Dell Command | Veilige BIOS-configuratie - SaaS-aanbieding via Microsoft Azure Marketplace

Betreffende producten:

• Ondersteunt Dell Command Secure BIOS Configuration.
• Zakelijke clientapparaten van Dell (laptops, desktops, workstations)

Inhoudsopgave:

• Inleiding
• Implementatiemodel: door klant gehost op Azure
• DCSBC Cloud versus DCSBC On-Premise (DCC)
• Infrastructure as Code (Terraform)
• Vereisten
• Aan de slag: toegang tot de DCSBC Cloud Portal
• BIOS-beleid maken
  • Workflow voor authenticatiebeleid
  • Beleidsworkflow voor BIOS-instellingen
  • Beleidsworkflow voor deprovisioning
• Certificaatvereisten en uploaden
• Beleidsregels publiceren naar Microsoft Intune
• Beveiligingscontroles
• Veelgestelde vragen

Inleiding

Beheerbaarheidsinterfaces zijn afhankelijk van open interfaces of opdrachten met wachtwoordverificatie. Wachtwoordverificatie is kwetsbaar voor brute-force- of woordenboekaanvallen en daarom minder veilig in vergelijking met verificatie op basis van sleutels. Er is een beter geverifieerde beheerbaarheidsinterface nodig om de integriteit en vertrouwelijkheid van de data en opdrachten te beschermen. Dell Command | Secure BIOS Configuration (DCSBC) is een manier om af te stappen van het verifiëren van DACI-opdrachten met BIOS-wachtwoorden. DCSBC biedt betrouwbare communicatie door een interface te creëren die gebruikmaakt van PKI-verificatiemechanismen (Public Key Infrastructure) en versleutelde kanalen om berichten tussen het platform en een client door te geven. Deze aanpak biedt zowel integriteit als vertrouwelijkheid om klantdata te beschermen.
DCSBC Cloud breidt deze mogelijkheid uit naar een in de cloud gehost SaaS-model dat is geïmplementeerd in het eigen Azure-abonnement van de klant. In plaats van een DCSBC server op locatie te installeren en te onderhouden met Dell Command | Met Configure (DCC) openen IT-beheerders een webgebaseerde portal die wordt gehost in hun eigen Azure-omgeving. De gehele infrastructuur wordt automatisch ingericht via Terraform (Infrastructure as Code). Beleidsregels worden gemaakt via een begeleide, stapsgewijze webportal en rechtstreeks gepubliceerd naar Microsoft Intune, zonder lokale serverinstallatie, zonder generatie van Self-Contained Executable (SCE) en zonder installatie van een eindpuntagent.

Belangrijkste voordelen van DCSBC Cloud:

• De klant is eigenaar van zijn data -Alle infrastructuur wordt uitgevoerd in het Azure-abonnement van de klant. BIOS-beleid, cryptografische sleutels, configuratiedata en auditlogboeken blijven volledig eigendom en beheer van de klant. Dell heeft geen toegang tot klantgegevens.
• Datasoevereiniteit en naleving - Klanten kiezen de Azure-regio voor implementatie, zodat aan de vereisten voor datalocatie wordt voldaan. Alle data blijven binnen de geselecteerde regio.
• Infrastructure as Code - De volledige oplossing wordt geleverd via Terraform, waardoor herhaalbare, controleerbare en versiebeheerde infrastructuurimplementaties worden geboden.
• Geen on-premise infrastructuur - Maakt het installeren en onderhouden van een DCSBC-server overbodig met Dell Command | Configureren.
• Webgebaseerd beleidsbeheer - Maak en beheer BIOS-beleid vanuit elke browser met behulp van een intuïtieve stap-voor-stap wizard.
• Native Intune-integratie - Beleidsregels worden met één klik rechtstreeks naar Microsoft Intune gepubliceerd als Win32 LOB-apps.
• Agentloze implementatie - Geen agent vereist op eindpunten. Het geïmplementeerde pakket is op zichzelf staand.
• Door Azure beheerde HSM-ondertekening - Alle BIOS-payloads worden cryptografisch ondertekend met behulp van Azure Managed HSM (RS384), zodat alleen geautoriseerde wijzigingen apparaten bereiken.
• Zero-trust architectuur - Er bestaat alleen vertrouwen tussen de BIOS en de DCSBC Cloud-service; Er is geen vertrouwensrelatie vereist op de client/het eindpunt.
• Geïntegreerde preventie van replay-aanvallen - Elke BIOS-sessie maakt gebruik van unieke cryptografische nonces en kortstondige sleuteluitwisselingen, zodat eerder vastgelegde payloads niet opnieuw kunnen worden gebruikt of opnieuw kunnen worden afgespeeld op apparaten.
• Cryptografisch apparaatgebonden payloads - Payloads voor BIOS-configuratie zijn cryptografisch gebonden aan elk afzonderlijk apparaat tijdens het instellen van de sessie, waardoor payloads die bedoeld zijn voor het ene apparaat niet op een ander kunnen worden toegepast.

