Lenovo ThinkCentre M58 User manual

HardwarePasswordManager
部署指南
更新：2010年7月

HardwarePasswordManager
部署指南
更新：2010年7月

注 注
注： ： ：在使用本资料及其支持的产品之前，请阅读第41页附录D“声明”中的一般信息。
第 第
第三 三 三版 版 版(2010 (2010 (2010年 年 年7 7 7月 月 月) ) )
©Copyright Copyright
CopyrightLenovo Lenovo Lenovo2010. 2010. 2010.
LENOVO产品、数据、计算机软件和服务由LENOVO出资独立开发，作为48C.F.R.2.101定义的商用品出售给政
府部门，其使用、复制和公开均受相应的权限限制。
有限权利声明：如果产品、数据、计算机软件或服务依照通用服务管理（GSA）合同提供，其使用、复制或公开受
编号为GS-35F-05925的合同条款的约束。

目录
前 前
前言 言 言. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .v v v
第 第
第1 1 1章 章 章概 概 概述 述 述. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .1 1 1
第 第
第2 2 2章 章 章在 在 在ThinkManagement ThinkManagement ThinkManagement控 控 控制 制 制台 台 台上 上 上
安 安
安装 装 装Hardware Hardware HardwarePassword Password PasswordManager Manager Manager. . .. . .. . .. . .. . .3 3 3
先决条件..................3
准备核心服务器...............3
带有HPM的ThinkManagement控制台服务器设
置.....................5
迁移到新的LDAP服务器...........6
在Lenovo设备上安装HardwarePasswordManager..6
第 第
第3 3 3章 章 章使 使 使用 用 用ThinkManagement ThinkManagement ThinkManagement控 控 控制 制 制台 台 台
管 管
管理 理 理Hardware Hardware HardwarePassword Password PasswordManager Manager Manager设 设 设备 备 备. . .. . .9 9 9
查看HardwarePasswordManager设备及其属性...9
管理HardwarePasswordManager设备上已登
记的用户...............10
配置LDAP服务器连接.........10
查看HardwarePasswordManager用户及其属
性..................11
删除用户对HardwarePasswordManager设备
的访问权...............11
管理HardwarePasswordManager组....12
管理HardwarePasswordManager设备的远程操作
和策略设置................12
全局更新客户机策略............13
全局更新硬件密码.............14
更新应急帐户...............15
更改服务器策略设置............15
定义控制台用户的作用域和角色.......16
第 第
第4 4 4章 章 章Hardware Hardware HardwarePassword Password PasswordManager Manager Manager客 客 客
户 户
户机 机 机. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .19 19 19
HardwarePasswordManager设备设置......19
在HardwarePasswordManager服务器中注册设备
并登记第一个用户.............19
在HardwarePasswordManager设备上登记其他用
户....................20
从HardwarePasswordManager设备除去用户..21
从HardwarePasswordManager服务器注销设备..21
更新HardwarePasswordManager设备上的凭证..21
第 第
第5 5 5章 章 章部 部 部署 署 署. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .23 23 23
指纹集成.................23
SafeGuardEasy/SafeGuardEnterprise兼容性..24
单触式注册................24
预注册................24
在预注册的系统上登记用户........25
第 第
第6 6 6章 章 章案 案 案例 例 例. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .27 27 27
服务案例（配置变更）...........27
案例1－硬件配置变更.........27
案例2－CMOS错误..........27
案例3－更换指纹设备.........28
案例4－已设置硬件密码........28
案例5－操作系统中的“Setup”（远程BIOS
设置）................28
案例6－更换主板...........28
案例7－添加硬盘驱动器........29
案例8－更换或移动硬盘驱动器.....29
案例9－更改系统中硬盘的位置.....30
案例10－卸下硬盘驱动器........30
案例11－刷新BIOS..........30
案例12－已注册的系统不再能够访问
HardwarePasswordManager服务器.....30
案例13－进入BIOSSetup........30
案例14－在BIOSSetup中装入缺省设置..30
案例15－不保护所有的硬盘驱动器....31
用户案例.................31
案例1－网络已连接，但忘记了硬件帐户凭
证..................31
案例2－网络未连接，但忘记了硬件帐户凭
证..................31
案例3－忘记了企业密码........31
案例4－使用不同类型的键盘进行手工登录.31
案例5－处理多个引导分区中的登记...32
案例6－BitLocker...........32
附 附
附录 录 录A A A安 安 安全 全 全性 性 性和 和 和便 便 便利 利 利性 性 性. . .. . .. . .. . .. . .. . .. . .. . .33 33 33
附 附
附录 录 录B B B灾 灾 灾难 难 难恢 恢 恢复 复 复. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .35 35 35
附 附
附录 录 录C C C提 提 提示 示 示与 与 与技 技 技巧 巧 巧. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .37 37 37
附 附
附录 录 录D D D声 声 声明 明 明. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .. . .41 41 41
商标...................41
©CopyrightLenovo2010iii iii
iii

