Scénáře zabezpečení nástroje Orchestrator
Publikováno: březen 2016
Platí pro: System Center 2012 SP1 - Orchestrator, System Center 2012 - Orchestrator, System Center 2012 R2 Orchestrator
Následující informace poskytují nejlepší postupy pro bezpečné používání produktu Orchestrator. Tyto informace jsou uvedeny v podobě scénářů. K dispozici jsou následující scénáře:
Scénář: Bezpečný přechod mezi prostředím vývoje, testování a provozním prostředím
Scénář: Efektivní správa členství skupin uživatelů produktu Orchestrator
Scénář: Bezpečný přechod mezi prostředím vývoje, testování a provozním prostředím
Data hesel produktu Orchestrator obsažená v sadách Runbook lze bezpečně sdílet mezi různými instancemi produktu Orchestrator. Například můžete chtít exportovat sady Runbook vytvořené v prostředí vývoje a importovat je do testovacího prostředí nebo exportovat testovací sady Runbook do provozního prostředí. Tento proces exportu a importu vyžaduje zabezpečená šifrovaná data v každé fázi exportu, která budou umožňovat import do různých prostředí produktu Orchestrator.
To se provádí pomocí funkce Importu/Exportu dostupné v nástroji Runbook Designer. Funkce exportu a importu jsou dostupné pod položkou Akce v řádku nabídky nástroje Runbook Designer nebo kliknutím pravým tlačítkem na složku sady Runbook. Funkce exportu je rovněž dostupná kliknutím pravým tlačítkem na kartu sady Runbook, tato funkce se obvykle označuje jako „export samostatné sady Runbook“.
Bez ohledu na způsob exportu sady Runbook jsou šifrovaná data obsažená v sadách Runbook bezpečně uložena do výsledného souboru exportu ve formátu XML. Tato akce je po exportu dokončena zadáním hesla. Když produkt Orchestrator exportuje sady Runbook a s nimi související konfigurace, veškerá šifrovaná data obsažená v sadách Runbook jsou při exportu rozšifrována a znovu zašifrována pomocí zadaného hesla.
Poznámka
- Šifrovací klíč použitý k exportu se liší od klíče použitého k uložení dat do databáze Orchestrator. V podstatě funkce exportu dešifruje šifrovaná data a znovu je zašifruje do souboru exportu. Soubor exportu obsahuje zašifrované heslo.
- Proces exportu nechrání samotnou sadu Runbook ani nešifrovaná data obsažená v sadách Runbook. Export chrání pouze šifrovaná data obsažená v sadách Runbook.
Při opětovném importování souboru exportu vyžaduje import zadání hesla. Pokud se heslo shoduje, jsou zašifrovaná data obsažená v souboru exportu importována a znovu zašifrována pro uložení do databáze Orchestrator pomocí šifrovacího klíče.
Poznámka
- Funkce hesla exportu/importu nepodporuje pravidla složitosti hesla, která mohou být požadována vaší společností. Pro heslo je povolena prázdná hodnota, která však není doporučena pro export citlivých dat, která byla dříve zašifrována.
- Pokud ztratíte heslo použité pro export, můžete přesto provést import sad Runbook a jejich odpovídajících konfigurací. Na obrazovce importu jednoduše zrušte možnost Importovat zašifrovaná data nástroje Orchestrator. Veškerá šifrovaná data platformy Orchestrator nebudou importována, v databázi Orchestrator budou vytvořeny prázdné hodnoty.
Scénář: Efektivní správa členství skupin uživatelů produktu Orchestrator
Orchestrator má dvě hlavní uživatelské role: Autoři a operátoři sad Runbook. Tyto uživatelské role mají v produktu Orchestrator odlišná oprávnění. Autoři sady Runbook jsou jednotlivci, kteří mají k produktu Orchestrator široký přístup správce včetně přístupu k jeho databázím a konfiguraci. Autoři sady Runbook přidělují přístup operátorům sady Runbook. Operátoři sady Runbook mají přístup ke konzoli Orchestration a k webové službě na základě práv přidělených od autorů sady Runbook.