Terug naar boven

Implementatiemodel: door klant gehost op Azure

In tegenstelling tot traditionele SaaS-aanbiedingen waarbij de leverancier de infrastructuur host, wordt DCSBC Cloud geïmplementeerd in het eigen Microsoft Azure-abonnement van de klant. Deze architectuur biedt een aantal belangrijke voordelen:

• Eigendom van en beheer van data: Alle Azure-resources - rekenkracht, storage, database, HSM, netwerken - zijn ingericht binnen de Azure-tenant en het abonnement van de klant. BIOS-beleidsconfiguraties, cryptografische ondertekeningssleutels, sessiedata en auditlogs worden opgeslagen in de eigen Azure SQL Database, Azure Key Vault/Managed HSM en Azure Storage Account van de klant. Dell Technologies heeft geen toegang tot de data, sleutels of infrastructuur van de klant. De klant behoudt de volledige administratieve controle.
• Datasoevereiniteit en naleving: De klant selecteert de Azure-regio voor implementatie (bijv. VS - oost 2, Europa - west, Australië - oost). Alle resources zijn ingericht binnen die ene regio.
  Storage maakt standaard gebruik van lokaal redundante storage (LRS), zodat data de geselecteerde regio niet verlaten. Dit kan naar wens van de klant worden geconfigureerd naar Geo-Redundant Storage (GRS) of Zone-Redundant Storage (ZRS). Het door de klant gehoste model ondersteunt naleving van de regelgeving voor datalocatie (AVG, wetgeving inzake datasoevereiniteit, branchespecifieke mandaten), aangezien de klant bepaalt waar data worden opgeslagen.
• Isolatie van tenants: Elke klant krijgt een volledig geïsoleerde implementatie: eigen resourcegroep, virtueel netwerk, subnetten, databases, sleutelkluizen en alle andere resources. Netwerkisolatie wordt afgedwongen via privé-eindpunten, netwerkbeveiligingsgroepen en Azure Firewall.
• Transparantie van kosten: Alle Azure-resourcekosten worden weergegeven in de eigen Azure-facturering van de klant, waardoor volledig inzicht in de infrastructuuruitgaven wordt geboden. De klant kan gebruikmaken van bestaande Azure-verplichtingen (MACC - Microsoft Azure Consumption Commitment) en gereserveerde instanties.

Terug naar boven

DCSBC Cloud versus DCSBC On-Premise (DCC)

Opmerking:
Beide oplossingen delen hetzelfde onderliggende protocol op BIOS-niveau, inclusief sessiegebaseerde opdrachten met Diffie-Hellman-sleuteluitwisseling, nonce-gebaseerde replay-beveiliging en PKI-authenticatie. Beleidsregels die met beide oplossingen zijn gemaakt, zijn compatibel met dezelfde Dell commerciële client-BIOS-implementaties.

