Сброс пароля на серверах Huawei требует физического доступа к консоли управления iBMC или BMC. Без активной сессии администратора или подключения к выделенному порту управления процедура восстановления доступа невозможна. В статье разобраны официальные методы для серий FusionServer, TaiShan и высокоплотных платформ.
Все описанные сценарии предполагают наличие кабеля консоли (RJ45-to-DB9 или USB-to-RJ45) и монитора с клавиатурой либо настроенного KVM-переключателя. Удаленный сброс без знания текущих учетных данных не поддерживается политикой безопасности Huawei.
Подготовка и предварительные проверки
Перед началом работы убедитесь, что сервер включен и индикатор питания горит стабильно. Подключитесь к порту Management (обычно отмечен как MGT или iBMC) патч-кордом от ноутбука с настроенной статической IP-адресацией из той же подсети, что и BMC (по умолчанию часто 192.168.2.100 или полученный по DHCP).
Проверьте версию прошивки iBMC через веб-интерфейс или CLI, так как синтаксис команд отличается для версий до V300 и после V500. Актуальную прошивку и Release Notes скачивайте только с Huawei Support по серийному номеру (SN) châssis.
⚠️ Внимание: Любые манипуляции с учетными записями администратора логируются в системном журнале (SEL). Несанкционированная попытка сброса может инициировать блокировку порта управления на уровне аппаратного WDT.
Подготовьте флеш-накопитель с файловой системой FAT32 для методов, требующих загрузку образа восстановления. Отформатируйте его на другой машине, чтобы избежать случайного удаления данных.
Сброс пароля через веб-интерфейс iBMC (если известен текущий пароль)
Если у вас есть доступ под учетной записью с правами Administrator или Operator с разрешением на управление пользователями, это самый безопасный способ. Войдите в веб-интерфейс по HTTPS-адресу BMC.
Перейдите в раздел Configuration → User Management → Local Users. Выберите целевую учетную запись (обычно root или Administrator), нажмите Modify и задайте новый пароль, соответствующий политике сложности (минимум 8 символов, спецсимволы, регистры). Сохраните изменения.
☑️ Чек-лист перед сменой пароля в Web UI
После смены пароля рекомендуется обновить прошивку iBMC до последней версии, чтобы устранить известные уязвимости CVE, связанные с управлением сессиями.
Сброс через CLI (IPMI/SSH) с правами администратора
При наличии SSH-доступа под учетной записью с привилегиями ADMIN используйте утилиту ipmitool или встроенную оболочку ipmc. Подключитесь: ssh root@.
В интерактивном режиме ipmc выполните последовательность команд для смены пароля пользователя root (ID обычно 2 или 3, проверьте командой user list).
ipmcset -d userpwd -v 2 NewPassw0rd!Для версий iBMC V5 и новее используется команда smartprovision или REST API. Пример через curl для Redfish API:
curl -k -u root:OldPass -X PATCH https:///redfish/v1/AccountService/Accounts/2 -H "Content-Type: application/json" -d '{"Password": "NewPassw0rd!"}' Используйте SSH-ключи для беспарольного входа в iBMC CLI. Это исключает риск потери пароля администратора в будущем.
После выполнения команды проверьте вход под новыми учетными данными. Не закрывайте текущую сессию до успешного теста нового пароля.
Восстановление доступа при утере пароля root (Single User Mode / U-Boot)
Если пароль root утерян полностью, используется режим однопользовательской загрузки BMC (Single User Mode) или прерывание загрузчика U-Boot. Метод требует подключения к последовательной консоли (COM/SOL) через ipmitool sol activate или физический COM-порт.
Перезагрузите BMC (не весь сервер!) командой ipmcset -d reset или коротким замыканием контактов JCMOS1 на системной плате (см. Service Manual для конкретной модели, например 2288H V5). В момент появления надписи Hit any key to stop autoboot нажмите Space или Ctrl+C.
Детали прерывания U-Boot для серий 1288/2288/2488 V5/V6
В консоли U-Boot введите: `setenv bootargs single` затем `boot`. BMC загрузится в однопользовательском режиме без запроса пароля. Смонтируйте раздел конфигурации: `mount -o remount,rw /mnt/flash`. Отредактируйте `/mnt/flash/ipmc/config/passwd` или используйте `passwd root`. Перезагрузите: `reboot`.
⚠️ Внимание: Неправильное редактирование переменных окружения U-Boot (bootargs,bootcmd) может привести к неработоспособности BMC, требующей перепрограммирования SPI-флеша через программатор.
После загрузки в Single User Mode смените пароль стандартной командой passwd root. Синхронизируйте время командой hwclock -w, иначе SSL-сертификаты iBMC станут невалидными.
