【MEBX 設(shè)置】
Intel(R) AMT KVM特性需要能用起來，首先需要在MEBX中將AMT KVM特性激活：Ctrl+P進入MEBX菜單后，INTEL(R) AMT CONFIGURATION --> KVM Configuration --> KVM Feature Selection --> ENABLED。
考慮到接管用戶桌面帶來的隱私和安全問題，AMT設(shè)計了Opt-in用來完成一次性密碼認證；同時為了企業(yè)IT管理的自動化和方便性，在MEBX菜單中提供了選項來打開或關(guān)閉Opt-in。“User Opt-in”菜單用來設(shè)置，當遠程控制臺需要與客戶機端建立KVM連接時，是否需要通過一次性密碼來認證。如下圖所示，有兩個選項，一個是不需要，一個是需要。
當配置成“User Consent is not required for KVM session”時，控制臺發(fā)起KVM連接后，通過AMT的用戶認證機制或VNC的認證機制后，就可以直接看到客戶端的屏幕顯示，并可以遠程操作鼠標和鍵盤；如果配置成“User Consent is required for KVM Session”，則在控制臺可以看到客戶端屏幕和操作鍵盤鼠標之前，客戶端本地顯示會先彈出一個框，顯示本次KVM連接需要的一次性密碼，如下圖所示，一個是用戶本地屏幕顯示，一個是控制臺顯示：
用戶必須通過其他途徑（比如電話，短信或郵件等方式），將此隨機生成的一次性密碼告知控制臺端的操作人員，控制臺端操作人員輸入用戶告知的一次性密碼后遠程操作才能繼續(xù)。
上圖客戶端本地顯示的一次性密碼的提示框是不依賴于操作系統(tǒng)的，也就是這個提示框即使是在BIOS啟動過程中，或操作系統(tǒng)啟動過程中都能顯示出來。如果試圖在操作系統(tǒng)通過截屏來獲取此提示框，是無法做到的，有興趣的讀者可以自己試試。
回到MEBX關(guān)于KVM特性選項，菜單“Opt-in Configurable from remote IT”用于設(shè)置是否允許遠程控制臺設(shè)置是否需要前面“User Opt-in”菜單提到的需要用戶告知一次性密碼，分Enable和Disable選項。選中Enable后，及時“User Opt-in”設(shè)置了需要用戶的一次性密碼，遠程控制臺也可以通過遠程接口設(shè)置成不需要用戶的一次性密碼。
有一點需要注意的是，無法通過KVM操作MEBX的菜單。當啟用KVM后，在啟動過程中，按ctrl + p進入AMT的MEBX菜單的提示是沒有的。
【KVM控制臺】
Intel(R) AMT內(nèi)部實現(xiàn)的KVM Server端是與標準的VNC兼容的，支持RFB 3.8和4.0版本； RFB 4.0版本在性能、可用性和可擴展能力上都有提高。因此，可以通過標準的VNC客戶端軟件連接AMT的KVM，也可以使用Intel(R) AMT SDK里面提供的工具來連接AMT的KVM。使用后者的性能將會更好。
Intel(R) AMT的KVM可以通過標準的RFB端口5900來呢連接，也可以通過AMT的傳統(tǒng)重定向端口（16994和16995）來連接。連接RFB 5900端口時，走的是RFB的認證機制，需要提供RFB的認證密碼；連接AMT重定向端口是，走的AMT本身的認證機制，需要提供具有重定向訪問權(quán)限的用戶名和密碼。不管是走5900端口還是重定向窗口，前面提到的過的一次性密碼是否需要提供，是單獨設(shè)置的；也就是說，在認證方式上，可以是RFB密碼+一次性密碼；或僅RFB密碼；或AMT用戶名+密碼+一次性密碼；或僅AMT用戶名+密碼。不管是走RFB 5900端口或者是走AMT重定向端口，這兩個能夠連接KVM的端口默認都是關(guān)閉的，在使用之前需要通過相應(yīng)的遠程操作接口將其打開，然后才能連接。
1. 通過標準VNC客戶端連接
筆者這里選擇的是TightVNC來作為標準的VNC客戶端連接AMT的KVM。標準的VNC客戶端可以連接AMT的5900端口，也可以間接的連接AMT重定向端口來使用AMT的KVM功能。
第一種方法是直接連接AMT的5900端口；因為AMT內(nèi)部的VNC服務(wù)器端是與標準兼容的，毋容置疑，直接連5900端口是可以的。通過TightVNC的Listen Mode連接AMT的5900，輸入RFB密碼，然后再輸入一次性密碼，就可以看到桌面了。
在使用上述方法連接時，筆者測試了做一些普通的桌面操作，比如瀏覽文件夾、打開圖片、打開應(yīng)用等，所需要的網(wǎng)絡(luò)帶寬大致如下圖所示：
也就是至少需要100Mbps的12.5%的帶寬才能滿足比較流暢的畫面，相對來說還是有一些拖尾感的。
有時候為了安全考慮，可能無法直接使用RFB的5900端口，那么這時候也可以通過標準的VNC客戶端間接連接AMT的重定向端口，中間需要另外一個程序來做代理。AMT的最新SDK中提供了一個名為KVMTray的程序，運行后監(jiān)聽在內(nèi)部127.0.0.1地址的5900端口；當有VNC客戶端連接時，會自動彈出一個輸入AMT連接和用戶認證信息的窗口，然后就可以連接到AMT的重定向端口了，如下圖所示。此時走的還是標準RFB協(xié)議，性能上和前面的數(shù)據(jù)差不多。
另外，如果是標準VNC客戶端想通過CIRA方式連接KVM，則基本是需要走KVMTray這種代理的方式來連接；否則需要自己修改VNC客戶端源碼來支持CIRA連接方式了。
2. 通過AMT SDK中的KVMConsoleApplication程序
最新AMT SDK中提供的一個基于C#的例子，通過第三方優(yōu)化的VNC連接庫連接AMT的KVM，此程序目前名為KVMConsoleApplication，可以直接連接AMT的5900端口和重定向端口，支持TLS和CIRA方式的連接，還提供了設(shè)置KVM相關(guān)參數(shù)的功能。
通過“Default Port”連接時，需要輸入AMT的IP地址和RFB密碼；通過“Redirection Ports”連接時，需要輸入AMT的IP地址和用戶名以及密碼。點擊“Start Session”窗口后，就能打開KVM操作界面，如下圖：
性能要比直接用VNC客戶端連接要來得好，在基本相同的畫質(zhì)情況下，大概只需要一半左右的帶寬，如下圖。打開或拖動窗口時，基本已經(jīng)沒有明顯的拖尾感了。
因此，如果想開發(fā)基于Intel(R) AMT KVM的應(yīng)用，在已經(jīng)有VNC客戶端的情況下，如果和RFB 3.8兼容，則可以直接用來使用AMT的KVM特性；在沒有VNC客戶端情況下，則可以參考SDK里面的KVM控制臺的實現(xiàn)來實現(xiàn)滿足按自己需求的KVM控制臺。
喜歡 
頂
難過
囧
圍觀
無聊