Terug naar boven

Infrastructure as Code (Terraform)

De volledige DCSBC-cloudinfrastructuur wordt ingericht met behulp van Terraform (HashiCorp) en biedt herhaalbare, controleerbare en versiegestuurde implementaties. De Terraform-configuratie is modulair en geparametriseerd, zodat elke implementatie van de klant kan worden aangepast aan hun Azure-regio, naamgevingsconventies en schaalvereisten.
Overzicht van Terraform-configuratie:

• Terraform-versie: >= 1,3,0
• AzureRM-provider: ~> 4.37.0
• Statusbeheer: Externe status opgeslagen in Azure Storage-account (Azure AD-verificatie)
• Ingerichte Azure-resources: De volgende resources worden automatisch ingericht in het Azure-abonnement van de klant:

Terug naar boven

Vereisten

Voordat u DCSBC Cloud gebruikt, moet u ervoor zorgen dat aan de volgende vereisten is voldaan:

• Microsoft Azure-abonnement: een actief Azure-abonnement met een Azure Entra ID (Azure AD)-tenant.
• Microsoft Intune : een actieve Microsoft Intune-omgeving die is geconfigureerd voor apparaatbeheer.
• Commerciële clientapparaten van Dell - De doelapparaten moeten commerciële laptops, desktops of workstations van Dell zijn met een DCSBC-compatibel BIOS die zijn ingeschreven bij Microsoft Intune.
• Azure Managed HSM of Azure Key Vault : een Azure Managed HSM- of Key Vault-instantie die is ingericht met RSA-HSM-sleutels die overeenkomen met de certificaten die worden gebruikt voor BIOS-verificatie. De persoonlijke sleutel moet zich in de HSM bevinden; alleen het openbare certificaat (.pem) wordt geüpload naar de DCSBC Cloud-portal.
• X.509-certificaten - RSA-certificaten die voldoen aan de volgende vereisten:
  • Toetslengte: 3072-bits RSA (precies)
  • Indeling: PEM (bestandsextensie .pem)
  • Versie: X.509 v3
  • Bestandsgrootte: Maximaal 8 KB
  • Algoritme: RSA (OID 1.2.840.113549.1.1.1)
• Ondersteunde browser - Een moderne webbrowser (Microsoft Edge, Google Chrome, Mozilla Firefox).

Terug naar boven

Aan de slag: toegang tot de DCSBC Cloud Portal

• Abonneren - Koop Dell Command | Veilige BIOS-configuratiecloud via de Microsoft Azure Marketplace.
• Aanmelden : ga naar de URL van de DCSBC Cloud Portal die u bij het abonnement hebt opgegeven. Meld u aan met uw Microsoft Entra ID (Azure AD)-referenties. De portal maakt gebruik van Microsoft Authentication Library (MSAL) voor eenmalige aanmelding.
• Landingspagina : na authenticatie wordt u doorgeleid naar het dashboard met BIOS-beleid. Vanaf hier kunt u:
  • Bestaand BIOS-beleid weergeven dat is gepubliceerd naar uw Intune-tenant
  • Een nieuw beleid maken met behulp van de stapsgewijs webportal

Terug naar boven

BIOS-beleid maken

Klik op de pagina BIOS-beleid op Een nieuw beleid maken. U ziet drie beleidstypen:

Selecteer een beleidstype om de begeleide wizard te starten. Deze beleidsregels worden rechtstreeks vanuit Intune geïmplementeerd op uw eindpunten zonder dat u eindpuntagents hoeft te installeren.

Opmerking:

Op elk gewenst moment kan slechts één provisioningsleutel op een clientcomputer worden ingericht.

Opmerking:

Er kunnen maximaal zeven opdrachttoetsen tegelijk op een clientcomputer worden ingericht.

Workflow voor authenticatiebeleid

De wizard Verificatiebeleid bestaat uit 3 stappen:

Stap 1 -- Geef uw beleid een naam

• Voer een beleidsnaam in (verplicht, maximaal 488 tekens). Er worden automatisch een voorvoegsel AUTH_ en een achtervoegsel met tijdstempel _DD.MM.YY_HH:mm_UTC toegevoegd.
• Voer een optionele omschrijving in (max. 1000 tekens).
• Bekijk de volledige beleidsnaam (inclusief voorvoegsel en achtervoegsel, maximaal 512 tekens) voordat u verdergaat.
• Dubbele beleidsnamen worden automatisch gedetecteerd door te controleren met bestaande gepubliceerde beleidsregels in Intune.

