IPMI（Intelligent Platform Management Interface）是由 Intel、HP、Dell、NEC 於 1998 年共同制定的開放標準硬體管理介面規範，現最新版本 2.0。透過基板管理控制器（BMC）實現獨立於主作業系統的帶外管理，提供遠端電源控制、KVM over IP、硬體監控、虛擬媒體掛載等核心功能，是伺服器機房運維的基石技術。

IPMI 核心架構與運作原理

硬體層：BMC（Baseboard Management Controller）

嵌入式微控制器，獨立作業系統/電源運作，連接主機板感測器（溫度、電壓、風扇轉速、機箱入侵偵測）與系統匯流排，提供 IPMI 指令集介面。

通訊介面

• IPMB（Intelligent Platform Management Bus）：系統內部 I²C 總線，BMC 與衛星控制器通訊
• LAN/RMCP+：網路介面支援遠端管理，UDP 623 埠
• Serial/USB：本地緊急管理介面
• SMBus/I²C：感測器資料讀取

核心功能矩陣

部署前置條件檢查清單

1. 伺服器硬體支援：主機板具備 BMC 晶片，BIOS 中啟用 IPMI 功能
2. 作業系統驅動：Linux 載入 ipmi_si、ipmi_devintf、ipmi_msghandler 模組；Windows 安裝廠商提供的 IPMI 驅動
3. 管理工具就緒：ipmitool（Linux/Windows 移植版）、IPMIView（超微圖形化工具）、廠商專用工具（iDRAC、iLO、IMM、iRMC）
4. 網路隔離規劃：管理網路獨立 VLAN、防火牆管控、禁止直接暴露公網

常用管理工具操作範例

ipmitool 核心指令集

# 安裝驅動與工具
# RHEL/CentOS
yum install -y OpenIPMI ipmitool
systemctl enable --now ipmi

# Ubuntu/Debian
apt-get install -y ipmitool openipmi

# 基礎查詢
ipmitool lan print                    # 查看網路配置
ipmitool sensor list                  # 所有感測器讀數
ipmitool sel list                     # 系統事件日誌
ipmitool chassis status               # 機箱狀態
ipmitool power status                 # 電源狀態

# 電源控制
ipmitool power on|off|reset|cycle     # 開/關/重啟/冷重啟

# 使用者管理
ipmitool user list 1                  # 列出通道 1 使用者
ipmitool user set name 2 admin        # 設定用戶名
ipmitool user set password 2 'StrongP@ssw0rd!'  # 設定強密碼
ipmitool user enable 2                # 啟用用戶
ipmitool channel setaccess 1 2 link=on ipmi=on callin=on privilege=4  # 賦予管理員權限

# 虛擬媒體掛載 ISO（需支援）
ipmitool -I lanplus -H  -U admin -P 'pass' \
  virtualmedia cdrom attach /path/to/image.iso

IPMIView 圖形化管理

超微開發，支援 Windows/Linux，統一管理多台伺服器：儀表板監控、遠端 KVM、虛擬媒體、SEL 匯出、韌體更新、批次配置。

IPMI 安全風險與防範鐵律

核心風險：BMC 即「神模式」後門

• 獨立於 OS，OS 重裝/重灌不影響 BMC 控制權
• 關機狀態下仍可 Ping 通、操控電源、掛載 ISO 重裝系統
• 歷年曝光關鍵漏洞：CVE-2013-4786（IPMI 2.0 RAKP 認證繞過）、CVE-2019-0192（超微 BMC 遠端代碼執行）、多款廠商預設帳號密碼、明文傳輸、弱加密

防範鐵律十條

1. 專用管理網路隔離：獨立 VLAN、專用交換機、防火牆僅允許堡壘機/運維 IP 存取 UDP 623
2. 廢除預設帳號：刪除/停用 ADMIN、root、admin 等預設帳號
3. 強制複雜密碼：16 字元以上、大小寫數字符號、定期輪換、密碼管理器托管
4. 啟用加密傳輸：IPMI 2.0 RMCP+ 加密模式、配置 TLS 憑證（如支援）
5. 停用不需服務：關閉 Serial Over LAN、虛擬媒體、IPMI over LAN（若僅用帶外管理卡）
6. 韌體持續更新：訂閱廠商安全公告，月度檢查並應用 BMC/BIOS 更新
7. SEL 日誌集中收集：Syslog/SIEM 整合，異常事件（暴力破解、感測器閾值觸發）即時告警
8. 定期滲透測試：年度 BMC 專項滲透測試，驗證隔離與認證有效性
9. 實體安全：機房門禁、機箱鎖定、防竄改標籤，防止惡意 USB/硬體植入
10. 廢棄處理：報廢前清除 BMC 設定、撤銷憑證、銷毀儲存介質

雲端與邊緣運算時代的 IPMI 演進

• Redfish API：DMTF 推動的 RESTful 替代方案，JSON over HTTPS，現代化、易整合、支援資料中心規模化自動化
• DCMI（Data Center Manageability Interface）：伺服器電源管理標準化
• 軟體定義基礎設施（SDI）整合：IPMI/Redfish 納入 OpenStack Ironic、Kubernetes Bare Metal Operator、Ansible 等自動化體系