iv iv
ivHardwarePasswordManager部署指南

前言
本指南旨在供以下人员使用：IT管理员，或那些负责在组织的计算机上部署Lenovo®HardwarePassword
Manager™程序的人员。本指南的目的是提供在一台或多台计算机上安装HardwarePasswordManager所需的
信息，前提是每台目标计算机都具有可用的软件许可证。HardwarePasswordManager应用程序提供应用程序
帮助，管理员和用户可以参阅该帮助，以获取与使用该应用程序本身有关的信息。
LenovoHardwarePasswordManager是为IT专业人员及其可能面临的独特挑战开发的。本部署指南提供有关
使用HardwarePasswordManager的指示信息和解决方案。如果您有任何建议或意见，请与您的Lenovo授权
代表联系。要了解有助于降低总体拥有成本的技术和查看本指南的定期更新，请访问以下Web站点：
http://www.lenovo.com
©CopyrightLenovo2010v v
v

vi vi
viHardwarePasswordManager部署指南

第1章概述
LenovoHardwarePasswordManager（HPM）让管理员能够管理所有已注册PC设备的硬件密码。此外，它还
会创建BIOS级用户ID和密码的概念，以便最终用户将其用作单点登录代理。该用户ID和密码可以与用户
的WindowsID和密码同步。用户还可以选择使用自己的指纹进行BIOS认证。当设备打开电源时，系统会
要求用户提供这些凭证。如果用户提供了这些信息，设备就会让用户登录到桌面。该机制可保护用户的隐私
并使用户能够使用设备，即使用户不知道实际硬件密码是什么也是如此。
安装HPM后，LenovoThinkManagement控制台核心服务器就会充当HPM服务器，用于管理和认证HPM
设备。此外，ActiveDirectory或eDirectoryLDAP服务器充当HardwarePasswordManager的认证服务器－
HPM服务器根据LDAP服务器中的数据检查用户凭证。
在支持HPM的Lenovo客户机设备上，管理员可以安装包含HardwarePasswordManager应用程序的代理程
序。当客户机设备打开电源时，它会通过UDP端口50001与HPM服务器进行通信。
客户机引导到操作系统之后，它会使用HardwarePasswordManager客户机应用程序与服务器上的Webservice
进行通信。该通信通过HTTPS通道进行。
管理员使用ThinkManagement控制台中的HPM功能来管理HPM设备并为这些设备创建和部署策略。这些
策略决定了如何针对设备实施HardwarePasswordManager；例如，管理员会在策略定义中选择让哪些用户选
项在HPM设备上可用。
©CopyrightLenovo20101 1
1

2 2
2HardwarePasswordManager部署指南

第2章在ThinkManagement控制台上安装HardwarePassword
Manager
要使用HPM功能，必须安装LenovoThinkManagement控制台。当您配置此安装时，将会定义LDAP服务
器的连接详细信息以便为HPM提供认证服务。有关如何生成硬件密码以及如何管理客户机设备的策略也是
在控制台中定义的。
接下来，在支持HPM的单个Lenovo设备上安装HPM客户机软件。可以使用BIOS设置在这些设备中启用
或禁用HPM支持。必须启用此设置，设备才能使用HPM。
完成这些安装任务后，就可以开始向HPM服务器注册LenovoHPM设备，并在这些设备上登记用户。
先决条件
在服务器上安装带有HPM的LenovoThinkManagement控制台之前，应先考虑以下事项：
•服务器应能够访问因特网，以便获取必备软件并在安装完成后将其激活。
•服务器应具备静态IP地址。
•服务器不能是域控制器。但是，建议将服务器加入到某个域中。
•您进行登录以执行核心服务器安装所用的帐户必须具有管理员特权，以便能对该服务器执行完整的读/写
访问。该帐户最好还是一个“域管理员”帐户。该帐户将用于创建一个登录到ThinkManagement控制台
时所用的管理员级的初始帐户。
为了确保安装干净且有效，建议您按照以下安装顺序执行：
1.安装Windows®Server2003R2（32位）操作系统SP2或WindowsServer2008R2（64位）操作系统。
2.安装Windows组件Internet信息服务（IIS）。
注 注
注： ： ：对于WindowsServer2003R2（32位）操作系统，必须在安装ASP.Net之前完成此操作。
3.安装以下Windows组件：
•ASP.Net
•SNMP
4.使用WindowsUpdate安装所有可用的关键更新。
5.安装Microsoft®.NETFramework®2.0或更高版本。
6.如果您使用的是WindowsServer2008R2（64位）操作系统，则安装WebServicesEnhancements（WSE）
3.0forMicrosoft.NET，如果您使用的是WindowsServer2003R2（32位）操作系统，则安装WebServices
Enhancements（WSE）2.0SP3。
安装ThinkManagement控制台之后，建议您启用SecurityandPatchManager以获取该产品的更新。在控制
台应用程序中，单击帮 帮
帮助 助 助➙ ➙ ➙LANDesk LANDesk LANDesk® ® ®帮 帮 帮助 助 助向 向 向导 导 导➙ ➙ ➙安 安 安全 全 全更 更 更新 新 新，以获取有关SecurityandPatchManager的配
置指南。
准备核心服务器
HPM核心服务器将使用基于LANDeskManagementSuite9.0的ThinkManagementConsole9.0。有关LANDesk
ManagementSuite系统要求的更多信息，请访问以下网站：
http://community.landesk.com/support/docs/DOC-7478
©CopyrightLenovo20103 3
3