Stap 2 -- BIOS-beveiliging beheren (certificaat uploaden)

• Upload maximaal 3 certificaten in totaal:
  • 1 Provisioningcertificaat (vereist): wordt gebruikt voor het verifiëren van beveiligde connectiviteit voor provisioningbewerkingen.
  • Maximaal 2 opdrachtcertificaten - worden gebruikt om payloads voor wijzigingen in de BIOS-configuratie te ondertekenen.
• Selecteer voor elk certificaat: 
  • Soort: Provisioning of opdracht
  • Beleidsmaatregelen: Toevoegen (een nieuwe sleutel inrichten)
• Certificaten worden client-side gevalideerd (zie Certificaatvereisten en uploaden).
• De knop Volgende wordt ingeschakeld wanneer:
  • Er wordt een inrichtingscertificaat geüpload
  • 1 Opdrachtcertificaat is geüpload

Stap 3 -- Controleren en publiceren

• Controleer de naam, beschrijving en het type van het beleid.
• Klik op Publiceren om het beleid te publiceren naar Microsoft Intune (zie Beleidsregels publiceren naar Microsoft Intune).

Terug naar boven

Beleidsworkflow voor BIOS-instellingen

De wizard BIOS-instellingenbeleid bestaat uit 4 of 5 stappen (afhankelijk van of er bestaand BIOS-beleid bestaat in Intune):

Stap 1 -- Kopieer en bewerk of begin helemaal opnieuw (voorwaardelijk, wordt alleen weergegeven als er bestaand beleid bestaat)

• Een leeg beleidsbestand starten: begin met een lege configuratie.
• Kopieer en bewerk -- Kopieer BIOS-kenmerkwaarden van een bestaand gepubliceerd beleid en wijzig ze. Een modaal toont een doorzoekbare, sorteerbare, gepagineerde lijst met bestaande BIOS-beleidsregels.

Stap 2 -- Geef uw beleid een naam

• Zelfde als Authentication Policy, maar met het voorvoegsel BIOS_.

Stap 3 -- Kies BIOS-kenmerken en -waarden

• Een tabel toont alle beschikbare BIOS-kenmerken uit het Dell kenmerkregister.
• Zoek naar kenmerken op naam, filter op categorie en schakel om alleen geselecteerde kenmerken weer te geven.
• Selecteer een kenmerk door op het bijbehorende selectievakje te klikken en configureer vervolgens de waarde:
  • Enum-kenmerken (bijv. SecureBoot, WakeOnLan) -- Maak een selectie uit een vervolgkeuzelijst met toegestane waarden.
  • Gehele getkenmerken: ( bijv. AutoOnHr, CustomChargeStart) -- Voer een getal in binnen het min-maxbereik.
  • Tekenreekskenmerken (bijv. AssetTag) -- Voer tekst in van maximaal 80 tekens.
  • Aangepaste functies (bijv. AutoOn-planning, configuratie van batterijlading, kleur toetsenbordverlichting) -- Klik op "View/Change" om een speciaal configuratiemodaal te openen.
• Een deelvenster Codevoorbeeld toont een live voorbeeld van de geselecteerde configuratie in CCTK-indeling:

[cctk]

SecureBoot=Enabled

WakeOnLan=LanOnly

AutoOn=SelectDays

AutoOnMon=Enabled

AutoOnTue=Enabled

• De knop Volgende wordt uitgeschakeld als er geen kenmerken zijn geselecteerd of als een geselecteerd kenmerk een ongeldige waarde heeft.

Stap 4 -- BIOS-beveiliging beheren

• Upload hetzelfde opdrachtcertificaat dat is gebruikt voor het verificatiebeleid.
• Er is één opdrachtcertificaat vereist om verder te gaan.

Stap 5 -- Controleren en publiceren

• Controleer en publiceer naar Microsoft Intune.

Terug naar boven

Beleidsworkflow voor deprovisioning

De wizard Inrichtingsbeleid verwijderen bestaat uit 3 stappen:

Stap 1 -- Geef uw beleid een naam

• Hetzelfde als andere beleidsregels, met het voorvoegsel DPRV_.

