【匠の部屋】PCをWi-Fiで管理する場合の疑問を匠に相談してみた！

「vPro対応と書かれたWi-Fiカードが売られていたのですが、これをvProに対応していないPCに装着すれば、vProが使えるようになるのでしょうか？」

「Wi-Fiで運用する場合、MACアドレスの制限をかけても利用できますか？また、802.1X認証と連携することもできますか？」

「Wi-Fi環境で、アクセスポイントのSSIDをステルス運用しているのですが、この環境下でもリモート電源ONはできますか？」

――クライアントPCをWi-Fi経由でネットワークに接続している読者の方から、いろいろな質問が届いています。今回は、まとめてお伺いしていきたいのですが、いかがでしょうか？

牧氏：そうですね。ではまず、「vPro搭載PCに、Wi-Fiカードを後付けしたらリモート電源操作がWi-Fiでできるようになるのか？」という質問から行きましょうか。

　結論から行くと、「できない」あるいは「仮にできそうに見えても、問題や検討課題が沢山出てくるので、やらないほうがいい」と考えていただくのが良いかと思います。Wi-Fiでの利用が想定される場合は、最初からvPro対応のWi-Fiカード（Wi-Fiモジュール）を搭載したPCを検討された方が良いでしょう。

　まず、Wi-Fiモジュールですが、AMTを使うためには、CSMEと接続できてシャットダウン中でも動作できる専用のものが必要です。さらに、プラットフォームの世代毎に使えるモジュールの製品も違います。こうした問題もありますし、後から増設するのは、メーカー保証や技適などの観点からも考えない方が良いでしょう。

　なお、インテル AMT(以下AMT)でのWi-Fi対応は、プロセッサーがCore 2 Duoだった頃のAMT 2.6から始まったのですが、当初は、OS動作中しかAMTの通信を扱えず、Wi-Fi経由ではPCの起動などは行えませんでした。

　その後のAMT 4.0で（まだCore 2 Duoの時代でしたが）、ようやく帯域外でもAMTの通信を行えるようになりました。この段階ではノートPCだけですが、有線LANのAMTと同様、OS動作中はOSのデバイスドライバーが使用され、スリープ中やシャットダウン中はAMTのファームウェアに搭載されたデバイスドライバーを介して通信できるようになりました。

　さらに、Sandy Bridgeの世代のAMT 7.0からはデスクトップPCでもWi-Fiを扱えるようになり、今では、各メーカーからWi-Fiを標準搭載、あるいはオプションで用意されたvPro対応のデスクトップPCが数多く見かけるようになりましたので、PCを選ぶ段階でWi-Fiの有無を考えていただくのが良いでしょう。

――「IEEE 802.1X認証と連携できるかどうか」についてはいかがでしょうか？

牧氏：802.1X認証とも連携できます。設定方法を順に説明していきますね。

　AMTのWi-Fi接続を行うにあたっては、OSの接続設定とは別にAMT側にも接続設定が必要となります。SSIDや認証形式、暗号化形式、パスワード等の内容をプロファイル単位で管理しています。プロファイルは管理者ユーザーが作成することもできますし、ホストOSで利用しているプロファイルをAMT側に同期させることも可能です。

　インテル MEBxを利用して、AMTの設定を手動で行った場合は、WebUIの中でプロファイルの設定を行います。ただし、この場合は802.1Xとの連携には対応できません。また、ホストOSとのプロファイルの同期も行えません。一方、インテル EMAのようにAMTの設定を配布するソフトウェアを使用する場合は、そのソフトウェア上でプロファイルの設定を行います。EMAでは802.1Xとの連携の設定やホストOSとのプロファイルの同期の設定も可能です。

　802.1Xと連携する場合は、同じようにプロファイルを作成し、Wi-Fiプロファイルから参照させることも可能です。802.1Xのプロファイルは有線LAN、Wi-Fiそれぞれのインターフェースに対して適用させる必要があります。

Web UIのWi-Fi設定画面。Wi-Fiの有効化もここで行う。プロファイルは手動で作成することができるが、OSと同期させる設定はない

Web UIにおけるWi-Fiプロファイルの設定画面。IEEE 802.1Xとの連携は設定できない

インテル EMAでは「Intel AMT Profiles」のメニューで、Wi-FiやIEEE 802.1Xのプロファイルを作成する。それらを作成したAMTのプロファイルで指定する

作成したWi-Fiプロファイルの一覧。使用するプロファイルの優先度もここで指定できる

Wi-Fiプロファイルの作成画面。SSIDや認証方式、暗号化方式などを指定する

IEEE 802.1Xと連携させる場合は、別途作成したIEEE 802.1Xプロファイルを指定する

AMTのプロファイル設定画面。「WiFi」タブで、使用するWi-Fi プロファイルを指定できる。この画面で、OSのWi-Fi プロファイルと同期させるように設定することも可能

――認証方式や暗号方式の対応状況、あるいはSSIDのステルス運用やMACアドレスフィルタリングについては、どうでしょうか？

牧氏：Wi-Fiには認証方式と暗号化方式がありますが、時代とともに追加されたり、非推奨となったりしています。このため、AMTにおいても、バージョンによってサポートの有無が異なります。最近ですとAMT14.0（Comet Lake）から認証方式におけるWPA3（SAE／OWE）のサポートが追加され、AMT15.0の一部（Tiger Lake-H）とAMT16.0（Alder Lake）からは暗号化方式におけるTKIPのサポートが削除されました。

　利用しているWi-FiのアクセスポイントがCCMP（AES）／TKIPの両用モードをサポートしているような場合は、CCMP（AES）のみのモードになっているかを確認してください。

　アクセスポイント側がSSIDをステルスにした場合、MACアドレスのフィルタリングを行っている場合でも、AMTは通信を行えます。

アクセスポイントの管理画面で「WPA2 Mixed」というCCMP／TKIP両用モードがサポートされている場合は、CCMP（AES）のみのモードを使用する