Sécurité et confidentialité pour les profils de certificat dans Configuration Manager
S'applique à: System Center 2012 Configuration Manager SP2, System Center 2012 R2 Configuration Manager, System Center 2012 R2 Configuration Manager SP1
Notes
Les informations de cette rubrique s'appliquent seulement aux versions System Center 2012 R2 Configuration Manager.
Notes
Cette rubrique s'affiche dans le guide Biens et compatibilité dans System Center 2012 Configuration Manager et dans le guide Sécurité et confidentialité pour System Center 2012 Configuration Manager.
Cette rubrique contient des informations de sécurité et de confidentialité pour les profils de certificat dans System Center 2012 Configuration Manager.
Meilleures pratiques pour la sécurité des profils de certificat
Utilisez les meilleures pratiques de sécurité suivantes lorsque vous gérez des profils de certificat pour des périphériques.
Meilleure pratique de sécurité |
Plus d'informations |
|---|---|
Identifiez et suivez les meilleures pratiques de sécurité pour le service d'inscription de périphériques réseau, ce qui comprend la configuration du site Web Service d'inscription de périphériques réseau dans Internet Information Services (IIS) pour exiger le protocole SSL et ignorer les certificats clients. |
Pour plus d'informations, voir Network Device Enrollment Service Guidance (Guide du service d'inscription de périphériques réseau) dans la bibliothèque des services de certificats Microsoft Active Directory sur TechNet. |
Lorsque vous configurez des profils de certificat SCEP, choisissez les options les plus sécurisées prises en charge par vos périphériques et votre infrastructure. |
Identifiez, implémentez et suivez les meilleures pratiques de sécurité recommandées pour vos périphériques et votre infrastructure. |
Spécifiez manuellement l'affinité entre utilisateur et appareil au lieu de permettre aux utilisateurs d'identifier leur appareil principal. En outre, n'activez pas la configuration basée sur l'utilisation. |
Si vous cliquez sur l'option Autoriser l'inscription du certificat uniquement sur le périphérique principal des utilisateurs dans un profil de certificat SCEP, ne considérez pas les informations collectées à partir d'utilisateurs ou du périphérique comme faisant autorité. Si vous déployez des profils de certificat SCEP avec cette configuration, et l'affinité entre utilisateur et périphérique n'est pas spécifiée par un utilisateur administratif approuvé, une élévation de privilèges et des certificats pour l'authentification peuvent être accordés à des utilisateurs qui ne sont pas autorisés. Notes Si vous n'autorisez pas la configuration basée sur l'utilisation, ces informations sont collectées à l'aide de messages d'état non sécurisés par Configuration Manager. Pour réduire l'étendue de cette menace, utilisez la signature SMB ou IPsec entre les ordinateurs clients et le point de gestion. |
N'ajoutez pas d'autorisations de lecture et d'inscription pour les utilisateurs sur les modèles de certificats ou configurez le point d'enregistrement de certificat de manière à ignorer la vérification du modèle de certificat. |
Même si Configuration Manager prend en charge la vérification supplémentaire si vous ajoutez les autorisations de sécurité Lecture et Inscription pour les utilisateurs, et que vous pouvez configurer le point d'enregistrement de certificat de manière à ignorer cette vérification si l'authentification n'est pas possible, ces configurations ne représentent pas les meilleures pratiques en matière de sécurité. Pour plus d'informations, voir Planification d'autorisations de modèles de certificat pour les profils de certificat dans Configuration Manager. |
Informations de confidentialité pour les profils de certificat
Vous pouvez utiliser des profils de certificat pour déployer des certificats d'Autorité de certification racine et clients et évaluer si ces périphériques deviennent conformes après l'application des profils. Le point de gestion transmet les informations de compatibilité au serveur de site et Configuration Manager les stocke dans la base de données de site. Les informations de compatibilité incluent des propriétés de certificat telles que le nom d'objet et l'empreinte numérique. Les informations sont chiffrées lorsque les périphériques les envoient au point de gestion mais ne sont pas stockées au format chiffré dans la base de données de site. La base de données conserve les informations jusqu'à ce que la tâche de maintenance Supprimer les données de gestion de configuration anciennes les supprime après le délai par défaut de 90 jours. Vous pouvez configurer l'intervalle de suppression. Les informations de compatibilité ne sont pas transmises à Microsoft.
Les profils de certificat utilisent les informations que Configuration Manager a collectées par la découverte. Pour plus d'informations sur les informations de confidentialité pour la découverte, voir la section Informations de confidentialité pour la découverte dans Sécurité et confidentialité pour l'administration de site dans Configuration Manager.
Notes
Les certificats délivrés aux utilisateurs ou périphériques peuvent autoriser l'accès aux informations confidentielles.
Par défaut, les périphériques n'évaluent pas les profils de certificat. En outre, vous devez configurer les profils de certificat, puis les déployer auprès des utilisateurs ou des périphériques.
Avant de configurer les profils de certificat, pensez à vos besoins en matière de confidentialité.