有关安装ThinkManagementConsole9.0的前提条件的详细信息，请访问以下网站：
http://community.landesk.com/support/docs/DOC-6767
ThinkManagementConsole9.0的首选平台是WindowsServer2008R2（64位）操作系统。以下说明介绍如何
配置WindowsServer2008R2（64位）操作系统以满足ThinkManagementConsole9.0前提条件。
1.从安装介质中安装WindowsServer2008R2（64位）操作系统。建议您再次为HPM核心服务器安装服
务器操作系统，因为现有的操作系统映像可能有与HPM核心服务器不兼容的设置。
2.运行WindowsUpdate并确保已应用所有必要的关键更新。
3.命名核心服务器。一定要正确设置核心服务器的名称，这一点很重要。安装之后将无法重命名HPM核
心服务器。
4.禁用IndexingService和WindowsSearchService，因为它们可能会干扰HPM核心服务器的正常运行。有
关更多详细信息，请访问以下网站：
http://community.landesk.com/support/docs/DOC-7245
5.添加应用程序服务器角色。
a.单击开 开
开始 始 始➙ ➙ ➙服 服 服务 务 务器 器 器管 管 管理 理 理器 器 器。
b.单击添 添
添加 加 加角 角 角色 色 色。
c.选择Web Web
Web服 服 服务 务 务器 器 器（ （ （IIS IIS IIS） ） ）。
d.单击下 下
下一 一 一步 步 步。系统将会提示您为此角色添加其他必要的功能。
e.选择添 添
添加 加 加必 必 必要 要 要的 的 的功 功 功能 能 能。
f.在选 选
选择 择 择服 服 服务 务 务器 器 器角 角 角色 色 色屏幕上，选择应 应 应用 用 用程 程 程序 序 序服 服 服务 务 务器 器 器。系统将会提示您为此角色添加其他必要的功能。
g.单击添 添
添加 加 加必 必 必要 要 要的 的 的功 功 功能 能 能。
h.在选 选
选择 择 择服 服 服务 务 务器 器 器角 角 角色 色 色屏幕上，单击下 下 下一 一 一步 步 步。
i.单击下 下
下一 一 一步 步 步。
j.选择Web Web
Web服 服 服务 务 务器 器 器（ （ （IIS IIS IIS） ） ）支 支 支持 持 持。系统将会提示您添加更多角色服务和功能。
k.单击添 添
添加 加 加必 必 必要 要 要的 的 的角 角 角色 色 色服 服 服务 务 务。
l.选择COM+ COM+
COM+网 网 网络 络 络访 访 访问 问 问。
m.单击下 下
下一 一 一步 步 步。
n.单击下 下
下一 一 一步 步 步。
o.在角 角
角色 色 色服 服 服务 务 务部分下，选择ASP ASP ASP、CGI CGI CGI，在应 应 应用 用 用程 程 程序 序 序开 开 开发 发 发下选择服 服 服务 务 务器 器 器端 端 端包 包 包括 括 括。
p.向下滚动到列表底部，选择IIS IIS
IIS6 6 6管 管 管理 理 理兼 兼 兼容 容 容性 性 性。
q.单击下 下
下一 一 一步 步 步。
r.将会显示确 确
确认 认 认安 安 安装 装 装选 选 选择 择 择对话框。单击安 安 安装 装 装。
s.安装完成后单击关 关
关闭 闭 闭。
当使用WindowsServer2008R2（64位）操作系统时，还必须安装监视/警报（SNMP）附加功能。
1.单击开 开
开始 始 始➙ ➙ ➙服 服 服务 务 务器 器 器管 管 管理 理 理器 器 器。
2.在服 服
服务 务 务器 器 器管 管 管理 理 理器 器 器控制台中，单击功 功 功能 能 能，然后在窗口的右侧窗格中单击添 添 添加 加 加功 功 功能 能 能。
3.选择SNMP SNMP
SNMP服 服 服务 务 务。
4.单击下 下
下一 一 一步 步 步。
5.单击安 安
安装 装 装。
6.单击关 关
关闭 闭 闭。
当使用WindowsServer2003R2（32位）SP2操作系统时，还必须安装其他Windows组件。
1.单击开 开
开始 始 始➙ ➙ ➙控 控 控制 制 制面 面 面板 板 板➙ ➙ ➙添 添 添加 加 加/ / /删 删 删除 除 除程 程 程序 序 序。
4 4
4HardwarePasswordManager部署指南

