware
Password Manager (voir «Mise à jour globale des mots de passe matériels» à la page 16).
• Mettre à jour le compte d'urgence : Enregistre les données d'identification du compte d'urgence sur le
périphérique Hardware Password Manager ; le nom d'utilisateur et le mot de passe d'urgence peuvent
être utilisés pour restaurer l'accès à un périphérique si l'utilisateur ne parvient pas à se connecter (voir
«Mise à jour du compte d'urgence» à la page 17).
Pour appliquer des actions distances aux périphériques Hardware Password Manager :
1. Cliquez sur Actions distantes et paramètres de stratégies dans la boîte à outils (ou cliquez sur Outils
➙ ThinkVantage Hardware Password Manager ➙ Actions distantes et paramètres de stratégies).
14
Guide de déploiement Hardware Password Manager
2. Pour appliquer une action distante à un périphérique individuel, faites glisser l'objet du périphérique
depuis la vue du réseau vers l'une de ces actions : Renouveler un compte matériel, Restaurer un
compte matériel, Deregister PC ou Mettre à jour la stratégie client.
3. Pour supprimer un utilisateur, faites glisser l'utilisateur cible vers l'action Supprimer l'utilisateur dans
l'arborescence Actions distantes. (Vous pouvez également supprimer des utilisateurs dans l'outil
Utilisateurs HPM enregistrés.)
4. Pour appliquer une stratégie de client mise à jour à tous les périphériques Hardware Password
Manager, cliquez sur le bouton Mettre à jour la stratégie client de façon globale dans la barre
d'outils. Sélectionnez les options de stratégie que vous souhaitez modifier dans les onglets Stratégie
Windows et Stratégie BIOS, puis cliquez sur OK. Voir «Mise à jour globale des stratégies de client» à
la page 15 pour plus d'informations.
5. Pour appliquer des mots de passe communs à tous les périphériques Hardware Password Manager,
cliquez sur le bouton Mettre à jour les mots de passe communs dans la barre d'outils. Sélectionnez
la case à cocher située en regard de chaque type de mot de passe que vous souhaitez appliquer à
l'ensemble des périphériques Hardware Password Manager. Pour utiliser le même mot de passe pour
tous les périphériques, tapez le mot de passe dans la zone de saisie correspondant au type de mot de
passe que vous sélectionnez. Si vous ne renseignez pas cette zone de saisie, un mot de passe unique
sera géré pour chaque périphérique.
6. Pour modifier le compte (administratif) d'urgence sur tous les périphériques Hardware Password
Manager, cliquez sur le bouton Mettre à jour le compte d'urgence dans la barre d'outils. Tapez un
nouveau nom d'utilisateur dans la zone de saisie. Pour utiliser le même mot de passe pour tous les
périphériques, tapez le mot de passe dans la zone de saisie. Si vous ne renseignez pas cette zone de
saisie, un mot de passe unique sera géré pour chaque périphérique.
Mise à jour globale des stratégies de client
Vous pouvez déterminer quelles stratégies de client sont appliquées à tous les périphériques Hardware
Password Manager Lenovo gérés en sélectionnant des stratégies dans la boîte de dialogue Mettre à jour
la stratégie client. Parmi les stratégies que vous pouvez sélectionner, les options suivantes s'appliquent
au niveau du système d'exploitation :
• Données d'identification compte matériel/Windows identiques : Les données d'identification de
connexion stockées dans le compte matériel du BIOS Hardware Password Manager sont identiques aux
données d'identification Windows de l'utilisateur.
• Enregistrement automatique à la connexion Windows : Lorsque l'utilisateur se connecte à Windows
pour la première fois après que le périphérique Hardware Password Manager est géré par le serveur
Hardware Password Manager, l'enregistrement Hardware Password Manager s'ouvre automatiquement.
Lorsque l'utilisateur se connecte à Windows pour la première fois après que le périphérique Hardware
Password Manager soit géré par le serveur Hardware Password Manager, l'enregistrement Hardware
Password Manager s'ouvre automatiquement. Connexions autorisées avant de forcer l'enregistrement
permet au portail client HPM d'être fermé le nombre de fois spécifié lors de la connexion. Plusieurs
scénarios de déploiement sont possibles, où un technicien doit se connecter à la machine un certain
nombre de fois avant la livraison à l'utilisateur final.
• Démarrage automatique de l'enregistrement utilisateur à la connexion Windows : L'enregistrement
Hardware Password Manager s'ouvre automatiquement lorsque le périphérique est enregistré et qu'un
utilisateur non enregistré se connecte.
• Allow multiple users to enroll on a single device : Plusieurs utilisateurs peuvent être enregistrés sur un
périphérique. Si cette case à cocher est désélectionnée, seul le premier utilisateur qui s'enregistre sur le
périphérique peut être un utilisateur enregistré (toutefois, les utilisateurs administrateurs et techniciens de
maintenance peuvent toujours accéder au périphérique si nécessaire).
Les stratégies de niveau BIOS suivantes peuvent être sélectionnées :
• Show last logon account for hardware account : Dans l'écran de connexion utilisateur du BIOS, le
dernier compte utilisateur qui s'est connecté au BIOS s'affiche par défaut.
Chapitre 3. Gestion des périphériques Hardware Password Manager avec la console ThinkManagement
15
• Prompt for hardware account on warm boot : Si le périphérique est redémarré, le BIOS nécessite une
connexion utilisateur pour s'assurer que c'est le même utilisateur qui accède au périphérique après
le redémarrage.
Dans la boîte de dialogue Mettre à jour la stratégie client, une liste de périphériques indique les
périphériques auxquels la nouvelle stratégie sera appliquée lors du prochain démarrage. La boîte de dialogue
contient une sélection de paramètres de stratégie par défaut ; si vous avez modifié les paramètres et que vous
souhaitez revenir aux paramètres par défaut d'origine, cliquez sur Restaurer la configuration par défaut.
L'option de mise à jour est disponible dans la fenêtre Mettre à jour la stratégie client. Cette fenêtre
propose trois options :
1. Appliquer uniquement à la stratégie serveur - Cette option permet de mettre à jour uniquement la
stratégie sur le serveur. Seuls les périphériques Hardware Password Manager enregistrés récemment
seront affectés.
2. Génerer uniquement des actions distantes - Cette option va générer des actions distantes pour
appliquer les modifications de la stratégie aux ordinateurs sélectionnés. La stratégie du client par
défaut ne sera pas modifiée. Les périphériques Hardware Password Manager enregistrés récemment
ne seront pas affectés.
3. Les deux (Par défaut) - Cette option affectera les ordinateurs sélectionnés ainsi que les périphériques
Hardware Password Manager enregistrés récemment.
Mise à jour globale des mots de passe matériels
Hardware Password Manager Lenovo permet la gestion globale des différents mots de passe matériels pour
les périphériques Hardware Password Manager. Vous pouvez indiquer que le même mot de passe doit être
utilisé par tous les périphériques Hardware Password Manager, ou vous pouvez générer automatiquement un
mot de passe différent pour chaque périphérique. Cette fonction gère les types de mots de passe suivants :
• SVP - Le mot de passe superviseur confère à un utilisateur des droits d'accès administrateur complets à
un périphérique, y compris pour la configuration des paramètres du BIOS. Il s'agit d'un sur-ensemble du
mot de passe à la mise sous-tension.
• POP - Le mot de passe à la mise sous tension permet à l'utilisateur de mettre le périphérique sous tension
et d'y accéder avec des droits utilisateur ordinaires.
• MHDP - Le mot de passe d'accès au disque dur maître (MDHP) permet à l'utilisateur d'accéder au disque
dur et de réinitialiser le mot de passe d'accès au disque dur utilisateur. Il s'agit d'une version élaborée du
mot de passe d'accès au disque dur utilisateur (UHDP).
• UHDP - Le mot de passe d'accès au disque dur utilisateur (UDHP) permet à l'utilisateur d'accéder au
disque dur.
Vous pouvez sélectionner n'importe lequel de ces quatre types de mots de passe à appliquer aux
périphériques Hardware Password Manager gérés. Si vous sélectionnez un type de mot de passe et
souhaitez que tous les périphériques utilisent le même mot de passe, tapez ce mot de passe dans la zone de
saisie. Si vous souhaitez que chaque périphérique dispose d'un mot de passe unique, sélectionnez la case à
cocher correspondant à ce type de mot de passe, mais laissez la zone de saisie vide.
Si vous avez apporté des modifications et si vous souhaitez rétablir les valeurs par défaut, cliquez sur
Restaurer la configuration par défaut. Par défaut, les quatre types de mot de passe sont définis avec
un mot de passe généré de façon unique pour chaque périphérique.
Après avoir modifié ces paramètres et cliqué sur OK, une tâche d'action distante est créée dans la liste
arborescente des actions distantes (dans le dossier Mettre à jour les mots de passe matériels communs).
Vous pouvez cliquer sur cette tâche pour en afficher le statut lorsqu'elle est appliquée aux périphériques
Hardware Password Manager. Sous cette tâche dans l'arborescence, les périphériques sont répertoriée par
16
Guide de déploiement Hardware Password Manager
statut : Actif, En suspens, Echec ou Réussite. Vous pouvez également afficher tous les périphériques
dans le dossier Tous les périphériques.
Pour afficher les mots de passe matériels actuels pour un périphérique Hardware Password Manager qui a
été la cible cette action distante, procédez comme suit :
1. Cliquez sur Actions distantes et paramètres de stratégie dans la boîte à outils ou cliquez sur Outils
➙ ThinkVantage Hardware Password Manager ➙ Actions distantes et paramètres de stratégie.
2. Dans l'arborescence Actions distantes, développez Actions distantes par type.
3. Développez Mettre à jour les mots de passe matériels communs.
4. Cliquez sur le dossier All devices ou sur l'un des dossiers de statut. Cliquez deux fois sur un nom
de périphérique dans la liste des périphériques.
La boîte de dialogue Afficher les mots de passe matériels affiche les définitions de mots de passe en
cours pour le périphérique qui ont été modifiées par la tâche de l'action distante, ainsi que la date et l'heure
auxquelles le mot de passe a été modifié.
L'option de mise à jour est disponible dans la boîte de dialogue Mettre à jour les mots de passe matériels
communs. Cette fenêtre propose trois options :
1. Appliquer uniquement à la stratégie serveur - Cette option permet de mettre à jour uniquement la
stratégie sur le serveur. Seuls les périphériques Hardware Password Manager enregistrés récemment
seront affectés.
2. Générer uniquement des actions distantes - Cette option va générer des actions distantes pour
appliquer les modifications de la stratégie aux ordinateurs sélectionnés. La stratégie du client par
défaut ne sera pas modifiée. Les périphériques Hardware Password Manager enregistrés récemment
ne seront pas affectés.
3. Les deux (Par défaut) - Cette option affectera les ordinateurs sélectionnés ainsi que les périphériques
Hardware Password Manager enregistrés récemment.
Mise à jour du compte d'urgence
Chaque périphérique Hardware Password Manager Lenovo possède un compte d'accès d'urgence qui peut
être utilisé pour se connecter au périphérique si l'utilisateur ne parvient pas à se connecter. Vous pouvez
modifier les données d'identification pour ce compte et appliquer les modifications à tous les périphériques
Hardware Password Manager à l'aide de l'action distante Mettre à jour le compte d'urgence.
Par défaut, le nom d'utilisateur est admin et le mot de passe est généré de façon unique pour chaque client.
Vous pouvez modifier le nom d'utilisateur, le mot de passe ou les deux. Si vous indiquez un nom d'utilisateur
mais que vous ne renseignez pas la zone de mot de passe, un mot de passe unique sera généré pour
chaque périphérique. Si vous avez apporté des modifications et si vous souhaitez rétablir les valeurs par
défaut, cliquez sur Restaurer la configuration par défaut.
Pour afficher les données d'identification actuelles du compte d'urgence pour un périphérique Hardware
Password Manager qui a été la cible d'une action distante, procédez comme suit :
1. Cliquez sur Actions distantes et paramètres de stratégies dans la boîte à outils ou cliquez sur Outils
➙ ThinkVantage Hardware Password Manager ➙ Actions distantes et paramètres de stratégies.
2. Dans l'arborescence Actions distantes, développez Actions distantes par type.
3. Développez Mettre à jour le compte d'urgence.
4. Cliquez sur le dossier All devices ou sur l'un des dossiers de statut. Cliquez deux fois sur un nom
de périphérique dans la liste des périphériques.
Chapitre 3. Gestion des périphériques Hardware Password Manager avec la console ThinkManagement
17
La boîte de dialogue Afficher le compte d'urgence affiche les données d'identification actuelles du compte
d'urgence pour le périphérique qui ont été modifiées par la tâche de l'action distante, ainsi que la date et
l'heure auxquelles les données d'identification ont été modifiées.
L'option de mise à jour est disponible dans la fenêtre Mettre à jour le compte d'urgence. Cette fenêtre
propose trois options :
1. Appliquer uniquement à la stratégie serveur - Cette option permet de mettre à jour uniquement la
stratégie sur le serveur. Seuls les périphériques Hardware Password Manager enregistrés récemment
seront affectés.
2. Générer uniquement des actions distantes - Cette option va générer des actions distantes pour
appliquer les modifications de la stratégie aux ordinateurs sélectionnés. La stratégie client par défaut
n'est pas modifiée, donc les périphériques Hardware Password Manager enregistrés récemment ne
seront pas affectés.
3. Les deux (Par défaut) - Cette option affectera les ordinateurs sélectionnés ainsi que les périphériques
Hardware Password Manager enregistrés récemment.
Modification des paramètres de stratégie de serveur
Les paramètres de stratégie de serveur comprennent différentes façons de gérer l'enregistrement des
utilisateurs, les données d'identification et les paramètres du Portail client et du BIOS pour les périphériques
Hardware Password Manager Lenovo que vous gérez. Les paramètres sont modifiés à partir de la console
ThinkManagement ; les éléments qui affectent les périphériques individuels sont ensuite mis en attente dans
une file d'attente jusqu'à la prochaine fois qu'un périphérique est amorcé et qu'il demande une stratégie
mise à jour.
Pour modifier les paramètres de stratégie de serveur :
1. Cliquez sur Actions distantes et paramètres de stratégie dans la boîte à outils ou cliquez sur Outils
➙ ThinkVantage Hardware Password Manager ➙ Actions distantes et paramètres de stratégie.
2. Cliquez sur Mettre à jour les paramètres de la stratégie serveur dans la barre d'outils.
3. Apportez des modifications dans les quatre onglets de la boîte de dialogue, puis cliquez sur OK une
fois que vous avez terminé.
Les onglets de la boîte de dialogue Paramètres de la stratégie serveur sont décrits ci-dessous.
