3. iLO账户与权限模型
HPE ProLiant 服务器的带外管理入口是 iLO（Integrated Lights-Out）。iLO 拥有独立于操作系统的电源控制、虚拟介质、远程控制台和固件更新能力，因此它本身就是一个高价值攻击面。理解 iLO 的账户与权限模型，核心不是记住菜单在哪，而是回答三个问题：谁可以登录、登录后能做什么、如何证明这个权限是必要的。本节围绕本地用户、目录服务集成、权限级别划分和最小权限落地展开。
一、两类身份来源：本地账户与目录服务
iLO 支持两种身份来源。第一种是本地用户账户，账户和口令哈希保存在 iLO 自身的非易失存储中，不依赖外部基础设施，适合单机、实验室、灾备或目录服务不可达的场景。第二种是目录服务集成，iLO 通过 LDAP/LDAPS 向 Active Directory 或 OpenLDAP 等目录查询用户身份与组成员关系，再由 iLO 把目录组映射为本地权限角色。两者可以并存，但并存意味着两条独立的认证路径，必须分别审计。
本地账户的关键参数包括：登录名、口令、权限级别、是否启用、以及可选的登录 IP 限制。目录服务集成的关键参数包括：目录服务器地址与端口、Base DN、用户搜索上下文、绑定账户（或匿名绑定）、组对象类与组属性、以及“目录组 → iLO 角色”的映射表。一个常见的错误是只配置了目录服务器地址却未验证组映射，导致所有目录用户登录后都落到默认的只读或登录失败状态。
二、权限级别：从只读到大权限
iLO 的权限级别通常划分为若干档，理解它们的能力边界比记住名称更重要。下表给出典型划分与关键能力对照（不同 iLO 代际名称略有差异，能力边界一致）：
| 权限级别 | 典型能力 | 不应授予的对象 |
|---|---|---|
| 只读（Read Only） | 查看状态、日志、传感器、固件版本；不能改配置、不能控电 | 日常巡检、监控集成账户 |
| 操作员（Operator） | 只读 + 电源控制、虚拟电源按钮、部分重置操作 | 值班运维、需要远程重启的场景 |
| 管理员（Administrator） | 全部配置：用户管理、网络、安全、固件更新、虚拟介质 | 仅限少数平台管理员 |
| 自定义/受限 | 按需勾选具体权限位，如仅允许虚拟介质或仅允许配置 | 第三方集成、自动化工具 |
需要特别注意的是，“管理员”级别几乎等同于对服务器的完全控制：可以挂载虚拟介质重装系统、可以修改引导顺序、可以重置 BIOS 配置。因此管理员账户数量应严格受限，且必须与日常运维账户分离。
三、最小权限原则的落地方法
最小权限不是一句口号，而是一组可执行的动作。建议按以下顺序落地：
- 盘点现有账户：列出所有本地账户和目录映射组，标注用途、责任人、最后登录时间。长期未登录的账户应禁用而非删除，保留审计线索。
- 按角色建组，不按人建账户：在目录中建立如
iLO-ReadOnly、iLO-Operator、iLO-Admin的安全组，把用户加入组，再由 iLO 做组到角色的映射。人员变动时只改组成员，不改 iLO 配置。 - 默认拒绝，按需开通：新账户默认只读；需要电源控制时加入 Operator 组；只有确需改配置或更新固件时才进入 Admin 组，并设置有效期或审批记录。
- 限制登录来源：对本地账户启用 IP 限制，只允许管理网段访问；目录集成则通过网络 ACL 限制 iLO 管理口可达范围。
- 分离职责：监控系统使用只读账户，自动化脚本使用受限账户，人工应急使用管理员账户，三者不共用凭据。
- 定期复核：每季度核对一次账户清单与组成员，确认无权限膨胀。
四、配置示例：目录组映射与本地账户
以下为 iLO 目录组映射的典型配置片段（示例参数，实际以环境为准）：
Directory Server Address : 10.20.30.40
Directory Server Port : 636 (LDAPS)
Base DN : DC=corp,DC=example,DC=com
User Search Context : OU=Users,DC=corp,DC=example,DC=com
Group Search Context : OU=Groups,DC=corp,DC=example,DC=com
Group Attribute : memberOf
Group Mapping:
CN=iLO-ReadOnly,OU=Groups,... -> Read Only
CN=iLO-Operator,OU=Groups,... -> Operator
CN=iLO-Admin,OU=Groups,... -> Administrator
本地账户则建议保留一个应急管理员账户，口令存放在受控的密码保险库中，仅在目录服务不可用时启用。该账户应启用 IP 限制，并配置登录失败锁定策略。
五、权限模型关系图
下图把身份来源、认证路径、权限级别和资源访问关系放在一张图中，便于快速判断“谁通过什么路径获得什么能力”。
从图中可以看出，权限模型的关键控制点有两个：一是认证路径（本地还是目录），二是角色映射（组到权限级别的对应关系）。只要这两处配置正确，最小权限就有了结构基础；剩下的就是账户生命周期管理和定期复核。
最后，无论采用哪种身份来源，都应启用登录审计并定期导出 iLO 事件日志，关注失败登录、权限变更和固件更新操作。权限模型只有配合可观测性，才能真正形成闭环。