| Uživatelská role | Identifikoval | Práva |
|---|---|---|
| Autor sady Runbook | Člen skupiny uživatelů produktu Orchestrator (viz níže) | - Správci produktu Orchestrator - Čtení, zápis, aktualizace konfigurace produktu Orchestrator - Úplné řízení databáze Orchestrator - Úplné oprávnění šifrování/dešifrování - Přístup k aktivitám sady Runbook, které mohou spolupracovat s externími systémy pomocí integračních balíčků |
| Operátor sady Runbook | Oprávnění pro složku sady Runbook udělené autory sady Runbook v nástroji Runbook Designer | - Nesprávcovská oprávnění k produktu Orchestrator - Přístup ke konzoli Orchestration a webové službě - Zobrazení a vyvolání sad Runbook na základě práv udělených autory sady Runbook - Žádný přístup k databázi Orchestrator - Žádná oprávnění šifrování/dešifrování |
Poznámka
Umístění uživatelského účtu do skupiny uživatelů produktu Orchestrator určuje tento uživatelský účet jako správce produktu Orchestrator. Všichni uživatelé produktu Orchestrator mají v zásadě stejná práva správce s plným přístupem k produktu Orchestrator a datům obsaženým v databázi. To zahrnuje přístup k šifrovaným a dešifrovaným datům obsaženým v databázi Orchestrator.
Produkt Orchestrator řídí zabezpečení prostřednictvím členství ve dvou skupinách zabezpečení vytvořených během instalace. Jedná se o skupinu uživatelů produktu Orchestrator a systémovou skupinu produktu Orchestrator. Členství v jedné nebo obou těchto skupinách identifikuje účty, které jsou považovány za správce produktu Orchestrator („důvěryhodné osoby“). Práva správce zahrnují možnost aktualizace sad Runbook a jejich odpovídajících dat konfigurace, aktualizaci konfigurace serverů sad Runbook, interakci s externími systémy prostřednictvím integračních balíčků, instalaci a nasazení integračních balíčků, integraci s databází Orchestrator prostřednictvím kódu programu, aktualizaci konfigurace databáze a šifrování/dešifrování šifrovaných dat uložených v databázi Orchestrator.
Poznámka
Členství v jedné nebo obou těchto skupinách poskytuje k produktu Orchestrator plný přístup správce včetně přístupu ke všem datům obsaženým v databázi Orchestrator a plným právům k šifrování/dešifrování.
| Skupina zabezpečení | Přidružená osoba | Účel skupiny zabezpečení |
|---|---|---|
| Skupina uživatelů produktu Orchestrator | Autoři sad Runbook a každý, kdo nasazuje integrační balíčky | Tato skupina zabezpečení definuje uživatelské účty, které budou moci spouštět nástroj Runbook Designer, Deployment Manager a Data Store Configuration. Členství v této skupině uděluje privilegovaný přístup k databázi Orchestrator. To zahrnuje možnost číst a aktualizovat konfiguraci databáze a také přístup k šifrovaným datům a jejich dešifrování. |
| Systémová skupina produktu Orchestrator | Žádná (používá se pro účet služby) | Tato skupina zabezpečení definuje účty služby, které vyžadují privilegovaný přístup k databázi Orchestrator. To zahrnuje možnost číst a aktualizovat konfiguraci databáze a také přístup k šifrovaným datům a jejich dešifrování. |
Následující uživatelské role jsou považovány za důvěryhodné/nedůvěryhodné osoby produktu Orchestrator.
| Doména zabezpečení | Kontext | Práva pro šifrování | Identifikoval | Důvěryhodná osoba |
|---|---|---|---|---|
| Doba běhu | Služby produktu Orchestrator Alternativní pověření „Vyvolání sady Runbook“ |
Úplné šifrování a dešifrování | Systémová skupina produktu Orchestrator ve službě Active Directory / pověření aktivity „Vyvolání sady Runbook“ sady Runbook | Ano |
| Doba návrhu | Runbook Designer Deployment Manager Konfigurace úložiště dat |
Úplné šifrování a dešifrování | Skupina uživatelů produktu Orchestrator ve službě Active Directory | Ano |
| Operátor | Orchestration Console Webová služba |
Žádný výslovný přístup k šifrovaným či dešifrovaným datům. | Uživatelská práva definovaná v nástroji Runbook Designer rolí autora sad Runbook | Ne |
| Správce databáze | MS SQL Server 2008 R2 | Úplné šifrování a dešifrování | Práva pro server SQL jako DBA s právy k databázi Orchestrator | Ano |
| Správce systému Windows | Windows Server 2008 R2 | Nemá udělena žádná výslovná práva, správci systému Windows jsou však považováni za důvěryhodné osoby. | Práva pro systém Windows | Ano |