• Général - Cet onglet répertorie le nom, l'adresse IP et le port UDP du serveur Hardware Password
Manager utilisés pour authentifier les utilisateurs Hardware Password Manager. La section Etat du
service de portail indique si le service de portail est en cours d'exécution sur le serveur Hardware
Password Manager. Le service de portail est un serveur UDP, l'un des composants du serveur Hardware
Password Manager. Il sert à la communication avec le BIOS du périphérique Hardware Password
Manager lorsque l'utilisateur se connecte à l'aide d'une connexion à un compte intranet. Vous pouvez
démarrer, arrêter ou redémarrer le service à votre guise à partir de cette boîte de dialogue.
Sélectionnez l'option Autoriser les utilisateurs à s'enregister sur plusieurs périphériques si vous
souhaitez autoriser chaque compte intranet à s'enregistrer sur plusieurs périphériques Hardware
Password Manager. Si cette case à cocher est désélectionnée, un seul compte intranet peut s'enregistrer
sur un périphérique.
Sélectionnez la case à cocher Activer l'enregistrement «en un clic» si vous souhaitez préenregistrer
de nouveaux périphériques Hardware Password Manager à l'aide des options en un clic de Lenovo.
L'enregistrement en un clic enregistre automatiquement le périphérique et crée le compte admin
d'urgence lorsque l'utilisateur se connecte à Windows. Voir aussi Chapitre 5 «Déploiement» à la page 27.
Sélectionnez Autoriser le premier utilisateur connecté sur une machine en tant qu'administrateur si
vous souhaitez que le premier utilisateur enregistré dispose des droits d'administrateur dans le BIOS.
18
Guide de déploiement Hardware Password Manager
• Credentials - Cet onglet détermine la longueur des mots de passe générés automatiquement ainsi que
le nombre de sauvegarde des mots de passe à conserver. Les sauvegardes sont chiffrées et stockées
dans la base de données Hardware Password Manager. Par défaut, les mots de passe matériels générés
automatiquement, ainsi que les mots de passe de comptes admin d'urgence, ont une longueur comprise
entre 15 et 20 caractères. Vous pouvez modifier les limites de longueur minimale et maximale pour ces
deux types de mots de passe. Vous pouvez également indiquer le nombre de sauvegardes à enregistrer
pour les mots de passe matériels. La longueur maximale du mot de passe est 64.
• Client Portal - Cet onglet détermine quelles options de menu sont activées pour être affichées dans le
menu Client Portal (Portail client) sur les périphériques Hardware Password Manager gérés. L'utilisateur
de périphérique accède au portail à partir du menu Démarrer de Windows (Démarrer ➙ Tous les
programmes ➙ ThinkVantage ➙ Hardware Password Manager). Les options du menu Client Portal
sont toujours sélectionnées. Lorsque vous exécutez des tâches telles que Supprimer l'utilisateur après
avoir entré les données d'identification intranet associées aux rôles Utilsiateur, Technicien de maintenance
et Administrateur, vous obtiendrez un message d'erreur si vous ne disposez pas des droits d'accès au
Portail client. Les utilisateurs se connectent aux périphériques Hardware Password Manager avec un
rôle qui leur a été affecté et qui correspond au groupe d'utilisateurs auquel l'utilisateur appartient. (Pour
une description des rôles, voir «Gestion des groupes Hardware Password Manager» à la page 12.) Ainsi,
par exemple, un utilisateur peut voir toutes les options sur le Portail client, tandis qu'un technicien de
maintenance ne peut accéder qu'à un ensemble limité d'options. Si un utilisateur tente d'exécuter une
option qui n'est pas sélectionnée pour ce rôle, un message d'erreur s'affiche.
• BIOS - Cet onglet détermine quelles options de menu sont activées pour être affichées dans le menu
BIOS des périphériques Hardware Password Manager gérés et vous permet d'indiquer quelles versions
du BIOS sont exclues de la gestion des périphériques Hardware Password Manager. Les options du
menu BIOS sont sélectionnées séparément pour les trois rôles d'utilisateur : User, Service Tech et
Administrator. Les utilisateurs se connectent aux périphériques Hardware Password Manager avec un
rôle qui leur a été affecté et qui correspond au groupe d'utilisateurs auquel l'utilisateur appartient. (Pour
une description des rôles, voir «Gestion des groupes Hardware Password Manager» à la page 12.) Ainsi,
par exemple, un utilisateur peut voir toutes les options dans le menu BIOS Hardware Password Manager,
tandis qu'un technicien de maintenance ne peut accéder qu'à un ensemble limité d'options.
Remarque : Lorsque la stratégie de client est définie sur Données d'identification compte
matériel/Windows identiques, l'option Modifier le mot de passe du compte matériel ne sera pas
visible, qu'elle ait été ou non sélectionnée pour le rôle.
La section Liste des versions du BIOS à exclure vous permet de répertorier les versions du BIOS que
vous souhaitez exclure de la gestion Hardware Password Manager. Si vous essayez d'exécuter des
actions distantes sur un périphérique avec un BIOS répertorié dans cette liste, l'action distante échouera.
De même, si vous essayez d'enregistrer un périphérique Hardware Password Manager dont le BIOS est
répertorié dans cette liste, l'enregistrement ne s'effectuera pas.
Definition des étendues et des rôles des utilisateurs de la console
Vous pouvez définir les étendues et les rôles de manière à contrôler l'accès aux différentes fonctions
Hardware Password Manager dans la console ThinkManagement.
Les étendues permettent de définir à quels périphériques peut accéder un utilisateur de la console. Pour
créer une étendue, procédez comme suit :
1. Sélectionnez Administration dans la boîte à outils de la console.
2. Double-cliquez sur Utilisateurs pour ouvrir l'outil Utilisateurs.
3. Cliquez sur + dans la barre d'outils. Vous pouvez également cliquer sur Etendues à l'aide du bouton
droit de la souris, puis sélectionner Nouvelle étendue.
4. Entrez un nom pour l'étendue.
5. Sélectionnez Requête LDMS en tant que type d'étendue, puis cliquez sur Nouveau.
Chapitre 3. Gestion des périphériques Hardware Password Manager avec la console ThinkManagement
19
6. Sélectionnez un élément dans la liste (par exemple : Nom de l'ordinateur, Emplacement de l'ordinateur,
Nom de domaine, etc.).
7. Sélectionnez un opérateur de comparaison (par exemple : =, <>, Like, Exists, etc.).
8. Sélectionnez une valeur existante dans les valeurs analysées qui s'affichent ou entrez une valeur sous
Modifier des valeurs.
9. Cliquez sur Insérer.
10. Cliquez sur OK.
11. Cliquez sur OK.
Une fois que vous avez défini les étendues nécessaires, vous pouvez créer des rôles à associer à ces
étendues. Pour créer un rôle, procédez comme suit :
1. Dans l'outil Utilisateurs, allez dans la barre d'outils et cliquez sur +. Vous pouvez également cliquer sur
Rôles à l'aide du bouton droit de la souris, puis sélectionner Nouveau rôle.
2. Entrez un nom pour ce rôle.
3. Sélectionnez les niveaux d'autorisation des fonctions de Hardware Password Manager dont l'accès est
autorisé pour ce rôle. Les niveaux d'autorisation sont classés en trois catégories : Afficher, Editer et
Déployer. En fonction du type d'autorisation, vous pouvez sélectionner un ou deux niveaux sur les trois.
4. Sélectionnez les étendues à associer à ce rôle.
5. Cliquez sur Enregistrer.
Pour que les utilisateurs puissent accéder à la console, ils doivent faire partie d'un groupe pour lequel l'accès
est autorisé. Pour contrôler cet accès, créez une nouvelle authentification et définissez des autorisations
de groupe en procédant comme suit :
1. Dans l'outil Utilisateurs, allez dans la barre d'outils et cliquez sur +. Vous pouvez également cliquer sur
Authentifications à l'aide du bouton droit de la souris, puis sélectionner Nouvelle authentification.
2. Entrez un nom d'authentification.
3. Entrez le nom de domaine complet.
4. Entrez le nom d'utilisateur et le mot de passe d'un compte de service pouvant être utilisé pour
rechercher le répertoire.
5. Cliquez sur OK.
Pour attribuer des autorisations à un groupe pouvant être authentifié via la nouvelle authentification,
procédez comme suit :
1. Dans l'outil Utilisateurs, allez dans la barre d'outils et cliquez sur +. Vous pouvez également cliquer sur
Autorisations de groupe à l'aide du bouton droit de la souris, puis sélectionner Nouvelle autorisation
de groupe.
2. Entrez un nom d'autorisation de groupe.
3. Sélectionnez l'authentification créée précédemment dans la liste déroulante Authentification Active
Directory.
4. Vous pouvez rechercher le groupe de votre choix dans l'arborescence ou saisir le nom de ce groupe
dans le champ Groupe Active Directory, puis cliquer sur Rechercher.
5. Cliquez sur >> pour ajouter le groupe de votre choix à la liste Groupes Active Directory ciblés.
6. Si besoin, répétez l'étape 5.
7. Sélectionnez le ou les rôle(s) à associer à cette autorisation de groupe.
8. Cliquez sur Enregistrer.
Lorsque les utilisateurs se connectent à la console, il doivent désormais sélectionner l'authentification
appropriée et saisir les données d'identification. Le niveau d'accès autorisé dépend des étendues et des
rôles que vous venez de définir.
20
Guide de déploiement Hardware Password Manager
Chapitre 4. Client Hardware Password Manager
Les périphériques Lenovo qui prennent en charge Hardware Password Manager doivent être enregistrés
auprès d'un serveur d'administration (appelé le serveur Hardware Password Manager). Le processus
d'enregistrement d'un périphérique commence par l'installation d'un agent sur ce périphérique. Après que
l'utilisateur termine l'enregistrement initial via le Portail client Hardware Password Manager, le périphérique
est enregistré ; un ou plusieurs utilisateurs sont ensuite enregistrés en tant qu'utilisateurs authentifiés sur
ce périphérique. Lorsque Hardware Password Manager est installé, seuls les utilisateurs enregistrés (ou
les utilisateurs d'un groupe auquel ce périphérique est associé) peuvent se connecter au périphérique.
L'accès au périphérique, et même l'accès au disque dur, est limité aux utilisateurs enregistrés (ou aux
utilisateurs appartenant au même groupe que le le périphérique) tant que Hardware Password Manager est
en cours d'exécution.
Le serveur principal de la console ThinkManagement fait office de serveur Hardware Password Manager, et
les fonctions de gestion sont accessibles via la console. Ces fonctions permettent à l'administrateur de
gérer les périphériques Hardware Password Manager, d'installer des agents sur les périphériques Hardware
Password Manager activés dans le BIOS et de gérer les enregistrements sur ces périphériques.
Sur un périphérique Hardware Password Manager, les fonctions de gestion sont accessibles via un menu
du BIOS (accessible avant le démarrage du système d'exploitation) et via le menu Client Portal (accessible
automatiquement après la connexion à Windows ou à partir du menu Démarrer). L'administrateur peut
personnaliser ces menus pour déterminer quelles fonctions sont accessibles.
Le présent chapitre contient des informations sur l'utilisation des périphériques Hardware Password
Manager avec Lenovo Hardware Password Manager. Il s'adresse à l'utilisateur final qui enregistrera le
périphérique auprès du serveur Hardware Password Manager et s'enregistrera en tant qu'utilisateur. Ce
guide est composé des sections suivantes :
•
«Configuration du périphérique Hardware Password Manager» à la page 21
•
«Enregistrement d'un périphérique auprès du serveur Hardware Password Manager et enregistrement du
premier utilisateur» à la page 22
•
«Enregistrement d'utilisateurs supplémentaires sur un périphérique Hardware Password Manager» à
la page 23
•
«Suppression d'un utilisateur d'un périphérique Hardware Password Manager» à la page 23
•
«Annulation de l'enregistrement d'un périphérique sur le serveur Hardware Password Manager» à
la page 24
•
«Mise à jour des données d'identification sur un périphérique Hardware Password Manager» à la page 24
Configuration du périphérique Hardware Password Manager
Avant d'enregistrer un périphérique pour Hardware Password Manager, vous devez modifier certains
paramètres dans le BIOS :
1. Mettez l'ordinateur sous tension.
2. Appuyez sur F1 pour entrer dans la fenêtre de configuration du BIOS.
3. Sélectionnez Password dans l'onglet Security.
4. Sélectionnez Hardware Password Manager et définissez la valeur Enabled.
5. Appuyez sur F10 pour enregistrer et quitter cette fenêtre.
© Copyright Lenovo 2010
21
Enregistrement d'un périphérique auprès du serveur Hardware Password
Manager et enregistrement du premier utilisateur
Pour qu'il soit possible d'enregistrer un périphérique auprès du serveur Hardware Password Manager, le
client Hardware Password Manager doit avoir été installé sur le périphérique et activé dans le BIOS. Cette
opération est effectuée par l'administrateur de la console ThinkManagement qui installe un agent avec le
client Hardware Password Manager sur le périphérique.
Une fois le client installé, il communique avec le serveur Hardware Password Manager pour authentifier le
périphérique. Le client peut ensuite demander les paramètres de stratégie Hardware Password Manager
auprès du serveur Hardware Password Manager. Le processus d'enregistrement est alors terminé lorsque
l'utilisateur entre ses données d'identification pour se connecter au périphérique.
Pour que l'enregistrement s'effectue, le périphérique doit être connecté au réseau sur lequel se trouve le
serveur Hardware Password Manager.
L'administrateur a deux options pour lancer l'enregistrement de périphériques Hardware Password Manager :
• L'enregistrement est démarré automatiquement lorsque l'utilisateur se connecte à Windows. Pour cette
option, l'administrateur sélectionne l'option Enregistrement automatique à la connexion Windows
dans la stratégie de client qui est appliquée aux périphériques Hardware Password Manager.
• L'utilisateur ouvre le Portail client pour commencer l'enregistrement.
Pour enregistrer un périphérique auprès du serveur Hardware Password Manager et enregistrer un utilisateur :
1. Cliquez sur Démarrer ➙ Tous les programmes ➙ ThinkVantage ➙ Hardware Password Manager
pour ouvrir le Portail client. (Si votre administrateur a configuré le démarrage automatique, le portail
s'ouvre automatiquement lorsque vous vous connectez.)
2. Cliquez sur Redémarrer pour redémarrer le périphérique.
3. Après le chargement du BIOS, le processus d'initialisation de HPM vérifie que vous souhaitez poursuivre
l'enregistrement. Appuyez sur Entrée pour continuer. Après que Windows a démarré et que vous vous
êtes connecté, la boîte de dialogue Portail client s'affiche automatiquement.
4. Sous Enter your Windows account, entrez votre nom d'utilisateur et votre nom de passe pour vous
connecter à Windows. Le nom d'utilisateur que vous utilisez actuellement pour vous connecter est
déjà renseigné.
5. Sous Entrez votre compte intranet, entrez votre nom d'utilisateur, mot de passe et domaine
nécessaires à la connexion au domaine sur ce périphérique.
Remarque : Si la stratégie est définie pour le compte intranet est identique à celle du compte Windows,
un seul jeu de données d'identification vous sera demandé.
6. La fenêtre en incrustation Entrez votre compte intranet peut apparaître en fonction de la stratégie
serveur. Cliquez sur Terminer.