Stap 2 -- BIOS-beveiliging beheren

• Upload hetzelfde inrichtingscertificaat dat is gebruikt voor het verificatiebeleid.
• Er is één Provisioning-certificaat vereist.
• Opmerking: Verlopen certificaten zijn toegestaan voor het ongedaan maken van inrichtingsbewerkingen, omdat het doel is om inrichting van apparaten te verwijderen.

Stap 3 -- Controleren en publiceren

• Beoordelen en publiceren. Het inrichtingsbeleid maakt gebruik van een Clear DACI-bewerking om alle ingerichte sleutels van de doelapparaten te verwijderen.

Terug naar boven

Certificaatvereisten en uploaden

DCSBC Cloud vereist X.509-certificaten in PEM-indeling voor het ondertekenen van BIOS-payloads. De persoonlijke sleutel moet worden opgeslagen in Azure Managed HSM of Azure Premium Key Vault; alleen het openbare certificaat wordt geüpload naar de DCSBC-portal.

Regels voor certificaatvalidatie:

Validatie wordt client-side uitgevoerd. Nadat een certificaat is geüpload, geeft de portal het volgende weer:

• Validatiestatusbadge (geslaagd / mislukt)
• Uitgegeven op datum
• Geldig tot datum (rood weergegeven indien verlopen)
• Details uitgever: Algemene naam (CN), Organisatie-eenheid (OU), Organisatie (O), Locatie (L)

Foutberichten

• "Upload een geldig .pem-bestand." -- Bestand is niet in PEM-indeling of heeft een verkeerde extensie.
• "Bestandsnaam bevat ongeldige tekens." -- Bestandsnaam bevat spaties of speciale tekens.
• "Maximale bestandsgrootte is 8 KB" -- Bestand overschrijdt de limiet van 8 KB.
• "Dit bestand is ongeldig, beschadigd of leeg. Selecteer een ander bestand met een geldig x509-certificaat en probeer het opnieuw." --Certificaat kan niet worden geparseerd of voldoet niet aan X.509 v3 / RSA / 3072-bits validatie.
• "Dit certificaat kan niet worden gebruikt." -- Certificaat is verlopen en de beleidsactie is "Add".

Terug naar boven

Beleidsregels publiceren naar Microsoft Intune

Nadat u de beleidswizard hebt voltooid, klikt u op de knop Publiceren in de stap Controleren en publiceren. De portal voert een geautomatiseerde publicatiepijplijn in 11 fasen uit:

Een voortgangsbalk en een gedetailleerde fasetracker geven de realtime publicatiestatus aan. Na succesvolle voltooiing:

• Het bericht 'Het beleid {policyName} is gepubliceerd naar Intune en is binnen enkele minuten beschikbaar' wordt weergegeven.
• Weergeven in Intune: opent de Microsoft Intune-beheerportal in een nieuw tabblad.
• Terug naar beleid: keert terug naar het dashboard met BIOS-beleid.

Foutafhandeling: Als een fase mislukt, wordt een foutmelding weergegeven met een knop Opnieuw proberen (maximaal 3 pogingen). Veelvoorkomende fouten zijn onder meer time-outs van de Intune-API, fouten bij het uploaden van storage en vertragingen bij het vastleggen van bestanden.

Terug naar boven

Beveiligingscontroles

DCSBC Cloud implementeert diepgaande beveiliging in alle lagen van de infrastructuur. Aangezien de oplossing wordt uitgevoerd in het Azure-abonnement van de klant, kunnen alle beveiligingscontroles worden gecontroleerd en vallen ze onder het beheer van de klant.

Netwerkbeveiliging

• Private eindpunten zorgen ervoor dat verkeer tussen Azure-services (database, sleutelkluis, HSM, storage, app-services) nooit via het openbare internet gaat.
• Toegang tot het openbare netwerk is standaard uitgeschakeld voor alle dataplane-services. Alleen de API-gateway en CDN-eindpunten zijn openbaar toegankelijk.
• Network Security Groups (NSG's) controleren inkomend en uitgaand verkeer voor elk subnet met gedetailleerde regels.
• Isolatie van virtuele netwerken: alle resources worden geïmplementeerd in één VNet met gescheiden subnetten voor elke servicelaag.