2.单击添 添
添加 加 加/ / /删 删 删除 除 除Windows Windows Windows组 组 组件 件 件。
3.添加以下组件：
a.应用程序服务器
•ASP.NET
•Internet信息服务（IIS）
b.管理和监视工具
•简单网络管理协议
4.单击下 下
下一 一 一步 步 步。
5.对于“可选网络组件”，请选择是 是
是。
6.单击完 完
完成 成 成。
7.安装Microsoft.NETFramework2.0。
8.重新启动服务器。
还必须安装WebServicesEnhancements（WSE）3.0forMicrosoft.NET。该组件由Microsoft在以下网站提供：
http://www.microsoft.com/downloads/details.aspx?FamilyID=018a09fd-3a74-43c5-8ec1-8d789091255d&displaylang=en
1.从上述链接下载MicrosoftWSE3.0.msi安装程序软件包。
2.解压缩安装程序软件包并在核心服务器上运行可执行文件。
3.按照安 安
安装 装 装对话框中的说明，仅使用缺省设置。
带有HPM的ThinkManagement控制台服务器设置
确保作为HardwarePasswordManager的LDAP认证服务器的LDAP服务器（MicrosoftActiveDirectory或
NovelleDirectory）工作正常。
要获取带有HPM的ThinkManagement控制台的安装软件包，请注册后从以下网站下载：
http://www.landesk.com/lenovo。完成注册后，您将收到一封电子邮件，通过其中包含的链接，即可下载安装
软件包以及用于在安装后激活核心服务器的LANDesk凭证。
下载完安装软件包后，请按照下面的说明完成核心服务器安装。
1.使用管理员特权登录到服务器。
2.解压缩ThinkManagement82D.exe安装软件包。将解压缩安装源文件的目标路径复制并粘贴到剪贴板上，
以方便访问。
3.从解压缩安装软件包的目标位置运行ThinkManagement控制台Autorun.exe。在核心服务器上选择安 安
安装 装 装。
按照安 安
安装 装 装向导中的提示执行操作，并在安装后选择立 立 立即 即 即重 重 重新 新 新启 启 启动 动 动。
4.在核心服务器激活实用程序中输入LANDesk联系人名称和密码来激活核心服务器（需要因特网连接）。
5.配置LDAP服务器：
a.将HARDWAREPASSWORDMANAGER服务器和LDAP认证服务器连接到网络。
b.启动ThinkManagement控制台。
c.在工具箱中存在一个ThinkVantageHardwarePasswordManager组，其中包含三项：HPM已登记的用
户、HPM组以及远程操作和策略设置。单击HPM HPM
HPM组 组 组，然后单击工具栏上的配 配 配置 置 置LDAP LDAP LDAP服 服 服务 务 务器 器 器（第
三个按钮）。
d.为将作为认证服务器的LDAP服务器输入信息。需要为LDAP服务器定义以下各项：
•主 主
主机 机 机名 名 名： ： ：LDAP服务器的名称。
•端 端
端口 口 口： ： ：用于和服务器通信的端口号。用于MicrosoftActiveDirectory的缺省端口是389。如果需要
查询全局目录以访问多个ActiveDirectory域，请将该端口更改为3268。如果选择NovelleDirectory
作为LDAP服务器，缺省端口为636。
•服 服
服务 务 务器 器 器类 类 类型 型 型： ： ：选择类型：MicrosoftActiveDirectory或NovelleDirectory。
第2章.在ThinkManagement控制台上安装HardwarePasswordManager5 5
5

•加 加
加密 密 密类 类 类型 型 型： ： ：选择和服务器通信时使用的加密类型。
•已 已
已授 授 授权 权 权的 的 的用 用 用户 户 户： ： ：
–用于登录到MicrosoftActiveDirectory服务器的用户名。
–采用的形式为“域名\用户名”或仅使用用户名。
–用于登录到NovelleDirectory服务器的用户名。
注 注
注： ： ：最好使用“cn=管理员名称,o=管理员上下文”的形式。如果将“绑定限制”设置为“无”，
“管理员名称.管理员上下文”将会有效。如果将“绑定限制”设置为“不允许匿名简单绑定”，
“管理员名称.管理员上下文”将无效。
–密码：LDAP服务器上已授权用户的密码。
e.信息填写完成后，单击确 确
确定 定 定。
ThinkManagement控制台核心服务器的设置现已完成。
迁移到新的LDAP服务器
您可能会发现，自己需要更改LDAP服务器的IP地址或主机名。您可能还需要更改为具有不同IP地址的
新服务器，甚至需要更改为不同类型的LDAP服务器。
如果执行了上述任何更改，您需要创建新的LDAP服务器配置。为此，请重复步骤5中的LDAP配置任务。
建议注销现有已注册的HPM设备，然后使用新的LDAP配置重新进行注册。否则，使用旧LDAP配置注册
的设备将无法执行诸如内部网帐户登录等多种HPM操作。
在Lenovo设备上安装HardwarePasswordManager
要将HardwarePasswordManager功能添加到Lenovo设备中，必须将HPM代理程序部署到设备上。使用推
送或拉出方法可以完成此操作。
要部署具有HardwarePasswordManager客户机功能的代理程序：
1.在ThinkManagement控制台中，单击工 工
工具 具 具➙ ➙ ➙配 配 配置 置 置➙ ➙ ➙代 代 代理 理 理程 程 程序 序 序配 配 配置 置 置。
2.单击“代理程序配置”工具栏上的新 新
新建 建 建，然后输入此代理程序配置的名称。
3.确保在要 要
要安 安 安装 装 装的 的 的代 代 代理 理 理程 程 程序 序 序组 组 组件 件 件部分选中Hardware Hardware HardwarePassword Password PasswordManager Manager Manager选项。
4.保存配置。
如果仅计划使用单个代理程序配置或者计划使用部署的拉出方法，应该将这个新代理程序配置设置为默认配
置。
要使这个新代理程序配置成为默认配置，请执行以下操作：
1.在ThinkManagement控制台的“代理程序配置”窗格中，右键单击新代理程序配置。
2.单击设 设
设置 置 置为 为 为默 默 默认 认 认。一个绿色选中标记将显示在此配置的图标之上。
现在您可以使用推送方法将代理程序部署到Lenovo设备中。有关更多信息，请参阅控制台中“帮助”菜单
下的“入门”和“发现和安装代理程序”帮助向导。对于“入门”向导，您只需执行“启动配置服务工具”
和“配置调度程序凭证”步骤。
注 注
注： ： ：
1.要简化设备发现过程，请关闭Windows®防火墙。
2.对于WindowsXP，必须在Lenovo设备上禁用简单文件共享。缺省情况下，对于登录到域中的设备会禁
用该功能。您可以从“Windows资源管理器”关闭该选项。单击工 工
工具 具 具➙ ➙ ➙文 文 文件 件 件夹 夹 夹选 选 选项 项 项➙ ➙ ➙查 查 查看 看 看，滚动到列
表底部，清除使 使
使用 用 用简 简 简单 单 单文 文 文件 件 件共 共 共享 享 享。
6 6
6HardwarePasswordManager部署指南

