Biztonsági esetek az Orchestrator használata során

 

Közzétéve: 2016. március

Hatókör: System Center 2012 SP1 - Orchestrator, System Center 2012 - Orchestrator, System Center 2012 R2 Orchestrator

Az alábbi információk az Orchestrator biztonságos használatának ajánlott eljárásait biztosítják. Ezek az információk példahelyzetek formájában állnak rendelkezésre. Az alábbi példahelyzetek érhetők el:

• Példahelyzet: Biztonságos átállás fejlesztői környezetről teszt- vagy éles környezetekre

• Példahelyzet: Orchestrator-felhasználók csoport tagságának hatékony kezelése

Példahelyzet: Biztonságos átállás fejlesztői környezetről teszt- vagy éles környezetekre

A Runbookokban található Orchestrator jelszóadatok biztonságosan megoszthatók az Orchestrator különböző példányai között. Előfordulhat például, hogy fejlesztői környezetben összeállított Runbookokat kíván exportálni, majd azokat tesztkörnyezetben szeretné importálni, vagy a tesztelt Runbookokat éles környezetbe kívánja exportálni. Ennek az exportálási és importálási folyamatnak olyan módon kell titkosítania az adatokat az exportálás minden fázisában, hogy az exportált adatok másik Orchestrator környezetbe importálhatók legyenek.

Ez a Runbook Designer Import/Export funkciójával valósítható meg. Az exportálás és importálás funkciók a Runbook Designer menüsorának Műveletek eleme alatt vagy egy Runbook mappára a jobb egérgombbal kattintva érhetők el. Az exportálás funkció a jobb egérgombbal egy Runbook fülre kattintva is elérhető, ezt gyakran „egyetlen Runbook exportálása” funkciónak nevezik.

A Runbook exportálási módjától függetlenül a Runbookokban tartalmazott titkosított adatok tárolása biztonságos a kapott XML exportfájlban. Ez az exportáláskor megadott jelszó segítségével valósul meg. Amikor az Orchestrator exportálja a Runbookokat és a kapcsolódó konfigurációjukat, a Runbookokban található titkosított adatokat a program visszafejti és az exportáláskor újból titkosítja a megadott jelszóval.

Megjegyzés

Az exportálásra használt titkosítási kulcs különbözik az adatok Orchestrator adatbázisban tárolására használttól. Az „export” funkció visszafejti a titkosított adatokat, majd újból titkosítja azokat az exportált fájlban. Az exportált fájl tartalmazza a titkosított jelszót. Az exportálási folyamat nem védi meg magát a Runbookot és a Runbookokban tartalmazott nem titkosított adatokat. Az exportálás csak a Runbookokban található titkosított adatokat védi meg.

Exportált fájl újbóli importálásakor meg kell adni egy jelszót. Ha a jelszó megfelelő, akkor az exportálás titkosított adatait importálja a program és a titkosítási kulccsal újból titkosítja az Orchestrator adatbázisban történő tároláshoz.

Megjegyzés

A jelszó exportálása/importálása funkció nem támogatja az esetleg a szervezete által megkövetelt jelszó-bonyolultsági szabályokat. A jelszóhoz engedélyezett üres érték megadása, de az titkosított bizalmas adatok exportálásához nem ajánlott. Ha az exportálási jelszó elveszik, a Runbookok és a kapcsolódó konfigurációk importálása akkor is elvégezhető. Az Importálás képernyőn egyszerűen törölje az Orchestrator titkosított adatok importálása lehetőség kiválasztását. Az Orchestrator platform titkosított adatait nem importálja a program, és üres értékekkel hozza létre az Orchestrator adatbázisban.

Példahelyzet: Orchestrator-felhasználók csoport tagságának hatékony kezelése

Az Orchestrator két fő felhasználói szerepkörrel rendelkezik: Runbook szerzők és kezelők. Ezek a felhasználói szerepkörök különböző jogokkal rendelkeznek az Orchestrator alkalmazásban. A Runbook szerzők az adatbázisát és a konfigurációját is beleértve az Orchestrator alkalmazáshoz kiterjedt rendszergazdai jogosultsággal rendelkező egyének. A Runbook szerzők hozzáférést adhatnak a Runbook kezelők számára. A Runbook kezelők a Runbook szerzők által megadott jogok alapján hozzáféréssel rendelkeznek az Orchestration konzolhoz és webszolgáltatáshoz.

