【Intel vPro レビュー：第5回】「大量のPCを一括再起動」も簡単、無償の強力管理ツール「Intel EMA」を使ってみた

クラウド上にサーバーを用意する

EMAサーバーをクラウド（Azure）上に構築できるツール「Intel EMA Cloud Start Tool for Azure 2.0」。ツールは無償配布されている。

　Microsoft AzureやAmazon Web Service(AWS)などのクラウドで、EMAサーバーを構築できる。

　Azure上に構築できるツールやAWS上に構築するための日本語ガイドが用意されており、前者は月額80ドル程度からEMAサーバーを用意できる。

サードパーティのサービスを利用する

Intel EMAをクラウドベースで提供しているサードパーティ運営のサービス「EMACLOUD」。今回の検証ではこのサービスを使用した。

　Intel EMAをクラウドベースで提供するサードパーティがある（Mogul TechnologiesのEMACLOUDなど）ので、それらのサービスを利用する。

　メリットは、構築や管理の手間とコストが最小限になること。構築は「サービスを申し込むだけ」で終わりだし、PCの管理もしなくて済む。

　ただし、PCのパフォーマンスが任意に調整できないため、管理台数が多い場合には向いていないだろう。例えば、インテルの資料では2万台のPCを管理するサーバーのスペックとして、「16スレッド以上に対応したIntel Xeonプロセッサ、24GBのメモリ、1TBのミラーリングされたストレージ」が必要としている。

初めにやること

Getting Started tipsにはおおよその流れが3ステップで説明されている

　Intel EMAを使い始めて最初の画面がこれだ。

　やることが3ステップに分かれて書いてあるが、要するに「設定を準備する」「個々のPCに設定とエージェントをインストールする」「実際に操作する」という流れになる。

　以下、順に説明していこう。

まずは「エンドポイント・グループ」の作成から

　まずはEndpoint group(エンドポイント・グループ)の作成だ。左メニューにあるEndpoint groupを選び、その画面で右にある「New endpoint group…」をクリックする。

エンドポイント・グループを作成する

　エンドポイント・グループは、「エンドポイント＝管理される側のPC」をグループでまとめたもの。Intel EMAでは、単体での制御に加え、こうしたグループでまとめて制御が行える（デジタルサイネージなどでは便利そうだ）。

　ここではグループポリシー、たとえば電源操作でどのような操作を許可するのか、リモート操作をどのような方法で行なうのかといったことを指定していく。

　初期設定はウィザード形式で進むが、Endpoint group画面の2つ目のタブにあるIntel AMT ProfilesではvPro搭載PCのネットワーク設定などを指定できる。たとえばIPアドレスが固定なのかDHCPを利用しているのか、Wi-Fiの設定、IEEE802.1xの認証設定などだ。

Intel AMTプロファイルを作成する

　そして、次のプロセスは、管理される側のPCで動作させるエージェントと、これまでの設定を記録した設定ファイルのダウンロードだ。

　Intel EMAでは、このエージェントがOS上で動作するため、vPro非搭載機も管理できるし、エージェントのインストール時、設定ファイルをもとにしてIntel AMTの設定もされるため、vPro搭載機でもIntel EMBxなどによる個別PCの設定をしなくていい。もちろん、通信すべきEMAサーバーの設定なども設定される。多数のPCを設定するには便利な仕組みといえるだろう。

　さて、上記の設定が完了すると、Generate Agent Installation Filesという画面になる。

　ここにはWindows (32-bit) Service、Windows (64-bit) Serviceという2つのチェックボックスがあり、必要なものにチェックをして横に表示されるDownloadボタンを押し、「EMAAgent.exe」というファイルをダウンロードしよう。また、その下のAgent policy file横にもDownloadボタンがあるので「EMAAgent.msh」というファイルもダウンロードしておく。