3.对于WindowsVista®，最好关闭“用户帐户控制”。
部署代理程序时，会将HPM客户机门户网站安装在设备上。“客户机门户网站”的文件名是cmp_portal.exe，
位于C:\ProgramFiles\Lenovo\HardwarePasswordManager目录中。
另外，还可以使用拉出方法来部署代理程序。此方法需要连接到HPM服务器上的共享文件夹，以及运行将
安装上述缺省代理程序配置的应用程序。
1.以域管理员或本地管理员身份登录Lenovo设备。
2.使用域管理员凭证或其他可访问LDLOGON共享的凭证，直接通过资源管理器或通过将网络驱动器映
射到\\<您的HPM服务器名称>\ldlogon来连接到LDLOGON共享。
3.从共享驱动器中启动WSCFG32.EXE。此时会出现一个对话框，显示将要安装的组件。确保已选中
ThinkVantage ThinkVantage
ThinkVantageHardware Hardware HardwarePassword Password PasswordManager Manager Manager选项。
4.按照提示完成代理程序安装。
在某些情况下，可能需要在企业映像中包含ThinkVantageHardwarePasswordManager客户机，或者通过某
些其他系统管理工具或进程对其进行部署。为适应这些情况，可以从控制台生成代理程序配置的独立可执行
文件软件包。这个可执行文件将在无需任何用户交互的情况下安装代理程序。
要创建独立的可执行文件代理程序安装软件包，请执行以下操作：
1.在ThinkManagement控制台的“代理程序配置”窗格中，右键单击新 新
新建 建 建代 代 代理 理 理程 程 程序 序 序配 配 配置 置 置。
2.单击“创建独立的客户机安装软件包”。
3.在显示的对话框中，指定要保存可执行文件的文件夹。
可执行文件的名称将会以代理程序配置的名称为基础。该过程将在后台运行大约一分钟。将会创建两个可执
行文件和两个日志文件。一个可执行文件由“_with_status”指定，将提供向用户显示安装状态的安装程序。
另一个可执行文件将以静默方式进行安装。
第2章.在ThinkManagement控制台上安装HardwarePasswordManager7 7
7

