Alguma troca envolvida na ativação do Intel vPro?

A ativação do vPro desativa ou entra em conflito com qualquer outra funcionalidade?

Estou configurando uma estação de trabalho Dell Precision T1600. Ele será adicionado a uma pequena rede com um servidor e dois desktops:

• Servidor CentOS usado para compartilhamento de arquivos via Samba e hospedagem para desenvolvimento web
• Windows Vista usado para desenvolvimento e teste
• Windows XP Pro usado para desenvolvimento e teste
• Switch Gigabit
• Roteador que atua como servidor DHCP, mas todos os computadores usam endereços IP atribuídos

A nova estação de trabalho terá o Win 7 Pro no modo XP. Ele será usado para desenvolvimento web e processamento gráfico: Eclipse, Netbeans, Visual Studio, Photoshop, etc.

As opções Out-of-Band oferecidas para configuração são:

• Tecnologia Intel vPro ativada
• Gerenciamento padrão da Intel
• Sem gerenciamento de sistemas fora da banda

Não espero ter muita necessidade de gerenciamento fora de banda neste momento, mas pretendo continuar adicionando estações de trabalho no futuro. A estação de trabalho terá uma placa gráfica discreta, portanto o KVM remoto não estará disponível.

Gostaria de ter os recursos oferecidos pelo vPro disponíveis, mas gostaria de saber se há algum trade-off envolvido.

Alguma tag deve ser adicionada ou alterada para esta pergunta?

Aqui estão as informações que eu marquei durante minha pesquisa:

Eu olhei para as Perguntas frequentes da tecnologia Intel vPro

Ele disse que não havia impacto no desempenho:
Q6: Qual é o impacto da tecnologia Intel® vPro ™ e de seu mecanismo de gerenciamento no desempenho do PC?
R6: O impacto da tecnologia Intel vPro no desempenho do PC não é perceptível para o usuário final.

Olhei para a entrada da Wikipédia Intel Active Management Technology , que não mencionou nenhuma desvantagem.

Eu olhei para o Gerenciamento Remoto de PCs com o vPro da Intel no site de hardware do Tom, que não mencionou nenhum compromisso.

Por falha do servidor, havia apenas 15 perguntas para o amt e o vPro combinados. Favoritei este e olhei para alguns dos links sugeridos. Como gerencio PCs com vPro?

Ferramentas e utilitários para o Intel vPro Technoloy

Eu olhei para páginas adicionais, mas as acima são as que eu marquei.

Informações fornecidas em respostas e comentários:

Meu caso específico diz respeito a uma estação de trabalho, mas usarei "cliente" para representar o sistema no qual o vPro está sendo ativado.

Parece que a ativação do vPro não impõe limitações, mas pode criar problemas de segurança se o cliente não for provisionado corretamente durante a instalação.

O vPro deve estar ativado na compra ou está permanentemente desativado. Pode desativá-lo temporariamente na MEBx (extensão do BIOS do mecanismo de gerenciamento).

O vPro causa aumento no uso de memória, consumo de energia e diminuição do desempenho da rede.
(A Intel afirma que o impacto no desempenho do PC não é perceptível para o usuário final)

É usada uma pequena quantidade de espaço em disco.

O sistema é alimentado [até certo ponto] o tempo todo. É importante desconectar a energia do A / C, em vez de apenas desligar a máquina para fazer quaisquer instalações / substituições de hardware.

Você precisa da arquitetura de back-end para suportá-la.

Dois endereços IP por máquina (um para o sistema operacional e outro para vPro).
Se suas máquinas obtiverem suas atribuições via DHCP, você poderá usar uma para ambas.
Se você precisar de um endereço fixo para uma máquina, use uma reserva DHCP.

Implicações de segurança e privacidade:

Você está essencialmente instalando um backdoor no seu sistema.

Não há uma maneira fácil de dizer ao cliente se alguém está usando essa ferramenta de gerenciamento OoB sem o seu consentimento, mas o vPro pode ser configurado para notificar os usuários quando uma sessão remota estiver ativa (dependendo das políticas da sua empresa).

Você deve provisionar imediatamente o cliente se o gerenciamento fora de banda estiver ativado, porque, por padrão, o vPro é pré-provisionado com chaves CA raiz de fornecedores conhecidos (por exemplo, VeriSign, GoDaddy).
Isso significa que um invasor com acesso à sua rede pode comprar um certificado AMT e provisionar suas máquinas sem que você saiba.

O vPro usa PKI e um certificado de provisionamento AMT é necessário para provisionar o cliente. A abordagem mais fácil é comprar um certificado de provisionamento AMT de um fornecedor.

