A Konfigurációkezelő biztonsági terve

A következőre vonatkozik: Konfigurációkezelő (aktuális ág)

Ez a cikk az alábbi fogalmakat ismerteti, amelyeket érdemes megfontolnia, amikor a Konfigurációkezelő implementációjának biztonságát tervezi:

  • Tanúsítványok (önaláírt és PKI)

  • A megbízható legfelső szintű kulcs

  • Aláírás és titkosítás

  • Szerepköralapú felügyelet

  • Microsoft Entra ID

  • SMS-szolgáltatóval történő hitelesítés

Mielőtt elkezdené, ismerkedjen meg a Konfigurációkezelő biztonsági alapjaival.

Tanúsítványok

A Konfigurációkezelő önaláírt és nyilvános kulcsú infrastruktúrán (PKI) alapuló digitális tanúsítványok kombinációját használja. Amikor csak lehetséges, használjon PKI-tanúsítványokat. Egyes helyzetek PKI-tanúsítványokat igényelnek. Ha nem érhetők el PKI-tanúsítványok, a webhely automatikusan önaláírt tanúsítványokat hoz létre. Bizonyos esetekben mindig önaláírt tanúsítványokat használnak.

További információt a Tanúsítványok megtervezése című témakörben talál.

A megbízható legfelső szintű kulcs

A Konfigurációkezelő megbízható legfelső szintű kulcsa egy mechanizmust biztosít a Konfigurációkezelő-ügyfeleknek annak ellenőrzésére, hogy a helyrendszerek a hierarchiájukhoz tartoznak-e. Minden helykiszolgáló generál egy helycserekulcsot, amellyel kommunikálhat más helyekkel. A hierarchia legfelső szintű helyéről származó webhelycserekulcsot megbízható legfelső szintű kulcsnak nevezzük.

A megbízható legfelső szintű kulcs funkciója a Konfigurációkezelő a nyilvános kulcsot magában foglaló infrastruktúra főtanúsítványához hasonlít. A megbízható legfelső szintű kulcs titkos kulcsával aláírt minden elem megbízhatónak minősül a hierarchiában lejjebb található. Az ügyfelek a WMI-névtérben root\ccm\locationservices tárolják a hely megbízható legfelső szintű kulcsának másolatát.

Például a webhely tanúsítványt ad ki a felügyeleti pontnak, amelyet a megbízható legfelső szintű kulcs titkos kulcsával ír alá. A webhely megosztja az ügyfelekkel a megbízható legfelső szintű kulcs nyilvános kulcsát. Ezután az ügyfelek különbséget tudnak tenni a saját hierarchiájukban lévő felügyeleti pontok és a hierarchián kívüli felügyeleti pontok között.

Az ügyfelek automatikusan megkapják a megbízható legfelső szintű kulcs nyilvános másolatát két módszer használatával:

Ha az ügyfelek nem tudják beszerezni a megbízható legfelső szintű kulcsot e mechanizmusok egyikével, akkor megbíznak abban a megbízható legfelső szintű kulcsban, amelyet az első felügyeleti pont, amellyel kommunikálnak. Ebben az esetben előfordulhat, hogy az ügyfél a támadó felügyeleti pontjára lesz irányítva, ahol házirendet kap az engedélyezetlen felügyeleti ponttól. Ehhez a művelethez egy tapasztalt támadóra van szükség. Ez a támadás arra a rövid időre korlátozódik, amíg az ügyfél lekéri a megbízható legfelső szintű kulcsot egy érvényes felügyeleti pontról. Annak érdekében, hogy csökkentse annak kockázatát, hogy egy támadó tévesen irányítsa át ügyfeleit egy engedélyezetlen felügyeleti pontra, előre építse ki az ügyfeleket a megbízható legfelső szintű kulccsal.

A megbízható legfelső szintű kulcs kezelésével kapcsolatos további információkért és eljárásokért lásd: Biztonság konfigurálása.

Aláírás és titkosítás

Ha PKI-tanúsítványokat használ az összes ügyfélkommunikációhoz, nem kell aláírásra és titkosításra terveznie ahhoz, hogy biztonságossá tegye az ügyféladatok kommunikációját. Ha beállította az IIS-szolgáltatásokat futtató helyrendszereket a HTTP-ügyfélkapcsolatok engedélyezésére, döntse el, hogyan biztosíthatja biztonságossá a hely ügyfélkommunikációját.

Fontos

A Konfigurációkezelő 2103-as verziójától kezdődően a HTTP-ügyfélkommunikációt lehetővé tevő webhelyek elavulttá válnak. Konfigurálja a webhelyet HTTPS vagy kibővített HTTP használatára. További információ: Csak HTTPS vagy bővített HTTP engedélyezése a webhelyen.

Az ügyfelek által a felügyeleti pontoknak küldött adatok védelme érdekében előírhatja az ügyfelek számára az adatok aláírását. Az aláíráshoz emellett szükség lehet az SHA-256 algoritmusra is. Ez a konfiguráció biztonságosabb, de nincs szükség SHA-256-ra, kivéve, ha minden ügyfél támogatja. Számos operációs rendszer natívan támogatja ezt az algoritmust, a régebbi operációs rendszereken azonban frissítésre vagy gyorsjavításra lehet szükség.