7. Il se peut que votre système se mette parfois en veille avant de reprendre ses opérations
automatiquement.
8. Après vous être connecté au bureau, un message vous invite à redémarrer.
9. Cliquez sur OK pour redémarrer le périphérique.
10. A l'invite de connexion du BIOS, connectez-vous à l'aide de vos données d'identification Windows ou
vos données d'identification de compte matériel pour le périphérique.
Si vous désélectionnez Autoriser premier utilisateur enregistré sur une machine en tant
qu'administrateur, le premier utilisateur enregistré dispose de droits utilisateur dans le BIOS. Si vous
22
Guide de déploiement Hardware Password Manager
sélectionnez Autoriser premier utilisateur enregistré sur une machine en tant qu'administrateur, le
premier utilisateur enregistré dispose de droits d'administrateur dans le BIOS.
Enregistrement d'utilisateurs supplémentaires sur un périphérique
Hardware Password Manager
Plusieurs utilisateurs peuvent se connecter à un périphérique Hardware Password Manager avec une
protection par connexion unique si votre administrateur a activé cette possibilité. Lorsque un ou
plusieurs des utilisateurs enregistrés se connectent au périphérique, le Portail client s'exécute et ils sont
automatiquement connectés à Windows.
Les conditions suivantes doivent être remplies pour que des utilisateurs supplémentaires puissent être
enregistrés sur un périphérique :
• Dans la stratégie de client appliquée au périphérique, l'option Allow multiple users to enroll on a
single device doit être sélectionnée.
• Un compte doit être créé sur le périphérique, pour chaque utilisateur supplémentaire.
• Vous devez faire glisser les périphériques sous Hardware Password Manager Devices vers le groupe
Active Directory ou eDirectory répertorié dans l'outil Groupes HPM.
Si votre administrateur a activé l'enregistrement de plusieurs utilisateurs sur un périphérique, procédez de la
façon suivante pour enregistrer plusieurs utilisateurs.
Pour enregistrer un utilisateur supplémentaire sur un périphérique Hardware Password Manager :
1. Connectez-vous à Windows.
2. Cliquez sur Démarrer ➙ Tous les programmes ➙ ThinkVantage ➙ Hardware Password Manager
pour ouvrir le Portail client. (Si votre administrateur a configuré le démarrage automatique, le portail
s'ouvre automatiquement.)
3. Cliquez sur Enroll additional user.
4. Entrez les données d'identification intranet de l'utilisateur, ses données d'identification Windows ou ses
données d'identification de compte matériel en fonction de la stratégie définie sur le serveur.
5. Lorsque la fenêtre d'interruption du décompte du temps imparti s'affiche, patientez 30 secondes ou
cliquez sur OK pour interrompre le décompte.
6. Après vous être connecté au bureau, un message vous invite à redémarrer.
7. A l'invite de connexion du BIOS, connectez-vous à l'aide des données d'identification Windows de
l'utilisateur supplémentaire sur ce périphérique.
Remarque : Si la stratégie est définie de sorte que les données d'identification du coffre ne
correspondent pas aux données d'identification Windows, connectez-vous à l'aide des données
d'identification du compte matériel pour l'utilisateur supplémentaire.
L'utilisateur supplémentaire enregistré disposera de droits d'utilisateur ou de droits d'administrateur dans le
BIOS, en fonction du rôle du groupe : User, Administrator ou Service Tech.
Suppression d'un utilisateur d'un périphérique Hardware Password
Manager
Lorsqu'un utilisateur ne doit plus avoir accès à un périphérique Hardware Password Manager, vous pouvez
annuler son enregistrement sur ce périphérique. Une fois que l'enregistrement d'un utilisateur a été annulé,
seules les données d'identification de cet utilisateur sont supprimées du compte matériel. Les données
Chapitre 4. Client Hardware Password Manager
23
d'identification de compte matériel restent sur ce périphérique et les données d'identification des autres
utilisateurs ne sont pas affectées.
Pour supprimer un utilisateur d'un périphérique Hardware Password Manager, procédez comme suit :
1.
Connectez-vous à Windows.
2. Cliquez sur Démarrer ➙ Tous les programmes ➙ ThinkVantage ➙ Hardware Password Manager
pour ouvrir le Portail client.
3. Cliquez sur Supprimer l'utilisateur.
4. Entrez les données d'identification de votre compte intranet lorsqu'un message vous y invite.
5. Cliquez sur OK pour confirmer que le système va s'interrompre. Le système reprend automatiquement
après avoir annulé l'enregistrement de l'utilisateur.
Annulation de l'enregistrement d'un périphérique sur le serveur
Hardware Password Manager
L'enregistrement d'un périphérique sur le serveur the Hardware Password Manager peut être annulé de
deux façons :
• L'utilisateur peut ouvrir le menu de connexion (Login Menu) à Hardware Password Manager dans le BIOS
et annuler l'enregistrement du périphérique. (Voir le paragraphe Pour ouvrir le menu de connexion à
Hardware Password Manager.)
• L'administrateur peut annuler l'enregistrement du périphérique à l'aide des outils d'administration
Hardware Password Manager dans la console ThinkManagement.
Une fois que l'enregistrement du périphérique est annulé, les fonctionnalités Hardware Password Manager
ne sont plus effectives à moins que le périphérique ne soit à nouveau enregistré auprès du serveur Hardware
Password Manager.
Mise à jour des données d'identification sur un périphérique Hardware
Password Manager
Une fois que Hardware Password Management est activé sur un périphérique, vous pouvez accéder au
menu de connexion à Hardware Password Manager pour apporter des modifications à la gestion des mots
de passe. Vous pouvez également accéder au Portail client pour effectuer les tâches d'enregistrement.
Ces menus affichent les options de gestion des mots de passe qui sont disponibles sur votre périphérique.
Les options disponibles dans ces menus sont configurées par l'administrateur sur le serveur Hardware
Password Manager ; les options suivantes peuvent ne pas être toutes disponibles en fonction de la façon
dont votre administrateur a configuré Hardware Password Manager.
Les options ci-dessous font référence à un compte matériel. Il s'agit d'une zone sécurisée de mémoire
rémanente qui n'est accessible qu'à partir du BIOS de l'ordinateur. Les données d'identification matérielles
et celles de tous les utilisateurs sont stockées dans le compte matériel. Bien que l'utilisateur n'accède pas
directement au compte matériel, lorsque des données d'identification sont ajoutées ou modifiées, elles sont
enregistrées dans le compte matériel.
Le menu de connexion à Hardware Password Manager peut inclure les tâches suivantes :
• Démarrer Windows
• Restaurer les comptes matériels (restaurer les données d'identification enregistrées dans le compte
matériel)
• Annuler l'enregistrement d'un PC
24
Guide de déploiement Hardware Password Manager
• Modifier le mot de passe du compte matériel
• Annuler l'enregistrement du périphérique sur le serveur Hardware Password Manager
Le menu du Portail client peut inclure les tâches suivantes :
• Enregistrer le périphérique
• Enregistrer le premier utilisateur
• Enregistrer des utilisateurs supplémentaires
• Supprimer l'utilisateur
• Renouveler un compte matériel
• Restaurer un compte matériel
Pour ouvrir le menu de connexion à Hardware Password Manager :
1. Mettez le périphérique sous tension.
2. A l'invite de connexion utilisateur, appuyez sur la touche Echap.
3. Sélectionnez Intranet account login pour ouvrir le menu du BIOS HPM.
4. Entrez les données d'identification d'entreprise valides.
5. Le menu Hardware Password Manager s'ouvre.
Pour ouvrir le Portail client, cliquez sur Démarrer ➙ Tous les programmes ➙ ThinkVantage ➙ Hardware
Password Manager dans Windows.
Chapitre 4. Client Hardware Password Manager
25
26
Guide de déploiement Hardware Password Manager
Chapitre 5. Déploiement
Le présent chapitre contient des informations de déploiement supplémentaires concernant l'utilisation
des périphériques Hardware Password Manager avec Hardware Password Manager. Il s'adresse à
l'administrateur qui assurera la gestion des périphériques avec le serveur Hardware Password Manager et
configurera ces périphériques. Ce guide est composé des sections suivantes :
•
«Intégration des empreintes digitales» à la page 27
•
«Compatibilité avec Safe Guard Easy/Safe Guard Enterprise» à la page 29
•
«Enregistrement en un clic» à la page 29
Intégration des empreintes digitales
L'utilitaire Hardware Password Manager est pleinement compatible avec les logiciels Lenovo Fingerprint
Software recommandés (Authentec et UPEK). Pour les clients Windows XP®, il est conseillé d'installer le
client Hardware Password Manager sans la fonction GINA de Hardware Password Manager. Cela permettra
à l'utilisateur d'effectuer une connexion unique à Windows à l'aide de ses empreintes digitales. Pour
installer l'application client Hardware Password Manager sans la fonction GINA, utilisez la commande
d'installation suivante :
HPMClientInstall.exe /vNOGINA=1
Par ailleurs, l'ordre d'enregistrement est important lorsque Hardware Password Manager est utilisé avec
Fingerprint Software. Enregistrez-vous d'abord dans Hardware Password Manager pour définir des mots
de passe matériels. Enregistrez ensuite vos empreintes digitales pour l'accès avant amorçage à l'aide de
Fingerprint Software. Lorsque vous enregistrez vos empreintes digitales pour la première fois, arrêtez et
redémarrez votre ordinateur. Lorsque vous passez votre empreinte digitale sur le lecteur, la connexion
utilisateur vous invite à entrer vos informations d'identification et vous connecte au bureau. Après le
deuxième redémarrage de l'ordinateur, passez votre empreinte digitale sur le lecteur et les mots de passe
matériels réels seront publiés dans le BIOS. A ce stade, vous pouvez établir une connexion unique à
Windows simplement en effleurant le lecteur avant l'amorçage.
Si vous voyez l'assistant d'enregistrement des empreintes digitales et l'assistant d'enregistrement Hardware
Password Manager s'afficher en même temps après que vous vous êtes connecté à Windows, commencez
par l'assistant d'enregistrement Hardware Password Manager. Toutefois, si vous commencez par enregistrer
vos empreintes digitales et si vous n'avez pas encore défini de mots de passe matériels, vous pouvez
toujours synchroniser vos empreintes digitales à l'aide du compte Hardware Password Manager. Lancez
Fingerprint Software et activez l'authentification avant amorçage et la connexion unique. Suivez ensuite
les instructions ci-dessous :
Si vous créez une image, vous pouvez utiliser la procédure suivante dans votre image pour supprimer
l'assistant d'enregistrement des empreintes digitales jusqu'à ce que le système soit enregistré dans
Hardware Password Manager :
1. Désactivez l'assistant d'enregistrement des empreintes digitales au démarrage en définissant les
valeurs suivantes sur 0. Authentec :
HKEY_CURRENT_USER\Software\Authentic Biometric Suite\bFingerprintSoftwareStartUp
UPEK :
HKEY_CURRENT_USER\Software\Protector Suite\Control Center\1.0\ShowOnStartup
2. Créez un script qui active l'assistant d'enregistrement des empreintes digitales si le système est
enregistré dans Hardware Password Manager et si l'utilisateur en cours est enregistré dans Hardware
Password Manager. Le dossier programme Hardware Password Manager contient un utilitaire que les
© Copyright Lenovo 2010
27
administrateurs de systèmes informatiques peuvent utiliser pour obtenir le statut des enregistrements
dans un script.L'interface du script est définie comme suit :
• Utility Name: cmp_util.exe
• Prerequisite: psadd.sys device driver, cmp_server_dll.dll
• Usage: cmp_util.exe<commande> où <commande> est l'une des valeurs suivantes :
– supported* - indique si l'utilitaire est pris en charge sur le système en cours
– registered - indique si le système en cours est enregistré dans l'utilitaire
– enrolled - indique si l'utilisateur système Windows en cours est enregistré dans l'utilitaire
– enabled - indique si l'utilitaire est activé dans le programme du BIOS
– show - affiche les résultats sur la console pour toutes les commandes ci-dessus
• Codes retour :
– 0 - faux
– 1 - vrai
– 2 - erreur
• Exemple :
cmp_util.exe -supported
Le comportement de l'enregistrement des empreintes digitales varie légèrement entre un système enregistré
dans Hardware Password Manager et un système non enregistré. Pour les systèmes enregistrés, le
programme du BIOS invite l'utilisateur à saisir les données d'identification de connexion utilisateur Hardware
Password Manager (ID de compte et mot de passe matériels) au lieu des mots de passe matériels réels.
Après avoir vérifié les données d'identification de connexion utilisateur spécifiées, le programme du BIOS
obtient les mots de passe matériels réels à partir du compte matériel et les sauvegarde dans le lecteur
d'empreintes digitales.
Autres scénarios d'empreintes digitales à envisager :
1. L'utilisateur s'enregistre dans Hardware Password Manager après avoir enregistré ses
empreintes digitales pour l'authentification avant amorçage (les mots de passe matériels sont
définis) Dans ce scénario, l'utilisateur a déjà défini un mot de passe à la mise sous tension et s'est
enregistré pour l'authentification par empreintes digitales avant amorçage. Le Portail client gère
ce scénario de la même façon que lorsque des mots de passe avant amorçage sont définis avant
l'enregistrement dans Hardware Password Manager. Dans ce cas, le Portail client invite l'utilisateur
à supprimer tous les mots de passe matériels.
2. L'utilisateur s'enregistre dans Hardware Password Manager après avoir enregistré ses
empreintes digitales pour l'authentification avant amorçage (les mots de passe matériels sont
effacés) Dans ce scénario, l'utilisateur s'est enregistré pour l'authentification par empreintes digitales
avant amorçage, mais il a effacé manuellement le mot de passe à la mise sous tension et le mot de
passe d'accès au disque dur (comme cela lui a été demandé dans le scénario précédent). Le système
démarre et l'utilisateur peut s'enregistrer dans Hardware Password Manager. Toutefois, la prochaine fois
que l'utilisateur démarre le système et qu'il passe le doigt sur le lecteur, le programme du BIOS extrait
l'ancien mot de passe ou mots de passe à partir du périphérique de lecture d'empreintes digitales et
détermine qu'ils ne sont pas valides. Le programme BIOS invite ensuite l'utilisateur à entrer ses données
d'identification de connexion utilisateur. Si l'utilisateur est validé avec son compte matériel, les mots
de passe matériels sont extraits à partir du compte matériel du système par le programme du BIOS
et les mots de passe sont validés. S'ils sont confirmés, les nouveaux mots de passe sont stockés
automatiquement dans le périphérique de lecture d'empreintes digitales.
28
Guide de déploiement Hardware Password Manager
Compatibilité avec Safe Guard Easy/Safe Guard Enterprise
Dans les environnement où l'utilitaire Safe Guard Easy/Safe Guard Enterprise est utilisé, le client Hardware
Password Manager doit être installé après l'utilitaire Safe Guard Easy/Safe Guard Enterprise.