Você pode usar um certificado autoassinado, mas precisará conhecer a PKI antes de implantar o vPro. Você precisará:
1) solicitar ao fornecedor que pré-carregue o hash do certificado no MEBx (existem ferramentas disponíveis no mercado que permitem criar a configuração de provisionamento e enviar o hash do certificado personalizado via USB thumbdrive.)
2) configurar manualmente o MEBx em TODAS as máquinas com seu hash de certificado autoassinado.

Para o certificado de provisionamento AMT, é necessário criar o certificado PKI com um OID de 2.16.840.1.113741.1.2.3.

Se você usa uma CA baseada no Windows Server, precisará do Windows Server Enterprise ou superior para criar modelos de certificados personalizados.
A Technet tem instruções para fazer isso com a Autoridade de Certificação do Windows (consulte o link abaixo).

Se estiver usando Linux: pode ser possível usar o OpenSSL para criar o certificado PKI, alguém pode confirmar isso?

Uma vez que o cliente é provisionado corretamente, é bastante seguro, pois confiará apenas em um chamador que possua a chave privada AMT que originalmente associou a máquina.

Sugestões:
gerencie o vPro com SCCM, ele não é gratuito, mas facilita muito a vida com o vPro depois de configurado corretamente. Você também recebe todos os outros truques de gerenciamento de configuração que são muito úteis.

Links fornecidos em respostas e comentários:
Pré-requisitos e trade-offs do vPro para o dc7800p Business PC com tecnologia Intel vPro Processor (PDF)

Segurança vPro (Wikipedia)

Solicitando, instalando e preparando o certificado de provisionamento AMT (MicroSoft TechNet)

A implementação do OOB não é um exercício trivial de forma alguma e requer uma quantidade significativa de planejamento e investimento. Simplesmente ativar o vPro não é suficiente; você também precisa da arquitetura de back-end para suportá-lo. A menos que você esteja pronto para implementar imediatamente o gerenciamento fora de banda, minha recomendação é deixar o vPro desativado, porque, por padrão, o vPro é pré-provisionado com chaves CA raiz de fornecedores conhecidos (por exemplo, VeriSign, GoDaddy). Um invasor com acesso à sua rede pode comprar um certificado AMT e provisionar suas máquinas sem que você saiba ...

Como o vPro usa PKI, uma vez provisionada corretamente, a arquitetura é realmente bastante segura, pois os clientes confiarão apenas em um chamador que possua a chave privada AMT que originalmente associou a máquina. O vPro pode ser configurado para fornecer notificação aos usuários quando uma sessão remota estiver ativa (dependendo das políticas da sua empresa).

Com isso dito, nossa loja usa vPro. Gerenciamos várias centenas de estações de trabalho remotas que não têm suporte de TI no local. O vPro nos permite executar a solução de problemas no nível do hardware e fornece o recurso de inicialização remota, recursos que não estão disponíveis na área de trabalho remota.

Sim, existem vantagens e desvantagens, e suspeito que uma rápida pesquisa no Google já tenha lhe contado a maior parte disso, mas, tendo dito isso, verifique este documento da HP sobre as vantagens de ativar o vpro para profissionais de TI . É para esse modelo específico da HP, mas o caso geral é o mesmo para qualquer sistema em que você usa o vpro.

Além do aumento esperado no uso de memória, consumo de energia e desempenho reduzido da rede (oh, e o pequeno uso de espaço em disco), vale a pena notar que ativar isso resultará na alimentação do sistema [em certa medida] o tempo todo. Os poucos watts de energia que são desperdiçados não são muito comparados com a ressalva importante de que você precisará desconectar a energia do A / C, em vez de apenas desligar a máquina para fazer quaisquer instalações / substituições de hardware. (De qualquer forma, boas práticas, mas a maioria das pessoas não se incomoda.)

E então o que provavelmente seria a maior preocupação são as implicações de segurança e privacidade. Como não há uma maneira fácil de dizer a partir da estação de trabalho se alguém está usando esta ferramenta de gerenciamento OoB sem o seu consentimento, é melhor garantir que sua segurança esteja sempre boa e que sua rede esteja razoavelmente bem protegida contra invasões antes de implementar algo assim.

A Wikipedia tem um pouco mais sobre as implicações de segurança e privacidade , mas o meu conselho é que, se você não precisar ou planeja usar o gerenciamento de OoB, está instalando um backdoor no sistema sem motivo. Então não. Realmente, é uma estação de trabalho, quais aplicativos KVM remotos você vê necessitando para isso que não pode fazer com a Área de Trabalho Remota?