Míg az aláírás segít megvédeni az adatokat a jogosulatlan módosításoktól, a titkosítás segít megvédeni az adatokat az adatok nyilvánosságra kerülésétől. Engedélyezheti az ügyfelek által a webhely felügyeleti pontjainak küldött leltáradatok és állapotüzenetek titkosítását. E lehetőség támogatásához nem kell frissítéseket telepítenie az ügyfeleken. Az ügyfelek és felügyeleti pontok titkosításához és visszafejtéséhez nagyobb CPU-használatra van szükség.

Megjegyzés:

Az adatok titkosításához az ügyfél a felügyeleti pont titkosítási tanúsítványának nyilvános kulcsát használja. Csak a felügyeleti pont rendelkezik a megfelelő titkos kulccsal, így csak ő tudja visszafejteni az adatokat.

Az ügyfél ezt a tanúsítványt a felügyeleti pont aláíró tanúsítványával indítja el, amelyet a hely megbízható legfelső szintű kulcsával indít el. Győződjön meg arról, hogy biztonságosan kiépítette a megbízható legfelső szintű kulcsot az ügyfeleken. További információ: A megbízható legfelső szintű kulcs.

Az aláírási és titkosítási beállítások konfigurálásáról további információt az Aláírás és titkosítás konfigurálása című témakörben talál.

Az aláíráshoz és titkosításhoz használt titkosítási algoritmusokról további információt a Titkosítási vezérlők technikai útmutató című témakörben talál.

Szerepköralapú felügyelet

A Konfigurációkezelő szerepköralapú felügyelettel biztosítja a rendszergazda felhasználók számára a Konfigurációkezelő használatához szükséges hozzáférést. Az Ön által kezelt objektumokhoz, például gyűjteményekhez, telepítésekhez és webhelyekhez való biztonságos hozzáférés is biztosított.

A biztonsági szerepkörök, biztonsági hatókörök és gyűjtemények kombinációjával elkülönítheti a szervezet igényeinek megfelelő felügyeleti feladatokat. Együtt használva meghatározzák a felhasználó felügyeleti hatókörét . Ez a felügyeleti hatókör szabályozza a rendszergazdai felhasználók által a Konfigurációkezelő konzolon megtekintett objektumokat, valamint a felhasználók ezen objektumokra vonatkozó engedélyeit.

További információt A szerepkör-alapú felügyelet alapjai című témakörben talál.

Microsoft Entra ID

A Konfigurációkezelő integrálódik a Microsoft Entra ID-val, hogy lehetővé tegye a hely és az ügyfelek számára a modern hitelesítés használatát.

A Microsoft Entra ID-val kapcsolatos további információkért tekintse meg a Microsoft Entra dokumentációját.

A webhely Microsoft Entra ID-val való előkészítése a következő Konfigurációkezelő forgatókönyveket támogatja:

Ügyfélfelhasználási forgatókönyvek

Kiszolgálói forgatókönyvek

SMS-szolgáltatóval történő hitelesítés

Megadhatja a rendszergazdák minimális hitelesítési szintjét a Konfigurációkezelő-helyek eléréséhez. Ez a funkció megköveteli a rendszergazdáktól, hogy a szükséges szinten jelentkezzenek be a Windowsba, mielőtt hozzáférnének a Konfigurációkezelő. Az SMS-szolgáltatót elérő összes összetevőre vonatkozik. Ilyen például a Konfigurációkezelő konzol, az SDK-metódusok és a Windows PowerShell-parancsmagok.

A Konfigurációkezelő a következő hitelesítési szinteket támogatja:

  • Windows-hitelesítés: Hitelesítés megkövetelése Active Directory tartományi hitelesítő adatokkal. Ez a beállítás az előző és a jelenlegi alapértelmezett beállítás.

  • Tanúsítvány-hitelesítés: Megbízható PKI-hitelesítésszolgáltató által kibocsátott érvényes tanúsítvánnyal történő hitelesítés megkövetelése. Ezt a tanúsítványt nem kell konfigurálnia a Konfigurációkezelő. A Konfigurációkezelő megköveteli, hogy a rendszergazda PKI használatával jelentkezzen be a Windowsba.

  • Vállalati Windows Hello-hitelesítés: Hitelesítés megkövetelése erős kétfaktoros hitelesítéssel, amely eszközhöz kötött, és biometriát vagy PIN-kódot használ. További információ: Vállalati Windows Hello.

    Fontos

    Ha ezt a beállítást választja, az SMS-szolgáltató és -felügyeleti szolgáltatás megköveteli, hogy a felhasználó hitelesítési jogkivonata tartalmazzon többtényezős hitelesítési (MFA) jogcímet a Vállalati Windows Hello szolgáltatásból. Más szóval a konzol, az SDK, a PowerShell vagy a felügyeleti szolgáltatás felhasználójának hitelesítenie kell magát a Windowsban a Vállalati Windows Hello PIN-kódjával vagy biometrikus azonosítójával. Ellenkező esetben a webhely elutasítja a felhasználó műveletét.

    Ez a viselkedés a Vállalati Windows Hello szolgáltatásra vonatkozik, nem a Windows Hello szolgáltatásra.

A beállítás konfigurálásáról további információt az SMS-szolgáltatóval történő hitelesítés beállítása című témakörben talál.

Következő lépések

  • Last updated on