Une autre limitation se traduit par le non fonctionnement de la fonction de connexion unique Hardware
Password Manager lorsque l'utilitaire Safe Guard Easy/Safe Guard Enterprise est installé. Ainsi, l'utilisateur
ne se connecte pas automatiquement au système d'exploitation Windows lorsque l'utilisateur effectue une
connexion utilisateur Hardware Password Manager ordinaire.
Enregistrement en un clic
En tant qu'administrateur, vous pouvez enregistrer vos systèmes dans Hardware Password Manager pour les
protéger contre l'accès d'utilisateurs non autorisés au cours du processus de déploiement et de distribution.
Pour ce faire, l'administrateur peut préenregistrer tous ses systèmes dans le serveur Hardware Password
Manager avec un compte administrateur local commun. Ce processus s'exécute en une étape manuelle
unique (un clic), ce qui est nécessaire pour empêcher les attaques par déni de service.
Ce processus est activé automatiquement sur le système client en fonction du paramètre de stratégie, et
les données d'identification d'entreprise de l'administrateur sont obtenues à partir du serveur Hardware
Password Manager pour permettre l'enregistrement automatique.
Remarque : Un clic fait référence à l'étape manuelle unique requise par l'administrateur pour enregistrer le
système dans Hardware Password Manager. Lorsque le système est enregistré et distribué aux utilisateurs,
l'enregistrement peut être lancé automatiquement (en fonction d'une stratégie) pour tout utilisateur se
connectant à Windows sur ce système, via une connexion locale ou à partir du domaine. Le processus
d'enregistrement en un clic est ignoré si le système est déjà enregistré.
Préenregistrement
Ce processus est identique au processus d'enregistrement normal, à l'exception des différences suivantes :
1. Le Portail client (qui est lancé automatiquement lors de la connexion à Windows) active la fonction
d'enregistrement Hardware Password Manager en fonction du paramètre de stratégie en un clic.
2. Le Portail client ne demande pas de confirmation pour autoriser la poursuite de l'enregistrement.
3. Après le redémarrage, appuyez sur Entrée à l'invite Confirmer l'enregistrement.
4. Le Portail client ne demande pas la saisie des données d'identification d'entreprise, Windows ou
de compte matériel. Les données d'identification d'entreprise utilisées pour authentifier la demande
d'enregistrement sont des données de niveau administrateur lors de la configuration LDAP dans la
console d'administration. Les données d'identification Windows et de compte matériel ne sont pas
requises du fait qu'aucun compte utilisateur n'est créé ; seul le compte administrateur commun est
enregistré.
5. Le Portail client effectue l'opération d'interruption et de reprise sans notifier l'utilisateur.
6. Le Portail client renvoie un code de réussite ou d'échec au processus d'appel et redémarre
automatiquement.
Une fois le processus d'enregistrement en un clic terminé, le système est protégé par mot de passe et un
compte matériel local unique est créé. Le compte matériel est défini sur les données d'identification du
compte matériel administrateur commun. Ces systèmes peuvent être distribués en toute sécurité par
l'administrateur aux utilisateurs finals en sachant qu'ils sont protégés par des mots de passe matériels.
Chapitre 5. Déploiement
29
Enregistrement d'un utilisateur sur un système préenregistré
Lorsque le système est distribué à l'utilisateur, l'utilisateur doit se connecter à Hardware Password Manager
(une connexion réseau est nécessaire) afin d'accéder au système. Si aucune connexion réseau n'est
disponible ou si le serveur Hardware Password Manager se trouve derrière un réseau privé virtuel (VPN),
alors l'administrateur a la possibilité de fournir les données d'identification du compte matériel administrateur
commun pour autoriser l'accès au système. Ce flux est identique au flux normal d'enregistrement
d'utilisateurs supplémentaires.
30
Guide de déploiement Hardware Password Manager
Chapitre 6. Scénarios
Le présent chapitre décrit les scénarios associés aux modifications de la configuration matérielle et de la
configuration utilisateur. Pour les besoins de ces scénarios, on considère que tous les systèmes sont
enregistrés dans Hardware Password Manager.
Scénarios de maintenance (modifications de configuration)
La présente section décrit les scénarios relatifs au matériel.
Scénario 1 - Modifications de la configuration matérielle
Lorsque vous apportez une modification matérielle, une erreur BIOS est déclenchée et un message vous
invite à entrer votre mot de passe administrateur (PAP/SVP) pour accéder à la configuration du BIOS. Une
fois dans la configuration du BIOS, acceptez les modifications afin d'effacer l'erreur BIOS.
Vous pouvez également ignorer le message vous invitant à entrer le mot de passe administrateur et
redémarrer le système. Dans ce cas, l'erreur BIOS n'est pas effacée et le message vous invitant à entrer le
mot de passe administrateur s'affichera à nouveau à chaque redémarrage ultérieur jusqu'à ce que vous
accédiez à la configuration du BIOS et que vous acceptiez les modifications matérielles.
Lorsque des modifications matérielles sont apportées dans un système, l'erreur BIOS se produit et la fenêtre
de connexion utilisateur (User Login) s'affiche. Vous pouvez effectuer l'une des actions suivantes :
• Entrez les données d'identification du compte matériel dans la fenêtre de connexion utilisateur User
Login en utilisant un compte disposant des droits d'administrateur Hardware Password Manager. Si les
données d'identification du compte matériel avec des droits d'accès utilisateur Hardware Password
Manager sont saisies, le BIOS vous invite à entrer le mot de passe administrateur séparément.
• Dans la fenêtre User Login, appuyez sur Echap pour ouvrir la fenêtre Login Menu et sélectionnez Internet
Account Login pour ouvrir la fenêtre. Entrez les données d'identification d'entreprise de l'administrateur
pour publier le mot de passe administrateur.
• Dans la fenêtre User Login, appuyez sur Echap pour accéder à la fenêtre Login Menu et sélectionnez
Manually Enter Passwords pour ouvrir la fenêtre de connexion manuelle et entrer le mot de passe
administrateur. Vous pouvez obtenir le mot de passe administrateur à partir de la console d'administration
Hardware Password Manager.
Remarques :
1. Si le mot de passe administrateur n'est pas connu sur un système de bureau, vous pouvez retirer
la batterie CMOS pour effacer à la fois le mot de passe à la mise sous tension et le mot de passe
administrateur (POP et PAP).
2. Les modifications matérielles sur les ordinateur portables Lenovo ThinkPad ne génèrent pas d'erreur
du BIOS afin de permettre un remplacement en mode veille ou à chaud ; ainsi, le mot de passe
administrateur n'est pas requis.
Scénario 2 - Erreur CMOS
Pour protéger les paramètres du BIOS dans la mémoire CMOS, un total de contrôle est calculé et enregistré
pour la détection d'erreur. Chaque fois que le système démarre, ce nombre est recalculé et comparé
à la valeur enregistrée. Si ces nombres ne correspondent pas, une notification d'erreur est générée afin
d'informer l'utilisateur que le contenu de la mémoire CMOS peut avoir été endommagé et que, par
conséquent, certains paramètres peuvent être incorrects. La cause la plus courante des erreurs de total
© Copyright Lenovo 2010
31
de contrôle dans la mémoire CMOS est que la batterie est en train de se décharger ou il peut s'agir d'un
incident lié à un virus ou à la carte mère.
Les erreurs CMOS nécessitent que vous accédiez à la configuration du BIOS et que vous sélectionniez
Load Default Settings avant que le système puisse démarrer le système d'exploitation. Pour accéder à la
configuration du BIOS, il faut fournir le mot de passe superviseur.
Lorsqu'une erreur CMOS se produit, la fenêtre User Login s'affiche au moment où survient cette erreur du
BIOS. Effectuez l'une des opérations suivantes :
• Entrez les données d'identification du compte matériel avec les droits d'administrateur Hardware
Password Manager afin de publier le mot de passe administrateur, par exemple le compte admin
d'urgence. Si les données d'identification du compte matériel avec des droits d'accès utilisateur
Hardware Password Manager sont saisies, le BIOS vous invite à entrer le mot de passe administrateur.
• Entrez les données d'identification d'entreprise en procédant comme suit :
1. Appuyez sur Echap pour ouvrir la fenêtre Login Menu.
2. Sélectionnez Intranet Account Login pour ouvrir la fenêtre Internet Account Login.
3. Entrez le nom d'utilisateur et le mot de passe dans la fenêtre Internet Account Login.
• Dans la fenêtre User Login, appuyez sur Echap pour ouvrir la fenêtre User Login et sélectionnez Manually
Enter Passwords. Au moment de la connexion manuelle, entrez le mot de passe administrateur. Vous
pouvez obtenir cette information à partir de la console d'administration Hardware Password Manager.
Remarque : Pour les systèmes de bureau, vous pouvez ignorer l'erreur CMOS en appuyant sur F2 et en
démarrant le système. Le démarrage suivant affichera la même erreur jusqu'à ce que vous accédiez à la
configuration du BIOS et que vous chargiez les paramètres par défaut en appuyant sur F9.
Scénario 3 - Remplacement du périphérique de lecture d'empreintes
digitales
Les utilisateur peuvent enregistrer leurs empreintes digitales pour bénéficier de la fonction de connexion
unique à l'aide de Hardware Password Manager. Lorsqu'une empreinte digitale est enregistrée pour un
accès avant-démarrage, les mots de passe matériels sont associés à l'empreinte digitale lue et sont stockés
dans le périphérique de lecture d'empreintes digitales. Lorsque l'utilisateur fait passer sur le lecteur une
empreinte digitale enregistrée à l'invite, le BIOS publie les mots de passe réels à partir du compte matériel.
Le BIOS affiche l'invite de lecture d'empreinte digitale en premier, avant de démarrer le système. Pour
ouvrir la fenêtre User Login, l'utilisateur doit appuyez sur la touche Echap. Si le périphérique de lecture
d'empreintes digitales est supprimé, l'invite de lecture d'empreinte digitale ne s'affiche plus et la fenêtre
User Login s'affiche en premier.
Lorsqu'un périphérique de lecture d'empreintes digitales défaillant est remplacé, les empreintes digitales
enregistrées et associées aux mots de passe matériels disparaissent. Hardware Password Manager n'est
pas affecté, à ceci près que l'utilisateur ne peut plus utiliser ses empreintes digitales. L'invite de lecture
d'empreinte digitale ne s'affiche plus et la fenêtre User Login s'affiche en premier.
Pour rétablir l'accès par empreintes digitales, l'utilisateur doit enregistrer ses empreintes digitales pour
Windows et ses données d'identification d'avant-démarrage à l'aide de l'utilitaire de configuration des
empreintes digitales (Fingerprint Setup Utility). Si un périphérique de lecture des empreintes digitales est
remplacé par un autre périphérique pour lequel des empreintes digitales et des mots de passe ont déjà été
enregistrés, le BIOS écrasera ces mots de passe à condition que l'utilisateur fournisse des mots de passe
corrects en utilisant la connexion manuelle, la connexion utilisateur ou la connexion Hardware Password
Manager. Si des données d'identification de compte matériel sans droits d'administrateur Hardware
Password Manager sont fournies, seuls les mots de passe à la mise sous tension et les mots de passe
d'accès au disque dur sont mis à jour dans le périphérique de lecture d'empreintes digitales (le mot de passe
administrateur n'est pas ajouté au périphérique de lecture d'empreintes digitales tant qu'aucun utilisateur
32
Guide de déploiement Hardware Password Manager
ne se connecte avec les données d'identification administrateur Hardware Password Manager ou n'entre
manuellement le mot de passe administrateur correct.)
Scénario 4 - Mots de passe matériels déjà définis
Lorsque des mots de passe matériels sont déjà définis avant l'enregistrement, l'utilisateur ne peut pas
s'enregistrer dans Hardware Password Manager. Lors du lancement du processus d'enregistrement, le
Portail client informe l'utilisateur qu'il doit effacer manuellement les mots de passe matériels avant de
poursuivre l'enregistrement. Une fois que les mots de passe matériels ont été effacés par l'utilisateur,
l'enregistrement se poursuit normalement.
Scénario 5 - Configuration sous le système d'exploitation (paramètres
du BIOS à distance)
Ce scénario peut se produire lorsque vous recevez de nouvelles machines et que vous souhaitez déployer
les paramètres du BIOS par défaut, tels que disable serial port ou set admin password.
Lorsqu'un poste est enregistré dans Hardware Password Manager, les mots de passe matériels ne peuvent
pas être modifiés via l'option Setup under the OS (du fait qu'ils sont gérés par le serveur HPM) à moins
de fournir le mot de passe en cours qui peut être obtenu à partir de la console ThinkManagement. Si un
utilisateur désactive Hardware Password Manager soit manuellement via la configuration du BIOS, soit via
l'option Setup under the OS sur un poste qui est enregistré dans Hardware Password Manager, le BIOS
effacera les mots de passe matériels et supprimera le compte matériel local et SST.
Scénario 6 - Remplacement de la carte mère
Lorsque la carte mère est remplacée, le mot de passe à la mise sous tension, le mot de passe superviseur, le
compte matériel et les données d'identification du serveur n'existent plus sur le système. Seuls les mots de
passe d'accès au disque dur restent définis. Dans ce cas, vous devez les effacer manuellement dans la
configuration du BIOS, démarrer l'ordinateur et le réenregistrer dans Hardware Password Manager à l'aide
du Portail client. Pour effacer le mot de passe d'accès au disque dur, vous devez l'entrer manuellement.
Vous pouvez l'obtenir à partir de la console ThinkManagement.
Vous devez connaître l'identificateur du disque dur pour pouvoir identifier le mot de passe d'accès au
disque dur correct. L'ID de disque dur peut être récupéré à l'aide d'un utilitaire DOS Hardware Password
Manager fourni par Lenovo.
Lorsqu'une carte mère est déplacée d'un système vers un autre, on suppose que la carte mère n'est pas
enregistrée dans Hardware Password Manager. Vous devez effacer ou désactiver Hardware Password
Manager avant de redéployer la carte mère sur le site.
• Systèmes de bureau - Si l'enregistrement de la carte mère n'a pas été annulé, vous pouvez retirer la
batterie CMOS afin d'effacer le mot de passe à la mise sous tension/mot de passe superviseur, puis
accéder à la configuration du BIOS et désactiver Hardware Password Manager.
• ThinkPad - Le retrait de la batterie CMOS n'effacera pas le mot de passe superviseur ; vous devez obtenir
le mot de passe superviseur à partir de la console ThinkManagement afin d'accéder à la configuration du
BIOS et de désactiver Hardware Password Manager.
Remarque : Lors du remplacement d'une carte mère, vous devez réinitialiser le type/modèle et le numéro de
série de l'ordinateur pour qu'ils correspondent aux valeurs correctes avant de l'enregistrer dans Hardware
Password Manager.
Lors du réenregistrement du système client auprès de la nouvelle carte mère dans le même domaine de
serveur Hardware Password Manager, le serveur détectera que la machine est déjà enregistrée (les instances
Chapitre 6. Scénarios
33
machine/utilisateur/disque dur et la sauvegarde du compte matériel existent déjà) et effacera toutes les
structures sur le serveur avant de procéder à l'enregistrement.