Applicatiebeveiliging:

• Web Application Firewall (WAF) met industriestandaard door OWASP beheerde regelsets in de preventiemodus, die bescherming bieden tegen veelvoorkomende webexploits (SQL-injectie, XSS, enz.).
• Firewall op CDN-niveau biedt een extra WAF-laag aan de rand.
• API-snelheidsbegrenzing -- Snelheidsbegrenzing per gebruik, IP-gebaseerde bescherming beschermt back-endservices tegen misbruik en denial-of-service-aanvallen.
• Azure AD JWT-tokenvalidatie: alle API-aanroepen worden gevalideerd voor Azure AD-verificatietokens, zodat alleen geautoriseerde gebruikers toegang hebben tot backendservices.
• CORS-beperkingen -- Cross-origin-aanvragen zijn beperkt tot alleen geautoriseerde oorsprongen.

Versleuteling

• TLS 1.2 wordt minimaal afgedwongen voor alle services, waarbij alleen sterke coderingssuites zijn toegestaan.
• Azure Managed HSM: cryptografische ondertekeningsbewerkingen maken gebruik van FIPS 140-2 Level 3 gevalideerde hardwarebeveiligingsmodules, zodat sleutels nooit in software worden weergegeven.
• Inactieve data worden versleuteld met behulp van Azure-platformversleuteling voor alle storageservices.

Identiteit en toegang:

• Beheerde identiteiten (nul opgeslagen referenties): beheerde Azure-identiteiten worden gebruikt voor alle service-naar-service-verificatie. Er worden geen wachtwoorden, verbindingsreeksen of geheimen opgeslagen in de applicatieconfiguratie.
• RBAC least-privilege: aan elke beheerde identiteit worden alleen de minimaal vereiste rollen toegewezen, volgens het principe van de minste privileges.
• Azure Bastion: beveilig beheerderstoegang tot beheer-VM's zonder openbare IP-adressen bloot te leggen.

Bewaking en alarmering

• Geautomatiseerde waarschuwingen voor kritieke beveiligings- en operationele gebeurtenissen, waaronder snelheidsbeperkende schendingen, backendfouten, ongeautoriseerde toegangspogingen, WAF-blokkeringspatronen, API-latentieafwijkingen en HSM-ondertekeningsfouten.
• Uitgebreide diagnostische logboekregistratie voor alle infrastructuurcomponenten - API-gateway, applicatiegateway, webapplicaties, database, sleutelkluis en HSM - met logboeken die worden verzameld in een gecentraliseerde Log Analytics-werkruimte.
• Dashboards voor real-time operationele zichtbaarheid en trendanalyse.

Bestuur:

• Voorafgaand aan de implementatie van beleidscontroles (op basis van OPA) wordt de beveiligingsbasislijn afgedwongen voordat de infrastructuur wordt ingericht, met inbegrip van beperkingen voor toegang tot het openbare netwerk, minimale TLS-versies, vereisten voor beveiliging tegen opschonen en beheer van openbare IP-adressen.
• Resourcevergrendelingen voorkomen dat kritieke datastores (sleutelkluizen, databases, storageaccounts) per ongeluk worden verwijderd.

Terug naar boven

Veelgestelde vragen

V: Ik gebruik DCSBC al met Dell Command | Configureer op locatie. Kan ik migreren naar DCSBC Cloud?

Ja. Beide oplossingen maken gebruik van hetzelfde onderliggende protocol op BIOS-niveau (DACI met PKI-verificatie). Apparaten die zijn ingericht met de oplossing op locatie kunnen worden beheerd door DCSBC Cloud en vice versa, zolang dezelfde certificaten/sleutels worden gebruikt. U moet uw bestaande certificaten uploaden naar de DCSBC Cloud Portal en ervoor zorgen dat de bijbehorende persoonlijke sleutels beschikbaar zijn in Azure Managed HSM of Key Vault.

V: Waar wordt DCSBC Cloud uitgevoerd? Wordt het gehost door Dell?

Nee. DCSBC Cloud wordt geïmplementeerd in uw eigen Microsoft Azure-abonnement. Alle infrastructuur, zoals rekencapaciteit, storage, database, HSM, netwerken, wordt uitgevoerd in uw Azure-tenant. Dell host uw data of infrastructuur niet en heeft er geen toegang toe. De volledige oplossing wordt automatisch ingericht met behulp van Terraform.

