Configuration Manager Objektumbiztonság

Delegálási művelet

A Configuration Manager delegált parancsa lehetővé teszi a rendszergazdák számára, hogy nagyon korlátozott módon rendeljenek példányengedélyeket más felhasználókhoz egy objektumhoz. A felhasználók más felhasználókhoz való hozzárendelésére (vagy visszavonására) vonatkozó jogosultságok az adott felhasználónak kifejezetten megadott példányjogokra korlátozódnak. Amikor egy felhasználó biztonságos objektumot hoz létre, a felhasználó automatikusan explicit példányjogokat kap az objektumhoz (általában olvasásra, módosításra és törlésre).

Bizonyos mértékig ezek az explicit módon megadott jogok biztosítják a felhasználó számára az objektum bizonyos szintű tulajdonjogát. A meghatalmazotti jogosultsággal ez a tulajdonjog kiterjeszthető az alapértelmezett példányjogok csoportjának vezérlésére. A felhasználók által delegálható jogosultságok korlátozásához csak a számukra explicit módon megadott jogosultságok (nem pedig olyan csoport, amelyhez tartoznak) delegálhatók. A felhasználók akkor is eltávolíthatnak más felhasználók (vagy csoportok) példányjogokat, ha a felhasználó rendelkezik delegálási engedéllyel és explicit jogosultságokkal egy objektumhoz (ezért a rendszer azt mondja, hogy a felhasználónak saját objektuma van, ha explicit példányjogokkal rendelkezik). A rendszergazdai jogosultságokkal rendelkező felhasználók továbbra is teljes mértékben szabályozhatják az engedélyek felügyeletét.

A delegálási művelet gyakori forgatókönyve az, amikor egy felhasználó létrehozott és delegált jogosultságokat egy objektumtípushoz, és létre szeretne hozni egy objektumot, és engedélyezni szeretné egy felhasználói csoport tagjainak, hogy megtekintse azt. Létrehozzák az objektum egy példányát, majd olvasási engedélyeket delegálnak a példányhoz a felhasználói csoportnak.

A delegált parancs a következő Configuration Manager osztályokra vonatkozik:

• SMS_Collection

• SMS_Package

• SMS_Advertisement

• SMS_Site

• SMS_Query

• SMS_Report

• SMS_MeteredProductRule

Rendszererőforrás (SMS_R_System) biztonságos erőforrásként

A biztonságos erőforrások olyan erőforrások (SMS_R_* osztályok), amelyek gyűjteményolvasási jogosultságokat igényelnek. Ha a felhasználó osztályszintű gyűjteményolvasási jogosultságokkal rendelkezik, a felhasználó megtekintheti egy biztonságos erőforrás összes példányát. Ha a felhasználó csak példányszintű olvasási jogosultságokkal rendelkezik bizonyos gyűjteményekhez, a felhasználónak csak az adott gyűjtemények tagjait tartalmazó erőforrások megtekintésére van jogosultsága. SMS_R_User és SMS_R_UserGroup biztonságos erőforrások az SMS 2.0-ban. Az SMS 2003-ban SMS_R_System (a rendszererőforrás) szintén egy biztonságos erőforrás.

A leltárpéldányok (SMS_G_System_*) az olvasási erőforrás-művelethez hasonlóan vannak védve. Ha egy felhasználó osztályszintű jogosultságokkal rendelkezik, az adott felhasználó láthatja az összes erőforráshoz tartozó leltáradatokat. Ha a felhasználó nem rendelkezik osztályszintű jogosultságokkal, a felhasználó csak olyan leltáradatokat láthat, amelyek olyan gyűjtemények tagjai, amelyekhez a felhasználó példányszintű olvasási erőforrás-jogosultságokkal rendelkezik. Ezzel szemben, ha egy felhasználó olvasási erőforrás-jogosultságokkal rendelkezik egy gyűjteményhez, a felhasználó láthatja a gyűjtemény tagjainak leltáradatait. Ezt nem befolyásolta a biztonsági SMS_R_Systembeállítások módosítása. Olvasási erőforrás-jogosultságok nem adhatók meg a felhasználónak olvasási jogosultságok megadása nélkül. Ha egy felhasználó nem rendelkezik a megfelelő osztályszintű gyűjtési jogosultságokkal, a rendszer gyűjteménykorlátozással kényszeríti ki az erőforrás-biztonságot.

Fájlbeküldések biztonságossá tétele egy Configuration Manager-kiszolgálón

Az adatfelderítési rekordfájlok (DDR- és MIF-) fájlok másolásának ajánlott helye, amely nem kapcsolódik a meglévő Configuration Manager-ügyfelekhez, közvetlenül a helykiszolgáló beérkezett üzenetei között található. Ehhez rendszergazdai szintű engedélyekre van szükség a helykiszolgálón ahhoz az alkalmazáshoz, amely ezeket a fájlokat másolja. Ezek a következők:

DDR-fájlok: <SMS>/inboxes/ddm.box

MIF-fájlok: <SMS>/inboxes/inventry.box

Lásd még

Objektumok áttekintéseConfiguration Manager társításosztályok
Configuration Manager bitmező tulajdonságai
Configuration Manager dátum- és időformátumok
beágyazott objektumok Configuration Manager
kiterjesztett WMI-lekérdezési nyelv Configuration Manager
Configuration Manager lusta tulajdonságok
Configuration Manager speciális lekérdezések
Tudnivalók a hibákról