Scénario 7 - Ajout d'une unité de disque dur
Lorsqu'un disque dur est ajouté à un système enregistré dans Hardware Password Manager, vous devez
renouveler le compte matériel pour que Hardware Password Manager affecte un mot de passe au nouveau
disque dur. Le renouvellement du compte matériel entraîne la renumérotation des disques durs dans la
machine et la définition des mots de passe sur tous les périphériques détectés.
Si un mot de passe d'accès au disque dur a déjà été défini pour le disque dur, vous devez effacer
manuellement ce mot de passe avant d'exécuter le renouvellement du compte matériel (Renew Hardware
Account). Si vous ne connaissez pas le mot de passe d'accès au disque dur, le disque dur ne peut plus
être utilisé.
Pour effacer le mot de passe d'accès au disque dur, vous devez connaître l'ID du disque dur et l'ID du
système afin d'obtenir le mot de passe d'accès au disque dur et le mot de passe superviseur corrects. L'ID
du disque dur et l'ID de la machine peuvent être récupérés à l'aide d'un utilitaire DOS Hardware Password
Manager fourni par Lenovo.
Remarque : Le mot de passe superviseur n'est pas requis pour effacer un mot de passe d'accès au
disque dur pour les systèmes ThinkPad.
Lorsqu'un disque dur non protégé est ajouté à un système enregistré dans Hardware Password Manager,
le BIOS détectera que le disque dur n'est pas protégé. Dans ce cas, lors de la connexion à Windows, le
Portail client informera l'utilisateur qu'une unité non protégée (disque dur) a été détectée et lui demandera s'il
souhaite renouveler le matériel.
Scénario 8 - Remplacement ou déplacement d'une unité de disque dur
Si l'unité de disque dur d'un système enregistré dans Hardware Password Manager tombe ne en panne et
doit être remplacée, trois solutions s'offrent à vous.
Si le système est toujours amorçable, il est recommandé d'annuler l'enregistrement du système dans
Hardware Password Manager. Cette action efface tous les mots de passe matériels du système. Installez
l'unité de disque dur de remplacement et suivez le processus de déploiement habituel de Hardware
Password Manager pour préparer le nouvel enregistrement du système dans Hardware Password Manager.
Si le système ne démarre pas à partir du disque dur et comporte une connexion câblée au réseau
d'entreprise, appuyez sur Echap lors du pré-amorçage de Hardware Password Manager. Choisissez d'établir
une connexion à l'intranet. Vous devez fournir les données d'identification qui sont associées au rôle
Administrator ou Service Tech. Choisissez d'annuler l'enregistrement du système dans le menu. Cette action
efface les mots de passe matériels du système.
Si le système ne démarre pas à partir du disque dur et n'est pas connecté au réseau d'entreprise, appuyez
sur F1 lors de l'autotest à la mise sous tension pour accéder à l'utilitaire de configuration du BIOS. Appuyez
sur Echap à l'invite de connexion à Hardware Password Manager. Sélectionnez Manually enter passwords.
Entrez le mot de passe superviseur qui peut être récupéré à partir de la console. Appuyez sur F1 et entre
le mot de passe maître du disque dur. Sélectionnez Security, puis Password. Désactivez le paramètre
Hardware Password Manager. Tous les mots de passe matériels seront effacés. Activez maintenant le
paramètre Hardware Password Manager et appuyez sur la touche F10 pour enregistrer et quitter l'utilitaire de
configuration du BIOS. Une fois l'annulation de l'enregistrement du système effectuée, vous pouvez installer
un nouveau disque dur et exécuter le processus de déploiement habituel de Hardware Password Manager
pour préparer le nouvel enregistrement du système dans Hardware Password Manager.
34
Guide de déploiement Hardware Password Manager
Si le disque dur de remplacement était précédemment géré par Hardware Password Manager, et s'il est
donc connu pour le serveur Hardware Password Manager et si un mot de passe d'accès au disque dur a été
défini, ce mot de passe doit être effacé manuellement via l'utilitaire de configuration du BIOS. Appuyez sur
F1 lors de l'autotest à la mise sous tension pour accéder à l'utilitaire de configuration du BIOS. Appuyez sur
Echap à l'invite de connexion à Hardware Password Manager. Sélectionnez Manually enter passwords.
Entrez le mot de passe superviseur qui peut être récupéré à partir de la console. Appuyez sur F1 et entre le
mot de passe maître du disque dur. Sélectionnez Security, puis Password. Supprimez les mots de passe
d'accès au disque dur maître et utilisateur. Appuyez sur F1 pour enregistrer et quitter cette fenêtre.
Pour effacer le mot de passe d'accès au disque dur, vous devez connaître le nom de l'ordinateur du
périphérique dans lequel le disque dur a été enregistré ou l'ID du disque dur et l'ID système afin d'obtenir le
mot de passe d'accès au disque dur et le mot de passe superviseur à partir de la console. L'ID du disque dur
et l'ID de la machine peuvent être récupérés à l'aide d'un utilitaire DOS Hardware Password Manager fourni
par Lenovo. Une fois que vous avez obtenu l'ID du disque dur et l'ID de la machine, vous pouvez obtenir le
mot de passe d'accès au disque dur et le mot de passe superviseur à l'aide de la console ThinkManagement.
Vous pouvez maintenant effacer le mot de passe d'accès au disque dur via la configuration du BIOS.
Remarque : Le mot de passe superviseur n'est pas requis pour effacer un mot de passe d'accès au
disque dur pour les systèmes ThinkPad.
Scénario 9 - Changement de l'emplacement d'un disque dur dans un
système
Ce scénario se produit lorsque l'emplacement physique des disques durs1 et 2 est permuté sur le bus. Cette
situation n'affecte pas Hardware Password Manager étant donné que l'emplacement d'un disque dur n'est
pas géré dans l'instance du disque dur sur le serveur.
Scénario 10 - Retrait d'une unité de disque dur
Lors du retrait d'un disque dur, la solution recommandée consiste à annuler l'enregistrement du système
avant de procéder au retrait, puis de réenregistrer le système après avoir installé un autre disque dur. Cette
procédure garantit qu'aucun mot de passe d'accès au disque dur n'est défini pour le disque dur supprimé.
Remarque : Le retrait du disque dur sans procéder au préalable à l'annulation de l'enregistrement laissera
une instance de disque dur orpheline sur le serveur. Vous pouvez choisir de laisser ce type d'enregistrement
au cas où le mot de passe d'accès au disque dur serait requis ultérieurement, ou de les éliminer à l'aide de
la console ThinkManagement.
Scénario 11 - Flashage du BIOS
Ce scénario décrit les répercussions sur Hardware Password Manager lors de la mise à jour du BIOS à l'aide
d'une image flash (appliquée à l'aide d'un utilitaire Flash). Du fait que les utilitaires Flash existent à la fois
dans DOS et Windows, tous les scénarios Flash doivent être testés avec les deux types d'utilitaires. Bien
que les structures de compte matériel Hardware Password Manager soient stockées dans la mémoire flash,
les utilitaires Flash ont été mis à jour pour ne pas écraser les structures liées à Hardware Password Manager.
• Pro-flashage - Lors de la mise à jour vers une version plus récente du BIOS sur le système enregistré
dans Hardware Password Manager, le compte matériel ne doit pas être altéré (par exemple, le statut
d'enregistrement dans Hardware Password Manager de l'utilisateur et les données d'identification du
compte matériel ne doivent pas changer).
• Rétro-flashage - Lors d'une mise à jour vers une version antérieure du BIOS prenant en charge Hardware
Password Manager, le compte matériel ne doit pas être altéré (par exemple, le statut d'enregistrement
dans Hardware Password Manager de l'utilisateur et les données d'identification du compte matériel ne
doivent pas changer). Les utilitaires Flash du BIOS qui prennent en charge Hardware Password Manager
ne doivent pas faire l'objet d'un rétro-flashage vers une version antérieure du BIOS qui n'inclut pas la
Chapitre 6. Scénarios
35
prise en charge de Hardware Password Manager. L'enregistrement du système doit être annulé avant de
procéder au rétro-flashage.
Scénario 12 - Le système enregistré ne peut plus accéder au serveur
Hardware Password Manager
Si un système enregistré dans Hardware Password Manager est réaffecté ou déplacé vers un emplacement
ne disposant pas d'une connectivité réseau avec le serveur Hardware Password Manager, vous devez
effacer les comptes et les mots de passe matériels du système. Vous pouvez annuler l'enregistrement du
système à l'aide de l'utilitaire de configuration du BIOS.
Pour ce faire, vous devez vous connecter au compte d'urgence afin d'accéder au mot de passe superviseur
ainsi qu'à tous les mots de passe d'accès au disque dur, et désactiver Hardware Password Manager. Une
fois que Hardware Password Manager est désactivé, le BIOS effacera toutes les structures de compte
matériel et tous les mots de passe matériels.
Si le compte d'urgence n'est pas connu, vous devez obtenir le mot de passe superviseur ainsi que les
mots de passe d'accès au disque dur à l'aide de la console ThinkManagement afin de pourvoir désactiver
Hardware Password Manager.
Dans ce cas, le serveur Hardware Password Manager se retrouvera avec une entrée orpheline (telle
qu'une sauvegarde d'instance de machine et de compte matériel). Vous pouvez utiliser la console
ThinkManagement pour identifier ces entrées orphelines et les supprimer si vous le souhaitez.
Scénario 13 - Accès à la configuration du BIOS
Les utilisateurs peuvent accéder à la configuration du BIOS de l'une des façons suivantes :
• Connexion utilisateur L'utilisateur doit disposer d'un compte local qui soit membre du groupe
Administrator de Hardware Password Manager.
• Connexion à Hardware Password Manager L'utilisateur doit disposer d'un compte d'entreprise qui soit
membre du groupe Service Tech ou Administrator de Hardware Password Manager.
• Connexion manuelle L'utilisateur doit obtenir le mot de passe superviseur auprès de l'administrateur à
l'aide de la console ThinkManagement.
Scénario 14 - Chargement des paramètres par défaut dans la
configuration du BIOS
Ce scénario décrit les répercussions du chargement des paramètres du BIOS par défaut sur un système qui
utilise Hardware Password Manager. Les utilisateur peuvent charger les paramètres du BIOS par défaut si
la mémoire CMOS est effacée ou endommagée.
Une fois que les paramètres par défaut sont chargés, le mot de passe à la mise sous tension et le mot de
passe superviseur restent définis et toutes les strcutures Hardware Password Manager restent intactes.
Scénario 15 - Ne pas protéger toutes les unités de disque dur
Ce scénario décrit une situation dans laquelle un utilisateur enregistre son système dans Hardware
Password Manager, mais souhaite qu'un disque dur supplémentaire ne soit PAS protégé. Ce disque dur sera
probablement une unité externe ou une unité installée sur une station d'accueil.
Remarque : Ce disque dur ne doit pas être connecté au système lors de l'enregistrement du système dans
Hardware Password Manager, sinon un mot de passe d'accès au disque dur lui serait affecté.
36
Guide de déploiement Hardware Password Manager
Scénarios utilisateur
La présente section décrit des scénarios que l'utilisateur peut rencontrer :
Scénario 1 - Oubli des données d'identification du compte matériel,
réseau connecté
Ce scénario se produit lorsqu'un utilisateur oublie ses données d'identification du compte matériel et qu'il
dispose d'une connectivité réseau avec le serveur Hardware Password Manager. Pour résoudre cette
situation, l'utilisateur doit procéder comme suit :
• Se connecter à Hardware Password Manager.
•
Démarrer Windows à partir du menu Hardware Password Manager Services.
• Se connecter à Windows en entrant manuellement ses données d'identification Windows.
• Lancer le Portail client et sélectionner Supprimer l'utilisateur.
• Réenregistrer le compte dans Hardware Password Manager.
Scénario 2 - Oubli des données d'identification du compte matériel,
AUCUNE connexion réseau
Ce scénario se produit lorsqu'un utilisateur oublie ses données d'identification du compte matériel et
qu'il ne dispose pas de connectivité réseau avec le serveur Hardware Password Manager. Pour résoudre
ce problème, procédez comme suit :
1. Appeler l'administrateur de systèmes informatiques et obtenir les données d'identification du compte
Administrateur. Mettre l'ordinateur sous tension et entrer ces données d'identification à l'invite de
connexion utilisateur.
2. Se connecter à Windows en entrant manuellement les données d'identification Windows.
3. Lancer le Portail client et sélectionner Supprimer l'utilisateur.
4. Réenregistrer son compte dans Hardware Password Manager.
Une autre façon de procéder consiste pour l'utilisateur à accéder à la configuration du BIOS après avoir
fourni les données d'identification du compte administrateur et avoir désactivé Hardware Password Manager.
Cette action efface le compte matériel et les mots de passe matériels. L'utilisateur peut alors lancer
Hardware Password Manager et réenregistrer le système une fois qu'il se trouve dans un lieu disposant
d'une connectivité réseau avec le serveur Hardware Password Manager.
Scénario 3 - Oubli du mot de passe d'entreprise
Ce scénario se produit lorsqu'un utilisateur oublie son mot de passe d'entreprise. Dans ce cas, l'utilisateur
peut toujours utiliser son système via la connexion utilisateur. L'utilisateur peut réinitialiser son mot de
passe d'entreprise en utilisant la procédure de l'entreprise (réinitialisation par l'administrateur de systèmes
informatiques via un site web ou manuelle).
Si la stratégie est définie de sorte que le compte matériel est identique au compte Windows de l'utilisateur,
après la réinitialisation du mot de passe d'entreprise, l'utilisateur doit se connecter à Hardware Password
Manager à l'aide des anciennes données d'identification d'entreprise. Lors de la connexion à Windows,
l'utilisateur est invité à fournir son nouveau mot de passe. Le Portail client Hardware Password Manager
demande à l'utilisateur l'autorisation de synchroniser le compte matériel avec le nouveau mot de passe.
Une fois l'opération terminée, l'utilisateur pourra utiliser son nouveau mot de passe lors de la prochaine
connexion à Hardware Password Manager.
Chapitre 6. Scénarios
37
Scénario 4 - Connexion manuelle à l'aide de différents types de clavier
Les mots de passe matériels, tels que le mot de passe à la mise sous tension, le mot de passe superviseur
et le mot de passe d'accès au disque dur, qui sont gérés par le BIOS ne sont pas portables entre des
systèmes utilisant des types de clavier différents. Cela s'explique par le fait que le texte au niveau du BIOS
est reconnu sous forme de codes d'analyse et ne peut pas être traduit dans le BIOS dans ou depuis un
format plus portable tel que ASCII. La tentative de gérer des mots de passe enregistrés sous forme de codes
d'analyse peut se traduire par le fait qu'un mot de passe saisi sur un type de clavier peut correspondre à un
jeu de codes d'analyse entièrement différent sur un autre type de clavier. Par exemple, prenons le mot de
passe azw. Sur un clavier anglais, sa représentation par code d'analyse est 0x1E, 0x2C, 0x11. Toutefois, sur
un clavier allemand, la représentation par code d'analyse est 0x1E, 0x15, 0x11.