Использование утилиты Huawei Server Deployment Suite (SDS) / Smart Provisioning
Для массового развертывания или если сетевой доступ к BMC потерян, применяется загрузка с ISO-образа Smart Provisioning или Server Deployment Suite. Запишите образ на USB-флешку (Rufus, Ventoy) и загрузите сервер с неё (выбор Boot Device при POST: F11 или F12).
В меню Smart Provisioning выберите Maintenance → BMC Configuration → Reset BMC Password. Утилита сбросит пароль пользователя Administrator на значение по умолчанию, указанное на этикетке BMC Default Password на корпусе сервера (обычно 8-значный код).
После загрузки ОС обязательно зайдите в iBMC и смените пароль по умолчанию на сложный уникальный. Оставлять дефолтный пароль с этикетки — критическая дыра в безопасности.
Особенности сброса для разных линеек: FusionServer, TaiShan, KunLun
Архитектура BMC едина, но есть нюансы. В серверах на процессорах Kunpeng (серия TaiShan) iBMC основана на открытом проекте OpenBMC, что дает больше свободы в кастомизации скриптов восстановления. В x86-линейке FusionServer (Intel/AMD) используется проприетарный стек AMI MegaRAC.
| Серия / Платформа | Порт управления | Дефолтный пользователь | Метод Single User | Заводской пароль на этикетке |
|---|---|---|---|---|
| FusionServer 2288H V5/V6 | RJ45 MGT (LAN1) | Administrator | U-Boot interrupt | Да (8 символов) |
| TaiShan 2280 V2 (Kunpeng 920) | RJ45 MGT / OCP | root | U-Boot / OpenBMC shell | Да (Random) |
| KunLun 9016 (Mission Critical) | Dedicated MGT x2 | root / Administrator | Service Button (HW) | Нет (только SMS) |
| FusionServer X6800 (High Density) | MGT на узле (Node) | Administrator | IPMI SOL + U-Boot | Да (на узле) |
Для миссионно-критических систем KunLun сброс пароля часто требует нажатия физической кнопки Service Button на материнской плате в течение 6-10 секунд при включенном питании, что переводит BMC в сервисный режим.
После сброса: аудит безопасности и усиление доступа
Успешный сброс пароля — только половина задачи. Необходимо провести аудит: проверить журнал SEL (ipmcget -d sel) на предмет попыток брутфорса, отключить неиспользуемые учетные записи, настроить LDAP/AD интеграцию для централизованного управления доступом.
Включите двухфакторную аутентификацию (2FA) для веб-интерфейса iBMC (поддерживается начиная с V5xx). Настройте политику блокировки аккаунта после 3-5 неудачных попыток (Account Lockout Policy).
Главный вывод: физический доступ к консоли BMC — единственный легальный вектор восстановления root-доступа без потери данных. Удаленный сброс без пароля не существует по дизайну безопасности.
⚠️ Внимание: После сброса пароля через U-Boot или Service Button проверьте целостность RAID-массивов и настройки BIOS/UEFI. Сброс BMC не затрагивает настройки RAID-контроллера, но сброс CMOS (JCMOS) сбросит настройки BIOS к дефолтным, что может нарушить загрузку ОС.
Сохраните новый пароль в корпоративном менеджере секретов (HashiCorp Vault, CyberArk, KeePass). Документируйте процедуру в Runbook отдела инфраструктуры.
Часто задаваемые вопросы (FAQ)
Можно ли сбросить пароль iBMC удаленно, не зная текущий?
Нет. Архитектура безопасности Huawei не предусматривает "закладок" для удаленного сброса без аутентификации. Требуется физический доступ к порту Management или последовательной консоли.
Что делать, если забыт пароль и отключен порт Management (MGT)?
Необходимо использовать последовательный порт (COM/SOL) через IPMI SOL (ipmitool -I lanplus -H ) или физический DB9/RJ45 консольный кабель. Если SOL тоже отключен — только перезагрузка BMC с прерыванием U-Boot через физическую консоль.
Сбрасывает ли сброс пароля BMC настройки RAID или BIOS?
Нет. BMC (iBMC) — это отдельный контроллер управления (Baseboard Management Controller). Сброс его пароля или перепрошивка не затрагивает настройки RAID-контроллера (LSI/MegaRAID) и BIOS/UEFI системной платы.
Где найти заводской пароль по умолчанию для моей модели?
На этикетке, наклеенной на корпус сервера (часто на выдвижном ярлычке спереди или сбоку узла), и на коробке от сервера. Поле обычно подписано BMC Default Password или iBMC Password. Для KunLun пароль уникален и выдается через службу поддержки по SN.
Почему после сброса пароля через U-Boot не работает HTTPS доступ?
Скорее всего, сбилось время системы BMC. SSL-сертификаты имеют поля NotBefore/NotAfter. Выполните синхронизацию времени: ntpdate pool.ntp.org или hwclock -w после установки правильного времени в CLI.