V: Heeft Dell toegang tot mijn BIOS-beleid, sleutels of configuratiedata?

Nee. Aangezien DCSBC Cloud volledig binnen uw Azure-abonnement draait, blijft alle data onder uw eigendom en beheer. Dell levert de software en Terraform-sjablonen, maar heeft geen toegang tot uw gegevens en kan deze niet opslaan of verwerken.

V: Kan ik kiezen in welke Azure-regio ik wil implementeren?

Ja. De Azure-regio is een parameter in de Terraform-configuratie. U kunt implementeren in elke ondersteunde Azure-regio om te voldoen aan uw vereisten voor datalocatie en naleving. Alle resources zijn ingericht binnen één geselecteerde regio.

V: Moet ik Dell Command | Configureren op de DCSBC Cloud-server?

Nee. Er is geen on-premises server. De infrastructuur wordt ingericht in uw Azure-abonnement via Terraform en de applicatie wordt uitgevoerd als door Azure beheerde services (App Service, Function App, Static Web App).

V: Moet ik Dell software installeren op de eindpuntapparaten?

Nee. De .intunewin-pakketten die via Intune worden geïmplementeerd, zijn op zichzelf staand en bevatten alle benodigde onderdelen. Er is geen installatie van de eindpuntagent vereist.

V: Welke implementatieconsoles worden ondersteund?

DCSBC Cloud ondersteunt momenteel Microsoft Intune als implementatieconsole. De on-premise DCSBC met DCC ondersteunt bovendien SCCM en WorkspaceONE.

V: Kan ik mijn eigen HSM-provider gebruiken in plaats van Azure Managed HSM?

DCSBC Cloud is ontworpen om te werken met Azure Managed HSM of Azure Key Vault. Als u een andere HSM-provider nodig hebt, kunt u overwegen de on-premise DCSBC met DCC te gebruiken, die leverancier-agnostische HSM ondersteunt via het configureerbare HSMSigning.bat-script.

V: Welke RSA-sleutelgrootten worden ondersteund?

DCSBC Cloud vereist precies 3072-bits RSA-sleutels . Sleutels van andere formaten (2048-bits, 4096-bits, enz.) worden geweigerd tijdens de validatie van het certificaat.

V: Kan ik hetzelfde certificaat gebruiken voor zowel de on-premise als de cloud DCSBC-oplossingen?

Ja, zolang de persoonlijke sleutel toegankelijk is in beide omgevingen, opgeslagen in uw lokale HSM-/certificaatarchief voor de on-premise oplossing en in Azure Managed HSM of Key Vault voor de cloudoplossing.

V: Wat gebeurt er als mijn certificaat verloopt?

Verlopen certificaten kunnen niet worden gebruikt voor Add-bewerkingen (provisioning). Verlopen certificaten worden echter geaccepteerd voor deprovisioningbewerkingen, omdat het de bedoeling is provisioning van apparaten te verwijderen.

V: Welke BIOS-instellingen kan ik configureren?

DCSBC Cloud bevat een uitgebreid BIOS-kenmerkregister met categorieën zoals beveiliging, energie- en prestatiebeheer, systeemconfiguratie, video en geavanceerde configuraties. Voorbeelden zijn SecureBoot, WakeOnLan, Boot Order, AutoOn scheduling, Battery Charge Configuration, Keyboard Backlight Color en nog veel meer.

V: Welke Terraform-versie is vereist om DCSBC Cloud te implementeren?

Terraform >= 1.3.0 is vereist, met de AzureRM-provider ~> 4.37.0.

V: Kan ik de Terraform-implementatie aanpassen (bijv. SKU-grootten, schaling, storageredundantie)?

Ja. De Terraform-configuratie wordt volledig geparametriseerd via variabelen. U kunt de SKU van het App Service-abonnement, de databaselaag, het type storagereplicatie (LRS/GRS/ZRS), de instellingen voor automatisch schalen van Application Gateway en meer aanpassen op basis van uw schaal- en beschikbaarheidsvereisten.