8 8
8HardwarePasswordManager部署指南

第3章使用ThinkManagement控制台管理HardwarePassword
Manager设备
控制台中可用的HardwarePasswordManager功能将在以下几节进行介绍：
•第9页“查看HardwarePasswordManager设备及其属性”
•第10页“管理HardwarePasswordManager设备上已登记的用户”
•第10页“配置LDAP服务器连接”
•第11页“查看HardwarePasswordManager用户及其属性”
•第11页“删除用户对HardwarePasswordManager设备的访问权”
•第12页“管理HardwarePasswordManager组”
•第12页“管理HardwarePasswordManager设备的远程操作和策略设置”
•第13页“全局更新客户机策略”
•第14页“全局更新硬件密码”
•第15页“更新应急帐户”
•第15页“更改服务器策略设置”
查看HardwarePasswordManager设备及其属性
在“网络”视图中，对于已发现并受管的LenovoHardwarePasswordManager设备，会在“设备”文件夹中添
加了一个单独的文件夹。打开这个“HardwarePasswordManaged设备”文件夹，查看计算机和硬盘的列表。
要查看HardwarePasswordManager设备的属性，请执行以下操作：
1.在ThinkManagement控制台的“网络”视图中，展开“设备”文件夹，然后展开“HardwarePassword
Manager设备”文件夹。
2.根据所需的设备类型单击计 计
计算 算 算机 机 机或硬 硬 硬盘 盘 盘。
3.右键单击设备的名称，然后选择HPM HPM
HPM属 属 属性 性 性。
属 属
属性 性 性对话框中的信息不可编辑。每个选项卡中包含的详细信息汇总如下。
汇 汇
汇总 总 总
此选项卡中列出的密码在缺省情况下是灰色的。在选项卡底部选择显 显
显示 示 示所 所 所有 有 有密 密 密码 码 码文 文 文本 本 本。这样可防止无意间显
示硬件密码。
•注 注
注册 册 册时 时 时间 间 间和 和 和状 状 状态 态 态： ： ：列出注册的日期/时间以及当前状态。
•BIOS BIOS
BIOS密 密 密码 码 码： ： ：显示每个BIOS概要文件的密码，以及概要文件上次备份的日期/时间。该部分包含超级用户
密码（SVP），用于以管理员权限登录到设备；以及开机密码（POP），用于以用户身份登录到设备。
•硬 硬
硬盘 盘 盘密 密 密码 码 码： ： ：列出访问设备上的每块硬盘所需的密码。该部分显示可能为硬盘生成的主密码、用户密码和备
份密码（单击查 查
查看 看 看可查看备份密码的列表）。
•应 应
应急 急 急管 管 管理 理 理帐 帐 帐户 户 户： ： ：列出可以访问HardwarePasswordManager设备的管理帐户的凭证。在每个设备上都会创
建应急管理帐户。该凭证可用于在遇到紧急情况时使用管理员特权来访问设备的BIOS。
已 已
已登 登 登记 记 记的 的 的用 用 用户 户 户： ： ：
该选项卡上列出了所有已登记访问该HardwarePasswordManager设备的用户。内部网帐户用户名就是用于
LDAP用户帐户登录的用户名。硬件帐户用户名是用于将数据保存到硬件帐户（非易失性存储器的一个安全
©CopyrightLenovo20109 9
9

区域，只能由计算机的BIOS访问）的用户名。LDAP路径显示用户在LDAP服务器树中的位置（例如，
CN=ADMINISTRATOR,CN=USERS,DC=TESTLAB）。
属 属
属于 于 于： ： ：
该选项卡列出设备所属的内部网帐户组。LDAP路径显示组在LDAP服务器树中的位置。
远 远
远程 程 程操 操 操作 作 作： ： ：
远 远
远程 程 程操 操 操作 作 作部分列出先前应用于该HardwarePasswordManager设备的所有远程操作。删 删 删除 除 除用 用 用户 户 户远 远 远程 程 程操 操 操作 作 作部分
列出已在设备上登记但访问权已被删除的用户。
客 客
客户 户 户机 机 机策 策 策略 略 略： ： ：
Windows策略列表显示当前应用于该设备的与操作系统相关的策略设置的状态。BIOS策略列表显示当前应
用于该设备的与BIOS相关的策略设置的状态。这些设置是在更 更
更新 新 新客 客 客户 户 户机 机 机策 策 策略 略 略对话框中选择的；请参阅第14
页“全局更新硬件密码”以了解更多信息。
管理HardwarePasswordManager设备上已登记的用户
如果LenovoHardwarePasswordManager设备已在HardwarePasswordManager服务器上注册，那么该设备的
主用户就已作为其授权用户登记。您可以使用HardwarePasswordManager设备上的“客户机门户网站”或
将用户添加到有权操作该设备的HardwarePasswordManager组中，在每个设备上登记其他用户。
要管理HardwarePasswordManager设备的用户，请使用ThinkManagement控制台工具箱中的HPM HPM
HPM已 已 已登 登 登记 记 记
的 的
的用 用 用户 户 户选项（或单击工 工 工具 具 具➙ ➙ ➙ThinkVantage ThinkVantage ThinkVantageHardware Hardware HardwarePassword Password PasswordManager Manager Manager➙ ➙ ➙HPM HPM HPM已 已 已登 登 登记 记 记的 的 的用 用 用户 户 户）。
通过使用“HPM已登记的用户”工具，您可以：
•配置LDAP服务器连接
•查看HardwarePasswordManager用户的列表
•查看HardwarePasswordManager用户的属性
•撤销用户对HardwarePasswordManager设备的访问权
配置LDAP服务器连接
在“管理已登记的用户”视图中，用户和组在一个树形结构中列出，该结构显示用于HardwarePassword
Manager认证的LDAP服务器中的用户和组。要查看该树结构，您必须首先配置LDAP服务器连接。
您在该对话框中输入的信息使HardwarePasswordManager服务器能够连接到LDAP服务器（可以是Microsoft
ActiveDirectory服务器，也可以是NovelleDirectory服务器）。
您可以从一个LDAP服务器迁移到另一个，而不会丢失数据。如果您发现自己需要另一个服务器来进行LDAP
认证，请为新服务器输入配置数据。
要配置LDAP服务器连接：
1.单击工具箱中的HPM HPM
HPM已 已 已登 登 登记 记 记的 的 的用 用 用户 户 户（或单击工 工 工具 具 具➙ ➙ ➙ThinkVantage ThinkVantage ThinkVantageHardware Hardware HardwarePassword Password PasswordManager Manager Manager➙ ➙ ➙HPM HPM HPM
已 已
已登 登 登记 记 记的 的 的用 用 用户 户 户）。
2.单击LDAP LDAP
LDAP服 服 服务 务 务器 器 器。
3.在主 主
主机 机 机名 名 名字段中键入LDAP服务器的主机名。
4.如果您希望使用非缺省的端口来访问服务器，请清除使 使
使用 用 用缺 缺 缺省 省 省端 端 端口 口 口，然后输入另一个端口号。
5.选择服 服
服务 务 务器 器 器类 类 类型 型 型（MicrosoftActiveDirectory或NovelleDirectory）。
6.为服务器选择加 加
加密 密 密类 类 类型 型 型。
10 10
10HardwarePasswordManager部署指南