動作に必要なインストールファイル、vProの設定やネットワークの設定ファイルをダウンロードして対象PCに導入できる

管理対象PCの設定は、「エージェントをインストールするだけ」

管理対象PCにエージェントをインストールする

ダウンロードした2つのファイルを同じフォルダに置き、EMAAgent.exeを実行する

　次のプロセスは、「管理対象PC」へのエージェントのインストールだ。これは驚くべきほどの簡単さだ。

　やるべきことは、「ダウンロードした2つのファイルを、同一フォルダ内に保存し、USBメモリなどを介して管理対象PCにコピー、管理者権限でEMAAgent.exeを実行する」。これだけだ。

　これにより、Intel EMAのエージェントと通信先データなどがインストールされ、Intel AMTの設定も完了する。Intel AMTでは、先ほど説明した「管理されるPCからアクセスを開始する仕組み＝Client Initiated Remote Access（CIRA）」も有効化され、ファイアウォール越え/ルータ越えでの制御が行えるようになる。なお、CIRAに関する設定は、Intel EMBxではできず、基本的にこの方法で行うので、混乱しないようにしておきたい。

　初期設定終了後、数秒～1分程度待つと、Intel EMAの画面に登録したPCが表示される。

　今回の検証は、「EMAサーバーはクラウド上」「管理対象PCは自宅LAN内」だが、CIRAの効果であっけなくサーバーへの登録が完了した。「ルーター越え」の設定は特に何もしていないが、これで使えるようになる。

Intel EMAで何ができるのか？

　さて、最後に「Intel EMAでできること」を紹介しておこう。

　基本的には、「Intel AMTでできること」と「Windows上でのプロセス確認/ファイル確認」が実施でき、さらに「シャットダウンなどは、PC単体だけでなく、複数台同時に制御できる（グループやフィルタリングで指定する）」と覚えておくといいだろう。

　実際の手順としては、まず左のアイコン群から「Endpoint」を選択し、中央にあるボタン「Load all Endpoint」を押すと登録済みの管理対象PC(エンドポイント)が表示される。

　複数台同時に制御する際は、チェックボックスを使用すればいい。フィルターや検索によって目的の端末を絞り込むこともできる。ここをチェックしたうえで右上のセレクトメニューから操作を行なうと、「複数台を一斉に起動/シャットダウンさせる」といったことも簡単だ。

対象PCにチェックをつけ、右上メニューから操作を行なう

　また、個別のPCを詳細に見ていく場合は、端末名の右端にある「view」をクリックし画面を遷移させる。

　この画面では、状態を示すGeneralのほか、Hardware Manageability、Desktop、Terminal、Files、Processes、WMIといったタブが表示されている。

　Desktopを選んでConnectを押せばリモートデスクトップが利用できるし、OSが起動中であれば「Files」「Process」といった機能も利用できる。

対象PCにチェックをつけ、右上メニューから操作を行なう

viewボタンを押すとGeneralタブが開く。ここには対象PCのステータスが表示されている

Desktopタブではリモートデスクトップ接続が可能

Filesタブでは対象PCのストレージ内を表示できる

Processesタブでは対象PCで動作しているプロセス一覧を表示できる

　なお、Intel EMAでは、一部の管理機能について「ローカルユーザーの同意なしで操作するには、PKI証明書を取得、設定しておく必要がある」というセキュリティ保護仕様が導入されている。具体的には、Intel AMTの機能を利用したリモートデスクトップなどが該当する。OS起動後のリモートデスクトップはPKI証明書なしでもユーザー同意不要に設定できるので、「無人環境でBIOS操作したい」といった使い方をしたい場合に限り、PKI証明書が必要になるというイメージだ。自由度が増しているだけに、しっかりしたセキュリティ保護機能があるのは安心だ。

　なお、「PKI証明書を使わないで無人環境でBIOS操作したい」なら、前回までに紹介したIntel Manageability Commander（Intel MC）とVPNを組み合わせて実現するのも手だ。