Trois types de clavier différents sont utilisés pour prendre en charge les différentes langues :
• Français, Belge
• Allemand, Suisse, Hongrois, Polonais, Tchèque, Slovène, Slovaque
• Toutes les autres langues
Lors du déploiement depuis le serveur de mots de passe matériels, tels que le mot de passe à la mise sous
tension, le mot de passe superviseur et le mot de passe d'accès au disque dur, le serveur convertit le texte
ASCII en codes d'analyse qui dépendent du type de clavier utilisé sur le système cible. Ces mots de passe
(représentés par des codes d'analyse) sont envoyés au client pour être définis dans le matériel.
Le changement de type de clavier n'est pas pris en charge pour la saisie manuelle des mots de passe. Si un
utilisateur souhaite changer de type de clavier, la procédure recommandée est la suivante :
1. Annulez l'enregistrement dans Hardware Password Manager.
2. Changez de clavier.
3. Renouvelez l'enregistrement dans Hardware Password Manager.
Scénario 5 - Gestion des enregistrements à partir de plusieurs partitions
d'amorçage
Ce scénario peut se présenter lorsqu'un utilisateur s'enregistre sur une partition d'amorçage unique (par
exemple, Vista) et qu'il souhaite s'enregistrer dans Hardware Password Manager sur une deuxième partition
d'amorçage (par exemple, XP). Dans cette situation, le code client Hardware Password Manager doit être
installé sur chacune des partitions d'amorçage. L'utilisateur doit s'enregistrer dans Hardware Password
Manager à partir d'une partition d'amorçage. Une fois enregistré, Hardware Password Manager fonctionne
normalement dans toutes les partitions d'amorçage sur lesquelles le code client Hardware Password
Manager est installé, en supposant que les données d'identification pour la connexion à Windows soient les
mêmes dans toutes les partitions d'amorçage. Si les données d'identification Windows sont différentes,
l'utilisateur doit entrer ses données d'identification Windows dans l'interface Gina/CP de Windows lorsque
les partitions d'amorçage utilisées sont différentes de celle à partir de laquelle l'enregistrement dans
Hardware Password Manager a été effectué.
Scénario 6 - BitLocker
BitLocker et Hardware Password Manager sont compatibles, ce qui signifie qu'un client enregistré dans
Hardware Password Manager (pour la protection par mot de passe du BIOS - mot de passe à la mise sous
tension, mot de passe superviseur et mots de passe d'accès au disque dur) peut protéger davantage ses
données à l'aide de BitLocker (chiffrement du volume logique). L'enregistrement et la récupération à partir
d'une clé dans BitLocker sont gérés de façon ordinaire (en dehors du champ d'application de Hardware
Password Manager).
38
Guide de déploiement Hardware Password Manager
La procédure recommandée lorsque les deux technologies sont utilisées consiste à s'enregistrer d'abord
dans Hardware Password Manager avant d'activer BitLocker. Si l'utilisateur active BitLocker dans un
premier temps, puis qu'il s'enregistre dans Hardware Password Manager, le fait que les mots de passe du
BIOS soient définis provoquera l'échec du contrôle d'intégrité de BitLocker (les mots de passe du BIOS
sont validés dans PCR1) et le lancement du mode de récupération BitLocker. Hardware Password Manager
avertira l'utilisateur de ce problème au cours du flux d'enregistrement si BitLocker est activé. L'utilisateur
peut choisir de poursuivre l'enregistrement ou d'annuler à ce stade. Si l'utilisateur poursuit, le mode de
récupération BitLocker s'exécutera au démarrage suivant, étant donné que le contrôle d'intégrité sur les
mots de passe du BIOS (PCR1) aura échoué.
Chapitre 6. Scénarios
39
40
Guide de déploiement Hardware Password Manager
Annexe A. Sécurité et confort
La sécurité des ordinateurs est souvent privilégiée pour le confort des utilisateurs. Le tableau ci-dessous
montre comment configurer les paramètres de stratégie d'Hardware Password Manager de manière à
optimiser la sécurité et le confort.
Remarque : Les valeurs par défaut sont affichées en italique.
Tableau 1. Paramètres de stratégie Hardware Password Manager
Description
Plus sécurisé
Plus pratique
Show last logon account
for Hardware Account
Permet de déterminer si le BIOS doit mettre en
cache le dernier nom d'utilisateur de compte
matériel à s'être connecté au système. Le
mot de passe n'est pas mis en cache, ce qui
signifie que l'utilisateur doit le saisir à chaque
fois.
Non sélectionné
Sélectionné
Prompt for Hardware
Account on warm boot
Permet de déterminer si les données
d'identification du compte matériel doivent
être demandées à chaque redémarrage du
système.
Sélectionné
Non sélectionné
Paramètre de stratégie
Client - Stratégie BIOS
Client - Mots de passe
matériels communs
Set Common SVP
Permet de déterminer si le mot de passe
superviseur doit être défini sur une valeur
codée en dur commune ou si le mot de
passe doit être généré automatiquement. Le
fait d'utiliser un mot de passe superviseur
commun permet à l'administrateur d'entrer
plus facilement le mot de passe superviseur
via la méthode manuelle en cas de besoin (par
exemple pour accéder à la configuration du
BIOS et modifier les paramètres).
Non sélectionné
(mot de
passe généré
automatiquement)
Sélectionné (mot
de passe codé
en dur)
Set Common POP
Permet de déterminer si le mot de passe à
la mise sous tension doit être défini sur une
valeur codée en dur commune, ou si ce mot
de passe doit être généré automatiquement.
Non sélectionné
(mot de
passe généré
automatiquement)
Sélectionné (mot
de passe codé
en dur)
Set Common MHDP
Permet de déterminer si le mot de passe
d'accès au disque dur maître doit être défini
sur une valeur codée en dur commune
ou si le mot de passe doit être généré
automatiquement. Le fait d'utiliser un mot de
passe commun pour l'accès au disque dur
maître permet à l'administrateur d'entrer plus
facilement ce mot de passe via la méthode
manuelle en cas de besoin (par exemple
pour accéder à la configuration du BIOS et
effacer le mot de passe d'accès au disque dur
utilisateur ainsi que le mot de passe d'accès
au disque dur maître).
Non sélectionné
(mot de
passe généré
automatiquement)
Sélectionné (mot
de passe codé
en dur)
© Copyright Lenovo 2010
41
Tableau 1. Paramètres de stratégie Hardware Password Manager (suite)
Paramètre de stratégie
Set Common UHDP
Description
Plus sécurisé
Plus pratique
Permet de déterminer si le mot de passe
d'accès au disque dur utilisateur doit être
défini sur une valeur codée en dur commune
ou si ce mot de passe doit être généré
automatiquement.
Non sélectionné
(mot de
passe généré
automatiquement)
Sélectionné (mot
de passe codé
en dur)
Permet de définir le nom d'utilisateur et
le mot de passe du compte d'urgence
pour l'ensemble des systèmes. Si le nom
d'utilisateur est toujours commun, le mot de
passe peut être commun ou unique pour
chaque système (généré automatiquement).
Le fait d'utiliser un mot de passe commun
facilite l'accès de l'administrateur à la
configuration du BIOS et lui permet de se
connecter au système sans avoir besoin
d'entrer manuellement les mots de passe
matériels ou de demander une connexion à
l'intranet (pour laquelle une connexion réseau
est obligatoire).
Compte
d'urgence
défini (mot de
passe généré
automatiquement)
Compte d'urgence
défini (mot de
passe codé en dur)
Client - Compte
d'urgence
Common Emergency User
Name and Password
Stratégie de serveur Onglet General
Allow users to enroll on
multiple devices
Permet de déterminer si tous les utilisateurs
HPM peuvent être enregistrés sur plusieurs
systèmes.
Non sélectionné
Sélectionné
Enable one-touch
registration
Permet de déterminer si l'administrateur
souhaite préenregistrer les systèmes dans
une zone de transfert sans enregistrer aucun
utilisateur final. Cette opération permet de
définir les mots de passe matériels et de créer
le compte d'urgence. Un fois ces systèmes
livrés aux utilisateurs, ces derniers peuvent
se connecter à l'intranet pour démarrer le
système et s'enregistrer pour créer un compte
matériel.
Non sélectionné
Sélectionné
Enable first user enrolled
on a machine as
Administrator
Permet de déterminer si le premier
utilisateur enregistré sur un système se
voit automatiquement attribuer des droits
administrateur avec son compte matériel.
Le mot de passe superviseur peut ainsi être
communiqué lors de la connexion au système,
ce qui permet à l'utilisateur d'accéder à la
configuration du BIOS et de modifier les
paramètres en fonction de ses besoins. Cela
ne permet pas à l'utilisateur de disposer de
droits administrateurs Windows.
Non sélectionné
Sélectionné
Permet de déterminer si l'option de menu
Deregister PC est mise à la disposition des
utilisateurs lorsque ces derniers se connectent
à l'intranet.
Non sélectionné
Sélectionné
Options de menu du
Portail client - Onglet
Client Portal
Deregister PC
42
Guide de déploiement Hardware Password Manager
Annexe B. Reprise après incident
Sauvegarde du serveur principal 9.0
Avant toute mise à niveau ou modification du serveur principal Hardware Password Manager actuel, vous
devez sauvegarder tous les fichiers critiques ainsi que les fichiers personnalisés. Vous pouvez passer cette
étape s'il s'agit d'une nouvelle installation dans laquelle un serveur principal est installé pour la première fois.
Sauvegarde du serveur principal
Vous pouvez sauvegarder le serveur principal de différentes manières. La sauvegarde du serveur principal
est une étape importante. Par conséquent, nous vous recommandons de choisir une méthode fiable.
De nombreuses entreprises possèdent une stratégie de sauvegarde permettant de sauvegarder les serveurs
sur un support externe spécifique (unité de bande, unité de DVD, voire unités externes). Si votre entreprise
dispose d'une stratégie de sauvegarde, cette dernière doit être mise en œuvre avant la mise à niveau du
serveur principal.
Sauvegarde du serveur principal avec ImageW.exe et Phylock
Vous pouvez sauvegarder les unités ou les partitions du serveur principal à l'aide d'ImageW.exe, l'outil de
gestion d'images de LANDesk. L'unité système et l'unité sur laquelle le serveur principal est installé (si elles
sont différentes) doivent être sauvegardées. Pour plus d'informations sur la sauvegarde du serveur principal
avec ImageW.exe, consultez le document Manually Capturing an Image with ImageW.exe à l'adresse
suivante :
http://community.landesk.com/support/docs/DOC-2330
Sauvegarde de la base de données
Il est très important de sauvegarder la base de données. Le présent document ne présente pas les
différentes étapes de la sauvegarde de la base de données sur le serveur de base de données. Pour créer
une sauvegarde de votre base de données, consultez l'administrateur de base de données.
Important : La sauvegarde de la base de données est une opération d'une importance capitale. Il existe
de nombreuses raisons pour lesquelles la mise à niveau d'une base de données peut échouer. Sans base
de données de sauvegarde, si la mise à niveau du serveur principal est réussie, mais pas celle de la
base de données, vous devrez peut-être créer une nouvelle base de données et vous risquez de perdre
vos données. Si vous possédez une sauvegarde de la base de données et si cette dernière peut être
restaurée, le problème de mise à niveau peut être résolu et vous pouvez mettre à niveau la base de données
de manière à conserver vos données.
Sauvegarde des fichiers critiques du serveur principal
Même si le serveur principal et la base de données ont été sauvegardés dans leur intégralité, il peut être
judicieux de sauvegarder également les fichiers critiques et de garantir leur accessibilité. Si la seule
sauvegarde disponible se trouve sur une unité de bande, les fichiers critiques ne seront pas nécessairement
accessibles si la bande n'est pas restaurée. Pour des raisons d'accessibilité, il est préférable de sauvegarder
ces fichiers sur un partage.
LANDesk a créé un outil permettant de sauvegarder les fichiers critiques sur un partage :
CoreDataMigration.exe. Les dernières versions de CoreDataMigration.exe permettent de sauvegarder plus
de fichiers que les versions antérieures. L'un des fichiers d'installation de ThinkManagement Console 9.0
est une mise à jour de CoreDataMigration.exe, il est donc préférable d'utiliser la version 9.0 à la place de
© Copyright Lenovo 2010
43
la version installée sur le serveur principal (s'il s'agit d'une version antérieure). Vous trouverez la nouvelle
version de CoreDataMigration.exe dans le support d'installation de ThinkManagement Console 9.0 dans
le répertoire \LANDesk\SetupFiles folder. Si vous avez installé un serveur principal ThinkManagement
Console 9.0, vous trouverez ce fichier dans le répertoire C:\Program Files\LANDesk\ManagementSuite\ folder.
Nous vous recommandons de sauvegarder les fichiers critiques sur un partage sécurisé sur un serveur
distinct. La procédure suivante explique comment utiliser CoreDataMigration.exe.
1. Sur un partage se trouvant sur un serveur distinct (qui ne doit pas être le serveur principal), créez
un dossier LANDeskBackup.
2. Sur le serveur principal, ouvrez une invite de commande en cliquant sur Démarrer ➙ Exécuter, puis
en lançant CMD.EXE.
3. A l'invite de commande, placez-vous dans le répertoire ManagementSuite. Par défaut, le répertoire
ManagementSuite est installé à l'emplacement suivant : %ProgramFiles%\LANDesk\ManagementSuite. Il
peut cependant être installé à un autre emplacement : cd %ProgramFiles%\LANDesk\ManagementSuite
4. Exécutez la commande suivante :
coredatamigration.exe GATHER \\ServerName\Share\LANDeskBackup
Remarque : Le mot GATHER doit être entièrement en majuscules, mais le reste de la commande
n'est pas sensible à la casse en règle générale.
Sauvegarde des autres fichiers et informations nécessaires - LANDesk Management Suite pour les
programmes ThinkVantage
Si vous utilisez toutes les fonctionnalités de LANDesk Management Suite pour les programmes
ThinkVantage, vous devrez peut-être sauvegarder de nombreux autres fichiers et informations. Tous les
fichiers ne sont pas sauvegardés par l'utilitaire CoreDataMigration.exe de LANDesk. La plupart des autres
fichiers sont des fichiers dont vous seul connaissez l'existence et pouvez assurer leur sauvegarde. Dans
la section précédente, nous avons créé un partage que vous pouvez utiliser pour sauvegarder les autres
fichiers ou informations dont vous avez besoin.
