Seguridad de la base de datos de Orchestration
Publicado: marzo de 2016
Se aplica a: System Center 2012 SP1 - Orchestrator, System Center 2012 - Orchestrator, System Center 2012 R2 Orchestrator
Las secciones siguientes proporcionan información acerca de la protección de la base de datos de Orchestration en Orchestrator:
Roles de base de datos
Protección de las conexiones de SQL Server
Claves de cifrado
Roles de base de datos
La seguridad de la base de datos de Orchestration se implementa a través de roles de base de datos de las versiones compatibles de Microsoft SQL Server. La tabla siguiente muestra los roles que se crean en la base de datos de Orchestration y los permisos concedidos a cada uno de los roles. Estos roles se configuran y rellenan con los miembros obligatorios durante el proceso de instalación, por lo que normalmente no suele ser necesario trabajar directamente con ellos. La información siguiente tiene como objetivo ayudar al administrador a comprender la seguridad de la configuración y prepararse para posibles escenarios personalizados.
| Cuenta | Rol de base de datos |
|---|---|
| Cuenta de Management Service | Microsoft.SystemCenter.Orchestrator.Admins |
| Miembro del grupo de administradores de Orchestrator | Microsoft.SystemCenter.Orchestrator.Admins |
| Cuenta de Orchestrator Runbook Service | Microsoft.SystemCenter. Orchestrator.Runtime |
| Cuenta de servicio de Orchestrator Runbook Server Monitor | Microsoft.SystemCenter. Orchestrator.Runtime |
| Cuenta de usuario del servicio web de Orchestrator | Microsoft.SystemCenter. Orchestrator.Operators |
| Rol | Permiso | Objeto |
|---|---|---|
| Microsoft.SystemCenter. Orchestrator.Operators | SELECCIONAR | [Microsoft.SystemCenter.Orchestrator.Runtime].[Jobs], [Microsoft.SystemCenter.Orchestrator.Runtime].[RunbookInstances], [Microsoft.SystemCenter.Orchestrator.Runtime].[RunbookInstanceParameters], [Microsoft.SystemCenter.Orchestrator.Runtime].[RunbookServers], [Microsoft.SystemCenter.Orchestrator.Runtime].[ActivityInstances], [Microsoft.SystemCenter.Orchestrator.Runtime].[ActivityInstanceData], [Microsoft.SystemCenter.Orchestrator.Runtime].[Events], [Microsoft.SystemCenter.Orchestrator.Statistics].[Statistics] |
| Microsoft.SystemCenter. Orchestrator.Operators | EJECUTAR | [Microsoft.SystemCenter.Orchestrator].[GetSecurityToken], [Microsoft.SystemCenter.Orchestrator].[AccessCheck], [Microsoft.SystemCenter.Orchestrator].[ComputeAuthorizationCache], [Microsoft.SystemCenter.Orchestrator.Statistics.Internal].[GetStatisticsSummary], [Microsoft.SystemCenter.Orchestrator.Runtime].[CreateJob], [Microsoft.SystemCenter.Orchestrator.Runtime].[CancelJob] |
| Microsoft.SystemCenter. Orchestrator.Runtime | SELECCIONAR | Todas las tablas, dbo.[POLICIES_VIEW], dbo.[POLICY_REQUEST_HISTORY] |
| Microsoft.SystemCenter. Orchestrator.Runtime | INSERTAR | dbo.[OBJECT_AUDIT] |
| Microsoft.SystemCenter. Orchestrator.Runtime | INSERTAR, ACTUALIZAR | dbo.[OBJECTS], dbo.[ACTIONSERVERS], dbo.[POLICYINSTANCES], dbo.[OBJECTINSTANCES], dbo.[OBJECTINSTANCEDATA] |
| Microsoft.SystemCenter. Orchestrator.Runtime | INSERTAR, ELIMINAR | dbo.[COUNTERINSTANCES], dbo.[POLICYRETURNDATA] |
| Microsoft.SystemCenter. Orchestrator.Runtime | ACTUALIZAR | dbo.[POLICY_PUBLISH_QUEUE] |
| Microsoft.SystemCenter. Orchestrator.Runtime | CONTROLAR | [ORCHESTRATOR_ASYM_KEY], [ORCHESTRATOR_SYM_KEY] |
| Microsoft.SystemCenter. Orchestrator.Runtime | EJECUTAR | dbo.sp_insertevent, dbo.sp_PublishPolicy, dbo.sp_UnpublishPolicy, dbo.sp_UnpublishPolicyRequest, dbo.fn_GetPolicyInstanceStatus, dbo.fn_NumFailedInstancesPerServer, dbo.fn_NumInstancesPerServer, dbo.fn_NumRunningInstancesPerServer, [Microsoft.SystemCenter.Orchestrator.Cryptography].[Encrypt], [Microsoft.SystemCenter.Orchestrator.Cryptography].[Decrypt], [Microsoft.SystemCenter.Orchestrator.Internal].[RethrowError] |
| Microsoft.SystemCenter. Orchestrator.Admins | SELECCIONAR, INSERTAR, ACTUALIZAR, ELIMINAR, MODIFICAR, CREAR TABLAS | SCHEMA::dbo |
| Microsoft.SystemCenter. Orchestrator.Admins | REFERENCIAS | dbo.[OBJECTS] |
| Microsoft.SystemCenter. Orchestrator.Admins | SELECCIONAR | dbo.[POLICIES_VIEW], GRANT SELECT ON dbo.[POLICY_REQUEST_HISTORY] |
| Microsoft.SystemCenter. Orchestrator.Admins | CONTROLAR | [ORCHESTRATOR_ASYM_KEY], [ORCHESTRATOR_SYM_KEY] |
