1. 课程导入与安全基线全景
在数据中心里，服务器一旦上架通电，它就不再只是一台硬件设备，而是一个持续暴露在管理网络中的可编程节点。Dell PowerEdge 的安全问题，往往不是出在业务操作系统，而是出在"带外管理"这条容易被忽视的通道上。本课程围绕 PowerEdge 的安全基线与访问控制展开，第一章先把全景讲清楚：安全体系由哪些层构成、iDRAC 与系统固件各自扮演什么角色、安全基线到底"基"在哪里、访问控制要达成什么目标，以及后续实验环境如何搭建。
一、PowerEdge 安全体系的四个层次
理解 PowerEdge 安全，最有效的方式是按"从上到下、从外到内"分层来看。第一层是边界与网络层，包括管理网段划分、iDRAC 专用口与共享口的选择、防火墙与 VLAN 隔离；第二层是身份与访问层，涉及本地账户、目录服务集成、权限角色与多因素认证；第三层是固件与配置层，涵盖 BIOS、iDRAC、RAID 控制器、网卡等组件的固件版本与安全相关设置；第四层是硬件信任根层，即硅片级信任机制，如安全启动、固件签名验证与硬件信任根（Hardware Root of Trust）。
这四层不是并列关系，而是层层依赖：身份层再严格，如果管理网段对全网开放，攻击者仍可尝试暴力破解；固件层再新，如果 BIOS 允许从任意设备引导，物理接触即可绕过一切。因此安全基线必须覆盖全部四层，而不是只改几个 iDRAC 选项。
二、iDRAC 与系统固件：两个必须分清的角色
很多初学者会把 iDRAC 和 BIOS 混为一谈，实际上它们是两套独立运行、独立更新的系统。iDRAC（Integrated Dell Remote Access Controller）是服务器上的独立管理控制器，拥有自己的处理器、内存、网络接口和固件，只要服务器接通电源（甚至主机未开机），iDRAC 就能工作。它提供 Web 界面、Redfish API、SSH/串口访问，负责远程开关机、虚拟介质、日志导出、固件更新和大量安全设置。
系统固件则主要指 BIOS/UEFI 以及各组件固件。BIOS 决定服务器如何初始化硬件、从哪个设备引导、是否启用安全启动、是否允许虚拟化等。iDRAC 可以"看到"并更新 BIOS，但 BIOS 的安全策略（如引导顺序锁定、密码保护）属于系统固件层。
两者的安全关系可以这样理解：iDRAC 是"管理入口"，BIOS 是"启动入口"。攻击者若拿到 iDRAC 权限，可以远程改 BIOS 设置甚至重刷固件；若拿到物理接触，可以进 BIOS 改引导。因此基线要求两者同时加固，且 iDRAC 的权限必须比 BIOS 更严格地管控。
三、安全基线的定义与落地方式
安全基线（Security Baseline）不是"最高安全配置"，而是一组经过验证、可重复、可审计的最低安全要求。它的价值在于把"应该安全"变成"必须满足这些具体项"。对 PowerEdge 而言，基线通常以配置项清单形式存在，每一项都有明确的期望值、检查方法和整改动作。
落地基线一般有三种方式：一是通过 iDRAC Web 界面逐项手工设置，适合少量服务器；二是使用 Server Configuration Profile（SCP）导出/导入 XML 配置文件，实现批量一致化；三是通过 OpenManage Enterprise 或 Redfish API 做合规检查与自动修复。课程后续会重点使用 SCP 与 Redfish，因为它们可版本化、可审计、可回滚。
四、访问控制要达成的三个目标
访问控制的目标可以概括为三点：身份可信——每个访问者都能被唯一识别，不共享账户；权限最小——只授予完成工作所需的最小角色，例如只读账户不能改配置；行为可审计——关键操作有日志、有来源、有时间戳，能追溯到人。这三点对应 iDRAC 中的账户策略、角色分配和日志配置。
一个常见的错误是：为了"方便运维"，所有人共用 Administrator 账户。这样一旦出事，日志里只有"Administrator 登录"，无法定位责任人。正确做法是为每人建独立账户，按需分配角色，并启用登录失败锁定与日志告警。
五、课程实验环境搭建
为了让后续章节可动手验证，建议准备如下实验环境。若没有真实 PowerEdge 服务器，可使用 Dell 官方的 iDRAC 模拟器（iDRAC Simulator）或实验室提供的虚拟实验平台，界面与真实 iDRAC 基本一致，足以完成大部分配置与检查练习。
| 项目 | 建议配置 | 说明 |
|---|---|---|
| 服务器 | PowerEdge R650/R750 或 iDRAC 模拟器 | 支持 iDRAC9，固件版本记录在案 |
| 管理网络 | 独立 VLAN，如 192.168.50.0/24 | 与业务网隔离，仅实验终端可访问 |
| iDRAC 地址 | 192.168.50.101（示例） | 静态 IP，便于重复实验 |
| 实验终端 | Windows/Linux + 浏览器 + SSH 客户端 | 用于 Web、Redfish、SCP 操作 |
| 工具 | curl / Postman / OpenManage Enterprise（可选） | 验证 Redfish API 与批量管理 |
搭建完成后，先做一次"基线前快照"：记录当前 iDRAC 固件版本、BIOS 版本、账户列表、网络设置和日志状态。这份快照既是实验起点，也是后续对比整改效果的依据。建议用 SCP 导出为 XML 文件保存，命令示例如下：
# 通过 Redfish 导出服务器配置（示例，需替换实际 IP 与凭据）
curl -k -u root:calvin \
-X POST https://192.168.50.101/redfish/v1/Managers/iDRAC.Embedded.1/Actions/Oem/EID_674_Manager.ExportSystemConfiguration \
-H "Content-Type: application/json" \
-d '{"ExportFormat":"XML","ShareParameters":{"Target":["ALL"]}}' \
-o baseline_before.xml注意：示例中的 root:calvin 是 iDRAC 出厂默认凭据，仅用于首次实验登录，正式环境必须在第一次登录后立即修改，并禁用或重命名默认账户。这也是安全基线中最基础、最优先的一项。