Autres fichiers nécessaires :
ManagementSuite\LANDesk\Vboot\LDVPE1.IMG
ManagementSuite\LANDesk\Files\DOSUNDI.1
ManagementSuite\LANDesk\Files\BOOTMENU.1
Les fichiers d'installation du module de distribution, s'ils sont installés sur un partage de module créé
sur le serveur principal
Le répertoire Correctif, s'il est stocké sur le serveur principal
\ldlogon\ldappl3.template, s'il a fait l'objet de modifications
\ldlogon\AgentWatcher\*.ini filesf
Autres informations nécessaires :
D'autres informations peuvent également avoir besoin d'être sauvegardées. Il s'agit généralement
d'éléments stockés uniquement sur le serveur principal et non dans la base de données. Il est
particulièrement important de sauvegarder ces informations lorsque vous réalisez une migration côte à côte
ou une nouvelle installation du serveur principal avec une base de données mise à niveau. En effet, dans ces
deux situations le serveur principal est nouveau et ne dispose pas de ces informations. Exportez dans un
fichier les utilisateurs et les groupes ajoutés au groupe LANDesk Management Suite situé sur le serveur
principal, puis sauvegardez le fichier en le copiant en le collant sur un partage. Vous pouvez créer ce
fichier en exécutant les commandes suivantes :
net localgroup "LANDesk Management Suite" > "LANDesk Groups.txt"
44
Guide de déploiement Hardware Password Manager
net localgroup "LANDesk Reports" >> "LANDesk Groups.txt"
Remarque : Il est possible que les utilisateurs et groupes de domaine ne s'affichent pas lorsque vous
exécutez ces commandes. Cela signifie que le contrôleur de domaine n'est pas accessible au moment de
l'exécution des commandes (par exemple lorsque le serveur principal est déplacé dans un laboratoire pour
une mise à niveau). En cas de migration vers une nouvelle base de données, de nombreux éléments peuvent
être exportés depuis la base de données existante :
Requêtes
Modules de distribution
Méthodes de livraison
Contrôle de la licence logicielle
Vulnérabilités personnalisées
Statut de correctif (quels sont les correctifs définis sur réparation automatique)
En cas de migration vers une nouvelle base de données, de nombreux éléments ne peuvent pas être
exportés. Réalisez une copie d'écran des configurations de manière à pouvoir les appliquer au nouveau
serveur principal. Parmi ces configurations, citons entre autres :
La configuration d'administration basée sur les rôles pour les utilisateurs LANDesk et pour l'utilisateur
du modèle
Les paramètres de serveur favoris
Les configurations de reconnaissance des périphériques non gérés
Les paramètres de serveur favoris
Les paramètres sous Configurer ➙ Services
Le menu d'amorçage PXE
Les paramètres de sécurité et de correctif
Signalez toute modification personnalisée réalisée sur votre environnement d'exploitation. De nombreuses
entreprises ont réalisé des modifications personnalisées pour des raisons spécifiques à leur environnement
d'exploitation. Dans la plupart des cas, vous seul avez connaissance de ces modifications.
Annexe B. Reprise après incident
45
46
Guide de déploiement Hardware Password Manager
Annexe C. Conseils et astuces
Voici une liste de conseils associés à Hardware Password Manager Version 1.0 :
• Symptôme : Le mode de récupération Bitlocker est déclenché si vous enregistrez votre système dans
Hardware Password Manager tandis que le chiffrement Bitlocker est activé.
Description de l'incident : Si l'utilisateur active le chiffrement BitLocker dans un premier temps, puis qu'il
s'enregistre dans Hardware Password Manager, le fait que les mots de passe du BIOS soient définis
provoquera l'échec du contrôle d'intégrité de BitLocker (les mots de passe du BIOS sont validés dans
PCR1) et le lancement du mode de récupération BitLocker au prochain amorçage.
Solution : Enregistrez-vous dans Hardware Password Manager avant d'activer le chiffrement Bitlocker.
• Symptôme : Les systèmes dont l'enregistrement est annulé hors ligne continuent d'apparaître comme
étant enregistrés dans la console ThinkManagement.
Description de l'incident : Lorsque l'enregistrement d'un système est annulé en désactivant Hardware
Password Manager dans la configuration du BIOS, le serveur Hardware Password Manager n'est pas
informé de l'annulation de l'enregistrement de ce système. Par conséquent, le serveur Hardware
Password Manager continue d'afficher ce système comme étant enregistré. Si l'administrateur met à
jour un paramètre de stratégie ou destine une action distante au système dont l'enregistrement a été
annulé, le statut de cette action restera en attente jusqu'à ce que le système soit de nouveau enregistré
dans Hardware Password Manager. Le fait que des actions distantes destinées à un système restent
en attente pendant longtemps indique que le système peut ne plus être enregistré ou qu'il ne s'est pas
connecté à l'intranet depuis longtemps.
Remarque : Les utilisateurs ne peuvent pas annuler un enregistrement dans la configuration du BIOS à
moins qu'ils n'appartiennent au groupe Techniciens de maintenance ou Administrateurs (étant donné que
le SVP est requis et qu'il n'est communiqué qu'aux techniciens de maintenance et aux administrateurs).
Solution : Si l'utilisateur enregistre de nouveau le système après avoir procédé à l'annulation de
l'enregistrement dans la configuration du BIOS, le serveur se resynchronisera avec le client et affichera
le statut d'enregistrement approprié. Si l'administrateur a supprimé ce système et ne compte plus
l'enregistrer, il peut le supprimer du serveur Hardware Password Manager.
• Symptôme : Si un utilisateur déplace une unité de disque dur d'un système enregistré dans Hardware
Password Manager vers un autre, la connexion utilisateur échouera du fait que le nouveau système ne
connaît pas le mot de passe de ce disque dur.
Description de l'incident : Les unités de disque dur dotées de mots de passe ne peuvent pas être
partagées entre différents systèmes enregistrés. Les mots de passe des disques durs sont gérés de la
façon suivante :
1. Par souci de cohérence entre les ordinateurs de bureau et les ordinateurs portables, tous les mots de
passe de disque dur sont les mêmes au sein d'un système donné (bien que le BIOS d'un ordinateur
portable puisse prendre en charge des mots de passe de disque dur différents au sein d'un même
système).
2. Les mots de passe d'accès au disque dur sont différents pour chaque système (à moins qu'un mot
de passe d'accès au disque dur commun soit défini par le biais d'une stratégie).
3. En supposant que les points 1 et 2 soient vrais, il est impossible de partager une unité de disque dur
entre différents systèmes enregistrés (puisque l'on suppose que le mot de passe d'accès au disque
dur est commun à toutes les unités du système A et que si l'une de ces unités est déplacée vers le
système B, son mot de passe d'accès au disque dur différera de celui qui est stocké dans le coffre).
Solution : Seuls les systèmes peuvent être partagés entre les utilisateurs via la console d'administration
(mais pas les unités de disque dur). Par conséquent, si l'utilisateur veut partager une unité entre 2
systèmes ou plus, la procédure recommandée consiste à supprimer le mot de passe d'accès au disque
© Copyright Lenovo 2010
47
dur sur cette unité (manuellement, par le biais de la configuration du BIOS) ou à supprimer l'unité lors de
l'enregistrement initial de sorte qu'aucun mot de passe d'accès au disque dur n'est défini pour cette unité.
• Symptôme : L'installation du client HPM échoue.
Description de l'incident : Lors de l'installation du client HPM, l'installation échoue avec une erreur de
fichier LTAPI.DLL introuvable lorsque le logiciel de pare-feu est actif.
Solution : Comme indiqué dans le guide d'installation de LANDesk, désactivez la protection antivirus et
les pare-feu lors de l'installation de l'agent du client.
• Symptôme : Lorsque la stratégie Windows Ne pas demander la combinaison de touches
Ctrl+Alt+Suppr est désactivée, la connexion unique de Hardware Password Manager à Windows ne se
produit pas ; l'utilisateur est tenu d'entrer ses données d'identification Windows.
Description de l'incident : La connexion unique à Windows ne fonctionne que si le paramètre de stratégie
Windows qui requiert que l'utilisateur appuie sur Ctrl+Alt+Suppr pour ouvrir une session est activé.
Ce paramètre de sécurité détermine si la sélection de la combinaison de touches Ctrl+Alt+Suppr est
requise avant qu'un utilisateur puisse se connecter. Lorsque cette stratégie est activée sur un ordinateur,
un utilisateur n'a pas besoin d'appuyer sur Ctrl+Alt+Suppr pour se connecter. Si cette stratégie est
désactivée, l'utilisateur doit appuyer sur Ctrl+Alt+Suppr avant de se connecter à Windows (sauf s'il utilise
une carte à puce pour une connexion Windows)
La valeur par défaut sur les ordinateurs d'un domaine est Désactivée. La valeur par défaut sur les
ordinateurs autonomes est Activée.
Solution : Activez la stratégie Windows Ne pas demander la combinaison de touches Ctrl+Alt+Suppr.
• Symptôme : Vous recevez des messages de l'application antivirus au cours de l'installation du client.
Description de l'incident : L'agent du client doit être installé une fois que les logiciels antivirus et de
pare-feu ont été désactivés. Une fois l'installation terminée, ces logiciels peuvent être réactivés. Cette
action est décrite comme une condition préalable à l'installation dans le manuel LANDesk User's Guide.
Solution : Désactivez la protection antivirus et les pare-feu lors de l'installation de l'agent du client.
• Symptôme : Tous les mots de passe d'accès au disque dur sont les mêmes au sein d'un système
Hardware Password Manager enregistré. Toutefois, les mots de passe diffèrent d'un système à l'autre
lorsque la stratégie qui détermine que le serveur Hardware Password Manager génère les mots de passe
est définie (par exemple, des mots de passe d'accès au disque dur non communs).
Description de l'incident : Le serveur Hardware Password Manager génère les mêmes mots de passe
d'accès au disque dur pour tous les disques durs connectés à une même machine au cours de
l'enregistrement (pour être conforme aux fonctionnalités du BIOS des ordinateurs de bureau).
Remarque : Le mot de passe d'accès au disque maître et le mot de passe d'accès au disque utilisateur
peuvent être différents pour une unité de disque dur, mais tous les mots de passe d'accès au disque dur
maître seront identiques et tous les mots de passe d'accès au disque dur utilisateur sont identiques pour
toutes les unités connectées au sein d'un système.
Solution : Aucune
• Symptôme : Lorsque vous modifiez votre mot de passe Windows en un mot de passe vierge après vous
être enregistré dans Hardware Password Manager, l'application client n'identifie pas que l'utilisateur est
enregistré et l'invite à s'enregistrer de nouveau.
Description de l'incident : Les mots de passe vierges provoquent des incidents sous Windows Vista en
raison des limitations de l'implémentation de l'interface CAPI sous Windows Vista. Lorsque cet incident
survient, même si l'utilisateur tente de redéfinir son mot de passe sur une valeur non vierge, la situation
ne se corrige pas d'elle-même (l'utilisateur continue de recevoir un message l'invitant à s'enregistrer).
L'utilisateur doit annuler son enregistrement (par le biais de la configuration du BIOS) puis se réenregistrer.
Solution : Définissez la stratégie Windows de façon à NE PAS autoriser l'utilisation de mots de passe
Windows vierges. Si vous souhaitez vivement autoriser les mots de passe Windows vierges, Vista SP2
contient un correctif qui résout cet incident.
48
Guide de déploiement Hardware Password Manager
• Symptôme : Un utilisateur peut établir une connexion à l'intranet et choisir d'annuler l'enregistrement
(supprimer les mots de passe matériels) d'un système dans lequel il n'est pas enregistré.
Description de l'incident : Lorsqu'un système est enregistré via le processus d'enregistrement en un clic
(seul un compte administrateur d'urgence est créé), l'utilisateur peut établir une connexion à l'intranet et
accéder à l'option Deregister PC. L'idéal serait que cette option ne soit pas visible par défaut étant donné
qu'elle permet l'annulation de l'enregistrement d'un PC sécurisé avant l'enregistrement d'utilisateurs.
Solution : L'administrateur peut désactiver l'option Deregister PC à partir du menu du BIOS en tant
que paramètre de stratégie dans la console d'administration. Cette action empêchera l'utilisateur de
voir l'option Deregister PC.
• Symptôme : Lorsque la stratégie détermine que les données d'identification des comptes matériels et
Windows doivent rester synchronisés, une modification du mot de passe du coffre à partir du menu de
connexion à l'intranet n'est pas détectée par l'application client.
Description de l'incident : Le Portail client ne peut pas mettre à jour le mot de passe Windows en fonction
de modifications apportées au mot de passe du coffre. Cela s'explique par le fait que le Portail client ne
peut pas contrôler de façon précise et sécurisée les modifications apportées au mot de passe du coffre
une fois que Windows a démarré (par exemple, le client peut uniquement détecter si une modification de
mot de passe a eu lieu, mais il n'est pas informé de la nature exacte de cette modification).
Remarque : Si l'utilisateur modifie son mot de passe Windows, l'application client invite l'utilisateur à
mettre à jour son mot de passe du coffre lors de sa prochaine ouverture de session Windows.
Solution : Les administrateurs peuvent empêcher cet incident s'ils désactivent le paramètre de stratégie
de mot de passe Change Hardware Account (paramètre du menu du BIOS).
• Symptôme : Vous recevez le message d'erreur Echec de la génération de clé de chiffrement au cours de
l'enregistrement dans Hardware Password Manager.
Description de l'incident : Les utilisateurs dont le nom d'utilisateur Windows contient un ou plusieurs des
caractères !@#$*() reçoivent un message d'erreur lorsqu'ils tentent de s'enregistrer.
Solution : Modifiez votre nom d'utilisateur de façon à exclure les caractères spéciaux mentionnés
ci-dessus.
• Symptôme : L'assistant d'enregistrement dans Hardware Password Manager n'invite pas l'utilisateur à
entrer un mot de passe Windows si ce dernier est vierge.
Description de l'incident : Etant donné que Hardware Password Manager requiert un mot de passe
Windows pour procéder à un enregistrement, il faut s'attendre à ce que le client Hardware Password
Manager n'invite pas à définir un mot de passe Windows si aucun n'a été défini. Le client HPM n'autorise
pas l'utilisateur à cliquer sur Suivant si sont mot de passe Windows est vierge.
Solution : L'utilisateur doit avoir défini un mot de passe Windows avant de procéder à un enregistrement
dans Hardware Password Manager.
• Symptôme : L'installation de SGE ou SGN échoue si le client Hardware Password Manager est installé.
Description de l'incident : Si vous installez SGN ou SGE sous Windows XP alors que le client Hardware
Password Manager a été installé, une erreur s'affiche indiquant que la fonction GINA de Lenovo est
active et l'installation échoue.
Solution : Désinstallez le client Hardware Password Manager, redémarrez le système, installez SGE ou
SGN, redémarrez à nouveau, puis réinstallez le client.
• Symptôme : Lorsque vous entrez la version du BIOS dans la liste d'exclusion des versions de BIOS
pour le système ThinkCentre, le dernier caractère de la version du BIOS ne peut pas être saisi dans la
zone de saisie sur la console d'administration.
Description de l'incident : L'incident se produit parce que le serveur Hardware Password Manager
prend en charge un maximum de 8 caractères pour la version du BIOS. Les systèmes ThinkCentre
utilisent une version de BIOS à 9 caractères. Cela ne devrait pas poser de problème étant donné qu'une
Annexe C. Conseils et astuces
49
correspondance exacte n'est pas requise (la correspondance porte sur les 8 premiers caractères et ne
tient pas compte du 9ème caractère).
