4. iDRAC用户、安全与证书管理

iDRAC 是服务器带外管理的入口，一旦被攻破，攻击者可以在操作系统之外直接控制电源、虚拟介质、固件更新和串口重定向。因此，iDRAC 的用户、认证、证书与协议加固，是整台服务器安全基线中最关键的一环。本节围绕本地用户与目录服务（AD/LDAP）、角色权限、双因素认证、SSL 证书替换以及 SSH/IPMI 安全加固展开，目标是让读者能够独立完成一套可用的 iDRAC 访问控制配置。

本地用户与目录服务：两种身份来源

iDRAC 支持两类身份来源。第一类是本地用户，账号和密码存放在 iDRAC 自身的用户数据库中，默认有 16 个用户槽位（编号 1～16），其中用户 ID 2 通常是出厂默认的 root 账号。本地用户适合单机、实验室或没有集中身份系统的场景，配置简单，但账号分散、离职人员清理困难。

第二类是目录服务，即通过 Active Directory 或 LDAP 对接企业统一身份。用户仍使用域账号登录 iDRAC，权限由目录中的组映射决定。这种方式适合批量服务器管理，账号生命周期跟随域控，人员离职时禁用域账号即可同步失效。配置目录服务需要填写目录服务器地址、基 DN、绑定账号与密码、组 DN 以及组到 iDRAC 角色的映射关系。

一个常见的误区是：配置了 AD 之后本地账号仍然有效。实际上两者是并存的，若不做限制，本地 root 仍可登录。因此启用目录服务后，应同步收紧本地账号，只保留必要的应急账号并设置强密码。

角色权限：最小权限的落地

iDRAC 的角色决定了用户能做什么。常见角色包括：

• Administrator（管理员）：拥有全部权限，包括用户管理、证书替换、固件更新、虚拟介质挂载。
• Operator（操作员）：可执行电源控制、重启、查看日志，但不能修改用户和安全配置。
• Read Only（只读）：仅能查看状态、日志和硬件清单，不能执行任何控制操作。
• None（无）：不授予任何 iDRAC 权限，常用于目录组映射中排除某些用户。

权限还可以按功能细分，例如“配置”“登录”“系统控制”“虚拟介质”“虚拟控制台”等。实际配置时，建议按岗位分配：运维值班人员给 Operator，监控平台账号给 Read Only，只有少数管理员持有 Administrator。目录服务场景下，通常建立“iDRAC-Admins”“iDRAC-Operators”“iDRAC-ReadOnly”三个 AD 组，分别映射到对应角色。

双因素认证：把“知道密码”升级为“持有凭证”

仅靠密码的 iDRAC 登录，一旦密码泄露即可被完全接管。双因素认证（2FA）在密码之外增加一个动态因素，常见实现有两种：一是 RSA SecurID 令牌，二是智能卡（CAC/PIV）登录。iDRAC 支持配置 RSA SecurID，用户登录时先输入用户名和密码，再输入令牌上显示的动态码。

配置 2FA 的关键步骤是：先在 iDRAC 的“安全”→“用户认证”中启用“双因素认证”，选择 RSA SecurID 或智能卡；然后导入必要的证书或配置文件；最后为需要 2FA 的用户启用该策略。需要注意的是，2FA 通常只对本地用户或特定目录用户生效，启用前务必确认应急账号不受影响，否则一旦令牌服务器故障，可能无法登录。

SSL 证书替换：消除告警并建立信任

iDRAC 出厂使用自签名证书，浏览器访问时会提示“不安全”。在生产环境中，应替换为企业 CA 或公共 CA 签发的证书。操作路径为：iDRAC 界面“iDRAC 设置”→“网络”→“SSL”，上传证书文件（PEM 格式）和对应的私钥。上传后 iDRAC 会重启 Web 服务，约 1～2 分钟后生效。

替换证书前需要生成 CSR（证书签名请求），其中 Common Name 必须与访问 iDRAC 使用的域名或 IP 一致。例如通过 idrac-01.corp.local 访问，CN 就应填写该 FQDN。若使用 IP 访问，则 CN 填 IP，但更推荐用 DNS 名称，便于证书复用和轮换。替换完成后，用浏览器访问应不再出现证书告警，且证书颁发者显示为企业 CA。

SSH 与 IPMI 安全加固

iDRAC 默认开启 SSH 和 IPMI over LAN。SSH 用于命令行管理，IPMI 用于带外监控和电源控制。两者都是攻击面，需要按需收紧。

SSH 加固建议：禁用 Telnet（iDRAC 默认已禁用，但需确认）；限制 SSH 访问源 IP，只允许管理网段；设置空闲超时，例如 300 秒；禁用不必要的 SSH 功能。IPMI 加固建议：若不需要 IPMI over LAN，直接禁用；若必须使用，则修改默认口令、限制访问源 IP，并避免使用 IPMI 2.0 的弱加密套件。

以下是一组可参考的加固检查项，可在 iDRAC 界面或 racadm 命令行中逐项确认：

完成上述配置后，iDRAC 的访问控制就从“默认开放”收敛为“按角色授权、按通道加固”的状态。验证时，可用只读账号登录确认无法执行电源操作，用管理员账号确认 2FA 生效，用浏览器确认证书无告警，用 ssh 连接确认空闲超时和源 IP 限制生效。这些检查点共同构成 iDRAC 安全基线的闭环。