Cambios en la autenticación básica HTTP de iDRAC

Cuando se accede a un recurso de Redfish desde un cliente genérico y no se proporciona autenticación en la solicitud original (por ejemplo, navegadores web), se muestra el siguiente error y no aparecen solicitudes automáticas de credenciales. 

  {
    "error": {
        "code": "Base.1.8.GeneralError",
        "message": "A general error has occurred. See ExtendedInfo for more information.",
        "@Message.ExtendedInfo": [
        {
            "@odata.type": "#Message.v1_1_0.Message",
            "MessageId": "Base.1.8.AccessDenied",
            "Message": "The authentication credentials included with this request are missing or invalid.",
            "MessageArgs": [],
            "MessageArgs@odata.count": 0,
            "RelatedProperties":[],
            "RelatedProperties@odata.count": 0,
            "Severity": "Critical",
            "Resolution": "Attempt to ensure that the URI is correct and that the service has the appropriate credentials."
        }
        ]
    }
}

Nuevo comportamiento 

HTTPBasicAuth Valor predeterminado establecido en No anunciado. Si la solicitud HTTP inicial se envía sin un encabezado de autenticación, el servicio no anuncia la autenticación básica en el encabezado de respuesta WWW-Authenticate. Esto evita los avisos automáticos o el acceso de clientes genéricos (por ejemplo, navegadores).

< HTTP/1.1 401 Unauthorized
< Date: Mon, 09 Mar 2026 17:21:26 GMT
< Server: Apache

Comportamiento heredado 

La variable HTTPBasicAuth Valor predeterminado establecido en Habilitado. Si la solicitud HTTP inicial se envía sin un encabezado de autenticación, el servicio anuncia la autenticación básica en el encabezado de respuesta WWW-Authenticate. Esto permite el acceso o solicitudes automáticos por parte de clientes genéricos (por ejemplo, navegadores).

< HTTP/1.1 401 Unauthorized
< Date: Mon, 09 Mar 2026 17:21:57 GMT
< Server: Apache
< WWW-Authenticate: Basic realm="RedfishService"

A partir de iDRAC9 7.30.10.50 e iDRAC10 1.30.10.50 , la configuración predeterminada de autenticación básica de HTTP cambió a no anunciada (configuración predeterminada anterior está activada). Estos cambios se realizaron para mejorar la seguridad de las credenciales y reducir la exposición no intencional de la autenticación básica de HTTP en los servicios de Redfish.

Se introdujo un nuevo control configurable para el manejo de autenticación básica HTTP en el nombre de propiedad DMTF de Redfish AccountService HTTPBasicAuth. Esta nueva propiedad admite tres valores posibles:

No se anuncia (nueva configuración predeterminada):

- El servicio no anuncia básico en el encabezado de respuesta WWW-Authenticate, esto evita las indicaciones automáticas o el acceso de clientes genéricos (por ejemplo, navegadores).

Habilitado: 

- La autenticación básica HTTP está habilitada y se anuncia explícitamente mediante el encabezado básico WWW-Authenticate: en las respuestas no autorizadas 401.

Deshabilitado:

- La autenticación básica de HTTP está completamente deshabilitada para el servicio Redfish; se requieren otros métodos, como la sesión de token X-auth (recomendado) para realizar operaciones de Redfish. 

Los ajustes básicos de autenticación de HTTP se pueden configurar desde las interfaces de Redfish, la interfaz de usuario web y RACADM iDRAC. 

Redfish: 

-	PATCH DMTF property HTTPBasicAuth under AccountService
-	PATCH OEM attribute Redfish.BasicAuthState under DellAttributes

RACADM:

-	Set OEM attribute iDRAC.Redfish.BasicAuthState

GUI:

-	iDRAC Settings -> Services -> Redfish -> HTTP Basic Authentication 

Cuando BasicAuthState se establece en Unadvertised, los clientes deben ser explícitos en el envío de encabezados de autenticación en la solicitud inicial. Por ejemplo, el módulo ansible.builtin.uri debe especificar el force_basic_auth: true para enviar un encabezado de autenticación básica en la primera solicitud.