Solution : Aucune
• Symptôme : Un message d'erreur indiquant que le fichier PSI.DLL est manquant s'affiche.
Description de l'incident : Le message d'erreur indiquant que le fichier PSI.DLL est manquant s'affiche si
l'agent du client n'a pas été installé correctement.
Solution : Désinstallez l'agent du client, redémarrez le système, réinstallez l'agent du client. Assurez-vous
que la case à cocher Hardware Password Manager est sélectionnée lorsque vous installez l'agent du
client si vous souhaitez utiliser Hardware Password Manager sur ce système).
• Symptôme : Vous pouvez créer deux comptes matériel associés à un seul compte Windows.
Description de l'incident : Cet incident se produit lors de la restauration d'un système à partir d'une
sauvegarde qui a été effectuée avant l'enregistrement dans Hardware Password Manager. Lors de
l'enregistrement dans Hardware Password Manager, les données d'identification Windows de l'utilisateur
sont stockées dans un stockage sécurisé au sein du fichier de clés CAPI Windows. En outre, l'association
entre les données d'identification Windows et le compte intranet est conservée.
Lors de la restauration d'un système à un stade antérieur à l'enregistrement de l'utilisateur dans Hardware
Password Manager, le fichier de clés CAPI peut être perdu (étant donné qu'il est stocké dans le registre
Windows), ce qui signifie que les données d'identification Windows et les associations avec le compte
intranet sont perdues même si le système est effectivement enregistré. Dans ce cas, l'application client
continue à vous inviter à vous enregistrer (si la stratégie le requiert). Par ailleurs, si vous essayez de vous
enregistrer et que vous spécifiez le même compte intranet que celui que vous avez utilisé précédemment
pour vous enregistrer, l'application client échouera en indiquant que vous vous êtes déjà enregistré. Si
vous vous enregistrez de nouveau en utilisant un compte intranet différent, l'application client permet au
processus d'enregistrement d'aboutir, mais vous avez désormais deux comptes matériels associés au
même compte Windows (ce qui n'est pas recommandé).
Solution : Pour empêcher cet incident, assurez-vous que votre sauvegarde a été effectuée après
l'enregistrement du système dans Hardware Password Manager (en utilisant Rescue and Recovery ou
tout autre outil de sauvegarde qui effectue une sauvegarde complète du disque, par exemple).
Si vous avez déjà restauré votre système (et si, par exemple, vous avez perdu votre fichier de clés CAPI),
annulez votre enregistrement et réenregistrez-vous dans Hardware Password Manager.
• Symptôme : Lors de l'enregistrement dans Hardware Password Manager, si la connectivité réseau est
perdue au cours de l'opération d'interruption/reprise et que l'utilisateur se déconnecte avant la reprise
de la connectivité réseau, l'application réseau termine le processus d'enregistrement normalement.
Toutefois, le serveur Hardware Password Manager indique que l'enregistrement du PC a échoué.
Description de l'incident : L'incident se produit du fait que l'application client est incapable de signaler au
serveur Hardware Password Manager que l'enregistrement s'est terminé correctement.
Solution : Annulez l'enregistrement et réenregistrez-vous dans Hardware Password Manager.
• Symptôme : Un périphérique qui a été enregistré dans Hardware Password Manager, dont les mots de
passe matériels ont été définis, sont supprimés de la vue des périphériques Hardware Password Manager
sous Computers.
Description de l'incident : Dans ce cas, le périphérique peut rester connecté avec le compte matériel qui a
été créé lors de l'enregistrement. Toutefois, le périphérique ne peut pas être géré ou enregistré à nouveau
avec HPM jusqu'à ce que les mots de passe soient effacés. Solution : Dans la console, sous Network
View ➙ Hardware Password Manager devices ➙ Computers view, faites un clic droit sur Computers
et cliquez sur View all. Les ordinateurs supprimés précédemment à partir de la console s'affichent.
Obtenez les mots de passe matériels ou le mot de passe administrateur d'urgence pour le périphérique en
question et utilisez ces données d'identification pour démarrer l'ordinateur dans l'utilitaire de configuration
du BIOS. Sélectionnez Security, puis Password. Désactivez Hardware Password Manager. Tous les mots
de passe matériels seront effacés. Activez immédiatement Hardware Password Manager et appuyez sur la
touche F10 pour enregistrer et quitter cette fenêtre. Après un nouveau démarrage de Windows, le portail
50
Guide de déploiement Hardware Password Manager
client Hardware Password Manager demande à nouveau l'enregistrement automatique du périphérique si
cette stratégie est définie. A présent le périphérique peut être enregistré à nouveau si besion.
• Symptôme : Réception du message Compte matériel inexistant lors de la mise à jour de votre mot de
passe Windows.
Description de l'incident : Cet incident se produit dans les conditions suivantes :
1. La stratégie du serveur est définie de façon à ce que les comptes Windows et matériels ne soient
pas synchronisés.
2. L'utilisateur s'enregistre avec un nom de compte matériel qui est différent de son nom d'utilisateur
Windows.
3. L'administrateur de systèmes informatiques modifie la stratégie du serveur de façon à imposer la
synchronisation des comptes Windows et matériels.
4. L'utilisateur modifie son mot de passe Windows ultérieurement.
5. La prochaine fois que l'utilisateur ouvre une session Windows, l'application client notifie l'utilisateur
que son compte matériel doit être mis à jour de façon à refléter son nouveau mot de passe Windows.
6. L'utilisateur est invité à saisir ses données d'identification pour accéder à l'intranet afin de
s'authentifier auprès de Active Directory avant de mettre à jour le compte matériel.
7. L'application client affiche un message indiquant que le compte matériel n'existe pas. Cela s'explique
du fait que le nom d'utilisateur Windows de l'utilisateur ne correspond pas au nom du compte
matériel (le paramètre de stratégie en cours requiert qu'ils correspondent).
Solution : Si cet incident se produit, il est recommandé d'annuler son enregistrement et de s'enregistrer
à nouveau dans Hardware Password Manager.
Pour empêcher cet incident, l'administrateur de systèmes informatiques doit décider quel paramètre de
stratégie choisir pour la synchronisation entre les données d'identification Windows et des comptes
intranet et s'y tenir (ne pas la modifier après que des utilisateurs se sont enregistrés).
• Symptôme : Aucune information ne figure dans les fichiers d'aide concernant l'extension de la prise en
charge sans fil dans le BIOS.
Description de l'incident :Hardware Password Manager prend en charge toutes les fonctions Windows
par le biais de connexions sans fil, par exemple, l'enregistrement, le renouvellement et la restauration du
coffre, et l'exécution d'actions distantes. Cependant, le BIOS ne prend pas en charge les connexions
réseau sans fil. Ainsi, l'ordinateur doit être doté d'une connexion réseau filaire pour toutes les fonctions
BIOS qui nécessitent une connexion réseau, telles que Intranet Login (qui n'est nécessaire que si
l'utilisateur a oublié ses données d'identification).
Solution : L'utilisateur doit utiliser une connexion réseau filaire lorsqu'il effectue une connexion à l'intranet
à partir du BIOS.
• Symptôme : Réception du message Nom d'utilisateur ou mot de passe incorrect lorsque le nom
d'utilisateur et/ou le mot de passe pour l'accès à l'intranet sont corrects et d'une longueur supérieure
à 63 caractères.
Description de l'incident : Le BIOS autorise la saisie d'un nom d'utilisateur et d'un mot de passe d'un
maximum de 64 octets (caractère de terminaison NULL compris) lors d'une connexion à l'intranet
(63 caractères chacun pour le nom d'utilisateur et le mot de passe, par exemple). L'application client doit
donc appliquer la même restriction par souci de cohérence.
Solution : Définissez la stratégie Active Directory de façon à limiter les noms d'utilisateur et les mots de
passe d'accès à l'intranet à une longueur maximale de 63 caractères.
• Symptôme : L'application client Hardware Password Manager vous invite à vous enregistrer même si
l'utilisateur s'est déjà enregistré.
Description de l'incident : Si un utilisateur de domaine est configuré avec une adresse de serveur DNS
codée en dur (qui n'est pas détectée automatiquement) et que la stratégie Hardware Password Manager
est définie sur la synchronisation des données de connexion utilisateur et Windows, l'application client
Annexe C. Conseils et astuces
51
Hardware Password Manager peut ne pas reconnaître que l'utilisateur a déjà été enregistré si son mot de
passe d'accès au compte de domaines a été modifié ou réinitialisé par l'administrateur.
Solution : Annulez l'enregistrement du système (soit via la configuration du BIOS, soit via le menu Intranet
Login du BIOS), puis procédez de nouveau l'enregistrement.
• Symptôme : Suite à une restauration réalisée à partir d'une sauvegarde effectuée avant l'installation de
l'application client Hardware Password Manager, l'utilisateur est incapable de se réenregistrer auprès du
serveur Hardware Password Manager ; l'utilisateur reçoit un message indiquant une erreur interne.
Description de l'incident : Si l'utilisateur s'est enregistré dans Hardware Password Manager, puis qu'il
procède à une restauration à partir d'une sauvegarde réalisée alors que l'application client Hardware
Password Manager n'avait pas été installée, le système se retrouve dans un état où le BIOS considère
que le système est enregistré (le coffre sécurisé est alloué et les mots de passe matériels sont définis),
mais l'application client n'est plus installée.
Solution : Annulez l'enregistrement du système (soit via la configuration du BIOS, soit via le menu Intranet
Login du BIOS), puis procédez de nouveau l'enregistrement.
• Symptôme :Hardware Password ManagerEchec de la connexion à lorsqu'un serveur Novell (LDAP) est
utilisé. Cela peut se produire chaque fois que les données d'identification pour accéder au compte
intranet sont requises, par exemple, lors d'un enregistrement, d'un renouvellement ou d'une connexion à
l'intranet à l'invite du BIOS.
Description de l'incident : Vous ne pouvez pas vous connecter en utilisant des caractères spéciaux tels
que = (signe égal) et . (point). Cela peut se produit dans les scénarios suivants :
– Si les options/connexions/restrictions de liaison LDAP sont définies sur Aucune et si le format du nom
d'utilisateur est user1.novell
– Si les options/connexions/restrictions de liaison LDAP sont définies sur Disallow anonymous simple
bind et si le format du nom d'utilisateur est cn=user1, o=novell
Solution : - N/A
52
Guide de déploiement Hardware Password Manager
Annexe D. Remarques
Le présent document peut contenir des informations ou des références concernant certains produits,
logiciels ou services Lenovo non annoncés dans ce pays. Pour plus de détails, référez-vous aux documents
d'annonce disponibles dans votre pays, ou adressez-vous à votre partenaire commercial Lenovo. Toute
référence à un produit, logiciel ou service Lenovo n'implique pas que seul ce produit, logiciel ou service
puisse être utilisé. Tout autre élément fonctionnellement équivalent peut être utilisé, s'il n'enfreint aucun
droit de Lenovo. Il est de la responsabilité de l'utilisateur d'évaluer et de vérifier lui-même les installations et
applications réalisées avec des produits, logiciels ou services non expressément référencés par Lenovo.
Lenovo peut détenir des brevets ou des demandes de brevet couvrant les produits mentionnés dans le
présent document. La remise de ce document ne vous donne aucun droit de licence sur ces brevets ou
demandes de brevet. Si vous désirez recevoir des informations concernant l'acquisition de licences, veuillez
en faire la demande par écrit à l'adresse suivante :
Lenovo (United States), Inc.
1009 Think Place - Building One
Morrisville, NC 27560
U.S.A.
Attention: Lenovo Director of Licensing
LE PRESENT DOCUMENT EST LIVRE «EN L'ETAT». LENOVO DECLINE TOUTE RESPONSABILITE,
EXPLICITE OU IMPLICITE, RELATIVE AUX INFORMATIONS QUI Y SONT CONTENUES, Y COMPRIS EN
CE QUI CONCERNE LES GARANTIES DE NON-CONTREFACON ET D'APTITUDE A L'EXECUTION D'UN
TRAVAIL DONNE. Certaines juridictions n'autorisent pas l'exclusion des garanties implicites, auquel cas
l'exclusion ci-dessus ne vous sera pas applicable.
Le présent document peut contenir des inexactitudes ou des coquilles. Il est mis à jour périodiquement.
Chaque nouvelle édition inclut les mises à jour. Lenovo peut modifier sans préavis les produits et logiciels
décrits dans ce document.
Les produits décrits dans ce document ne sont pas conçus pour être implantés ou utilisés dans un
environnement où un dysfonctionnement pourrait entraîner des dommages corporels ou le décès de
personnes. Les informations contenues dans ce document n'affectent ni ne modifient les garanties ou les
spécifications des produits Lenovo. Rien dans ce document ne doit être considéré comme une licence
ou une garantie explicite ou implicite en matière de droits de propriété intellectuelle de Lenovo ou de
tiers. Toutes les informations contenues dans ce document ont été obtenues dans des environnements
spécifiques et sont présentées en tant qu'illustration. Les résultats peuvent varier selon l'environnement
d'exploitation utilisé.
Lenovo pourra utiliser ou diffuser, de toute manière qu'elle jugera appropriée et sans aucune obligation de sa
part, tout ou partie des informations qui lui seront fournies.
Les références à des sites Web non Lenovo sont fournies à titre d'information uniquement et n'impliquent en
aucun cas une adhésion aux données qu'ils contiennent. Les éléments figurant sur ces sites Web ne font pas
partie des éléments du présent produit Lenovo et l'utilisation de ces sites relève de votre seule responsabilité.
Les données de performance indiquées dans ce document ont été déterminées dans un environnement
contrôlé. Par conséquent, les résultats peuvent varier de manière significative selon l'environnement
d'exploitation utilisé. Certaines mesures évaluées sur des systèmes en cours de développement ne sont
pas garanties sur tous les systèmes disponibles. En outre, elles peuvent résulter d'extrapolations. Les
résultats peuvent donc varier. Il incombe aux utilisateurs de ce document de vérifier si ces données sont
applicables à leur environnement d'exploitation.
© Copyright Lenovo 2010
53
Marques
Les termes qui suivent sont des marques de Lenovo aux Etats-Unis et/ou dans certains autres pays :
Access Connections
Lenovo
ThinkVantage
ThinkPad
Les termes qui suivent sont des marques d'International Business Machines Corporation aux Etats-Unis
et/ou dans certains autres pays :
IBM
Lotus
Lotus Notes
Intel est une marque d'Intel Corporation aux Etats-Unis et/ou dans certains autres pays.
Microsoft et Windows 2000, Windows XP et Windows Vista sont des marques de Microsoft Corporation
aux Etats-Unis et/ou dans certains autres pays.
Les autres noms de sociétés, de produits et de services peuvent appartenir à des tiers.
54
Guide de déploiement Hardware Password Manager
Numéro de page :
Printed in USA
(1P) P/N:
**
">