7.在已 已
已授 授 授权 权 权的 的 的用 用 用户 户 户和密 密 密码 码 码字段中键入用于访问LDAP服务器的凭证。用户可采用“域\用户名”的形式，
也可以只使用用户名。
查看HardwarePasswordManager用户及其属性
HPM HPM
HPM已 已 已登 登 登记 记 记的 的 的用 用 用户 户 户工具使您可以查看已登记访问LenovoHardwarePasswordManager设备的所有用户。您可
以查看所有用户的列表，或在LDAP目录树中选择组来查看列表的子集。您可以查看每个已登记的Hardware
PasswordManager用户的所有属性，包括用户标识、LDAP路径、包含用户的组以及用户登记的目标设备。
属 属
属性 性 性对话框中的这些属性是不可编辑的。
要查看已登记的HardwarePasswordManager用户及其属性：
1.单击工具箱中的HPM HPM
HPM已 已 已登 登 登记 记 记的 的 的用 用 用户 户 户（或单击工 工 工具 具 具➙ ➙ ➙ThinkVantage ThinkVantage ThinkVantageHardware Hardware HardwarePassword Password PasswordManager Manager Manager➙ ➙ ➙HPM HPM HPM
已 已
已登 登 登记 记 记的 的 的用 用 用户 户 户）。
2.要查看所有已登记的用户，请单击该树结构中的所 所
所有 有 有用 用 用户 户 户。
3.要查看用户的子集，请展开在树结构中列出的任何组，然后单击组名。
4.要查看用户的属性，请右键单击用户列表中的用户，然后单击属 属
属性 性 性。
注 注
注： ： ：您也可以选择用户，然后单击工具栏中的属 属 属性 性 性。
以下汇总了属 属
属性 性 性对话框中的选项。
汇 汇
汇总 总 总： ： ：
该选项卡列出用户的标识和常用名称、用户在LDAP树中的路径以及用户的当前状态。另外还列出用户登
记为HardwarePasswordManager用户的日期和时间。
属 属
属于 于 于： ： ：
该选项卡列出用户所属的LDAP组，以及每个组的LDAP路径。
已 已
已登 登 登记 记 记的 的 的设 设 设备 备 备： ： ：
该选项卡列出用户登记的目标设备，以及设备名称和机器标识。
远 远
远程 程 程操 操 操作 作 作： ： ：
该选项卡列出已针对用户执行的任何“删除用户”操作，包括从中删除用户的设备的名称以及上次状态变更
的日期和时间。
删除用户对HardwarePasswordManager设备的访问权
如果在HardwarePasswordManager设备上登记的用户不应再具有对该设备的访问权，您可以删除该登记。要
删除用户，您可以创建一个远程操作，应用于所指定的每个设备。设备下次连接HardwarePasswordManager
服务器以更新其策略时，该用户会从设备的用户列表中除去。
要 要
要从 从 从Hardware Hardware HardwarePassword Password PasswordManager Manager Manager设 设 设备 备 备删 删 删除 除 除用 用 用户 户 户， ， ，请 请 请执 执 执行 行 行以 以 以下 下 下操 操 操作 作 作： ： ：
1.单击工具箱中的HPM HPM
HPM已 已 已登 登 登记 记 记的 的 的用 用 用户 户 户（或单击工 工 工具 具 具➙ ➙ ➙ThinkVantage ThinkVantage ThinkVantageHardware Hardware HardwarePassword Password PasswordManager Manager Manager➙ ➙ ➙HPM HPM HPM
已 已
已登 登 登记 记 记的 的 的用 用 用户 户 户）。
2.在用户列表中选择用户。
3.单击工具箱中的撤 撤
撤销 销 销用 用 用户 户 户。
4.在创 创
创建 建 建远 远 远程 程 程操 操 操作 作 作对话框中，清除对应于您希望从中删除用户的一个或多个设备的复选框。
5.单击确 确
确定 定 定。
第3章.使用ThinkManagement控制台管理HardwarePasswordManager设备11 11
11