| Microsoft.SystemCenter. Orchestrator.Admins | EJECUTAR | [Microsoft.SystemCenter.Orchestrator.Cryptography].[CreateOrchestratorKeys], [Microsoft.SystemCenter.Orchestrator.Cryptography].[DropOrchestratorKeys], [Microsoft.SystemCenter.Orchestrator.Cryptography].[Encrypt], [Microsoft.SystemCenter.Orchestrator.Cryptography].[Decrypt], [Microsoft.SystemCenter.Orchestrator.Internal].[RethrowError], dbo.sp_CustomLogCleanup, dbo.sp_GetLogEntriesForDelete_FilterByDays, dbo.sp_GetLogEntriesForDelete_FilterByEntries, dbo.sp_GetLogEntriesForDelete_FilterByEntriesAndDays, dbo.sp_insertevent, dbo.sp_PublishPolicy, dbo.sp_UnpublishPolicy, dbo.sp_UnpublishPolicyRequest, dbo.fn_GetPolicyInstanceStatus, dbo.fn_NumFailedInstancesPerServer, dbo.fn_NumInstancesPerServer, dbo.fn_NumRunningInstancesPerServer, [Microsoft.SystemCenter.Orchestrator.Internal].AddUserToRole, [Microsoft.SystemCenter.Orchestrator].[SetPermissions], [Microsoft.SystemCenter.Orchestrator.Internal].[SetProductInfo] |
La utilidad Configuración de base de datos (DBSetup.exe) requiere que el usuario disponga de permisos en el equipo en el que está instalado el servidor de administración y que este pertenezca al grupo de administradores o usuarios de Orchestrator para poder tener acceso al archivo settings.dat. Las herramientas personalizadas que se conectan a la base de datos directamente a través del archivo DBDataStore.dll, requieren los mismos permisos.
.jpeg "System_CAPS_ICON_important.jpg") Importante |
|---|
Al instalar Orchestrator, asegúrese de que la cuenta utilizada para la conexión a SQL Server disponga de los privilegios mínimos en SQL Server para evitar una posible elevación de privilegios. |
Protección de las conexiones de SQL Server
Las conexiones de SQL Server en implementaciones predeterminadas de Orchestrator no están protegidas. Una excepción a lo anterior se produce cuando Orchestrator almacena o recupera datos confidenciales. En este caso, Orchestrator crea una conexión segura con el SQL Server mediante un certificado autofirmado. Este certificado no ofrece un nivel de seguridad elevado y puede sufrir ataques de tipo Man in the middle (MitM).
Para obtener información acerca del cifrado de las conexiones a SQL Server, vaya a Cifrar conexiones a SQL Server (configuración de SSL). Para obtener información sobre cómo habilitar conexiones al motor de base de datos, vaya a Cómo: Habilitar conexiones cifradas en el motor de base de datos (Administrador de configuración de SQL Server).
Claves de cifrado
Como parte de su planeación de seguridad, debe planear el cambio de las claves de cifrado con intervalos regulares. El National Institute of Standards and Technology (NSIT) recomienda cambiar las claves al menos una vez cada dos años. Para obtener más información acerca de los estándares de seguridad del NSIT, vaya a NSIT Computer Security Division Computer Security Resource Center (Centro de recursos de seguridad informática de la división de seguridad informática del NSIT).
Para cambiar las claves de cifrado
Desde Runbook Designer, exporte todos los Runbooks, la configuración global, las variables, las programaciones, etc.
Proporcione una contraseña para la exportación.
Durante la exportación, todos los datos cifrados se descifrarán y se volverán a cifrar con una nueva clave creada con la contraseña.
Si lo desea, modifique la clave de la base de datos maestra de SQL Server.
Orchestrator cifra los datos mediante la clave de la base de datos maestra de SQL Server y la clave de la base de datos maestra de la base de datos de Orchestration.
Para obtener más información acerca del cambio de la clave de la base de datos maestra de SQL Server, vaya a SQL Server y claves de cifrado de base de datos (motor de base de datos).
Vuelva a instalar el servidor de administración y cree una nueva base de datos.
Para obtener información acerca de la instalación del servidor de administración, vea el tema Instalación del servidor de administración.
No se conecte a la base de datos existente. Se creará una nueva clave criptográfica cuando se cree una nueva base de datos.
Desde Runbook Designer, vuelva a importar los Runbooks, así como los demás datos exportados.
Ofrezca la contraseña usada para la exportación. Los datos del archivo de exportación se descifrarán con la contraseña y se cifrarán conforme se importen en la base de datos mediante la nueva clave de base de datos maestra de Orchestrator.