管理HardwarePasswordManager组
HardwarePasswordManager组用于将用户组（在LDAP服务器中定义）与HardwarePasswordManager设备联
系在一起。HardwarePasswordManager组非常有用，因为它们使用户无需登记就可以访问一个或多个设备。
将一个设备添加到一个组后，该组中的所有成员都有权访问该设备，并可以使用内部网帐户登录到该设备。
打开HPM HPM
HPM组 组 组工具时，LDAP树形视图中会列出这些组。所有组都是在LDAP服务器上创建的；不能在
ThinkManagement控制台中创建组。但是您可以编辑组（定义组角色）并将设备拖动到这些组中，使这些设
备与组成员关联。
内部网帐户组通过为组中用户定义的角色进行区分。
•用 用
用户 户 户： ： ：HardwarePasswordManager设备的最终用户。
•服 服
服务 务 务技 技 技术 术 术人 人 人员 员 员： ： ：允许对设备进行有限访问以进行维护的IT技术人员。可将访问限定在某个时间范围（持
续时间）内，或者对该技术人员的登录次数进行限制。
•管 管
管理 理 理员 员 员： ： ：允许访问设备的管理用户。
例如，属于被定义为“服务技术人员”角色的组中的所有成员都可以对组中的设备进行指定次数的登录。如
果用户角色定义为只能登录设备两次，那么该用户第二次登录该设备后，其设备访问权便会失效。
要 要
要编 编 编辑 辑 辑Hardware Hardware HardwarePassword Password PasswordManager Manager Manager组 组 组： ： ：
1.单击工具箱中的HPM HPM
HPM组 组 组（或单击工 工 工具 具 具➙ ➙ ➙ThinkVantage ThinkVantage ThinkVantageHardware Hardware HardwarePassword Password PasswordManager Manager Manager➙ ➙ ➙HPM HPM HPM组 组 组）。
2.在LDAP树形视图中，单击组名，然后单击工具栏中的编 编
编辑 辑 辑内 内 内部 部 部网 网 网帐 帐 帐户 户 户组 组 组。编 编 编辑 辑 辑内 内 内部 部 部网 网 网帐 帐 帐户 户 户组 组 组对话框中的
大多数项都不可编辑。您可以为组选择角色；如果选择服 服
服务 务 务技 技 技术 术 术人 人 人员 员 员，就可以限制对HardwarePassword
Manager设备的访问。
3.从组合框中选择角色。
4.如果希望将对设备的访问限定于某个时间段内或限定具体登录次数，请选择达 达
达到 到 到以 以 以下 下 下条 条 条件 件 件后 后 后失 失 失效 效 效。（这
仅适用于“服务技术人员”用户。）
5.如果已选择达 达
达到 到 到以 以 以下 下 下条 条 条件 件 件后 后 后失 失 失效 效 效，请选择持 持 持续 续 续时 时 时间 间 间，然后选择访问HardwarePasswordManager设备的
开始和结束时间；或者选择剩 剩
剩余 余 余的 的 的登 登 登录 录 录次 次 次数 数 数，然后选择登录次数；或者选择每 每 每台 台 台计 计 计算 算 算机 机 机允 允 允许 许 许的 的 的天 天 天数 数 数，然
后指定天数。
6.单击确 确
确定 定 定。
要 要
要将 将 将设 设 设备 备 备与 与 与组 组 组关 关 关联 联 联： ： ：
1.单击工具箱中的HPM HPM
HPM组 组 组（或单击工 工 工具 具 具➙ ➙ ➙ThinkVantage ThinkVantage ThinkVantageHardware Hardware HardwarePassword Password PasswordManager Manager Manager➙ ➙ ➙HPM HPM HPM组 组 组）。
2.从网络视图中（或者从所 所
所有 有 有设 设 设备 备 备或Hardware Hardware HardwarePassword Password PasswordManager Manager Manager设 设 设备 备 备－ － －计 计 计算 算 算机 机 机中）将该设备拖动到LDAP
树形视图中的组名。
3.要查看与某个组关联的设备，请单击组名，然后单击工具栏中的查 查
查看 看 看计 计 计算 算 算机 机 机。要查看与某个组关联的用
户，请单击组名，然后单击工具栏中的查 查
查看 看 看LDAP LDAP LDAP用 用 用户 户 户。
对话框中显示组的LDAP专有名称，并列出与该组关联的设备或用户。该组的成员可以登录到此处列出的所
有设备，除非您已经将该组定义为组访问权会失效的“服务技术人员”组，并且该关联已失效。
管理HardwarePasswordManager设备的远程操作和策略设置
远程操作是指管理员对应用于一个或多个HardwarePasswordManager设备的设置进行的更改。操作包括凭
证管理、注册或注销设备以及登记或删除用户。
远程操作不会立刻应用于HardwarePasswordManager设备。管理员将一个或多个远程操作应用于设备之后，
这些操作将暂挂，直至设备下次开机。设备随后连接到HardwarePasswordManager服务器，请求所有暂挂
的操作。客户机会完成这些操作以使新设置生效。
12 12
12HardwarePasswordManager部署指南