Felhasználói szerepkör	Azonosítás módja	Jogok
Runbook szerző	Tagság az Orchestrator-felhasználók csoportban (lásd lent)	- Orchestrator rendszergazdái - Orchestrator konfigurációjának olvasása, írása, frissítése - Az Orchestrator adatbázis teljes felügyelete - Teljes titkosítási/visszafejtési jogok - Hozzáférés olyan Runbook tevékenységekhez, amelyek integrációs csomagok segítségével képesek közreműködésre külső rendszerekkel
Runbook kezelő	A Runbook Designerben a Runbook szerzők által biztosított Runbook mappaengedélyek	- Nem rendszergazdai jogok az Orchestrator alkalmazáshoz - Hozzáférés az Orchestration konzolhoz és webszolgáltatáshoz - Runbookok megtekintése és indítása a Runbook szerzők által megadott jogok alapján - Nincs hozzáférés az Orchestrator adatbázishoz - Nincsenek titkosítási/visszafejtési jogok

Megjegyzés

Ha felhasználói fiókot vesz fel az Orchestrator-felhasználók csoportba, akkor az ezt a felhasználót az Orchestrator rendszergazdájaként azonosítja. Minden Orchestrator-felhasználó lényegében azonos jogosultsággal rendelkező rendszergazda teljes hozzáféréssel az Orchestrator alkalmazáshoz és az adatbázisban található adatokhoz. Ez magába foglalja a hozzáférést az Orchestrator adatbázisban tárolt adatok titkosításához és visszafejtéséhez.

Az Orchestrator a biztonságot a telepítéskor létrehozott két biztonsági csoport segítségével kezeli. Ezek az Orchestrator-felhasználók és az Orchestrator-rendszer csoport. Az Orchestrator rendszergazdának („megbízható személyeknek”) minősülő fiókjait az ezen csoportok egyikében vagy mindegyikében betöltött tagság azonosítja. A rendszergazdai jogok közé tartoznak a Runbookok és kapcsolódó adataik frissítési képessége, a Runbook-kiszolgálók konfigurációjának frissítése, közreműködés külső rendszerekkel integrációs csomagok segítségével, integrációs csomagok telepítése, az Orchestrator adatbázis programozott használata, az adatbázis konfigurációjának frissítése és az Orchestrator adatbázisban tárolt titkosított adatok titkosítása/visszafejtése.

Megjegyzés
A csoportok egyikében vagy mindegyikében betöltött tagság teljes rendszergazdai hozzáférést és teljes titkosítási/visszafejtési jogokat biztosít az Orchestrator alkalmazáshoz, beleértve az Orchestrator adatbázisban tárolt adatokat is.

Biztonsági csoport	Társított személy	Biztonsági csoport célja
Orchestrator-felhasználók csoport	Runbook szerzők és integrációs csomagokat telepítő minden személy	Ez a biztonsági csoport a Runbook Designer, a Deployment Manager és az Adattár konfigurálása segédprogram indítására jogosult felhasználói fiókokat adja meg. Az ebben a csoportban betöltött tagság privilegizált hozzáférést biztosít az Orchestrator adatbázishoz. Ebbe beletartozik az adatbázis-konfiguráció olvasása és frissítése, valamint a titkosított adatok hozzáférése és visszafejtése.
Orchestrator-rendszer csoport	Nincs (szolgáltatásfiókokhoz használatos)	Ez a biztonsági csoport az Orchestrator adatbázishoz privilegizált hozzáférést igénylő szolgáltatásfiókokat adja meg. Ebbe beletartozik az adatbázis-konfiguráció olvasása és frissítése, valamint a titkosított adatok hozzáférése és visszafejtése.

Az alábbi felhasználói szerepkörök minősülnek megbízható/nem megbízható személyeknek az Orchestrator alkalmazásban.

Biztonsági tartomány	Környezet	Titkosítási jogok	Azonosítás módja	Megbízható személy
Futási idő	Orchestrator szolgáltatások „Runbook meghívása” alternatív hitelesítő adatok	Teljes titkosítás/visszafejtés	Orchestrator-rendszer csoport az Active Directoryban / „Runbook meghívása” Runbook tevékenység hitelesítő adatai	Igen
Tervezési idő	Runbook Designer Deployment Manager Adattár konfigurálása	Teljes titkosítás/visszafejtés	Orchestrator-felhasználók csoport az Active Directoryban	Igen
Kezelő	Orchestration konzol Webszolgáltatás	Nincs kifejezett hozzáférés titkosított vagy visszafejtett adatokhoz.	A Runbook Designerben a Runbook szerző szerepkör által megadott felhasználói jogok	Nem
Adatbázis-rendszergazda	MS SQL Server 20008 R2	Teljes titkosítás/visszafejtés	Adatbázis-rendszergazdai jogok az SQL Server kiszolgálóhoz jogokkal az Orchestrator adatbázishoz	Igen
Windows rendszergazda	Windows Server 2008 R2	Nincsenek megadva kifejezett jogok, de a Windows rendszergazdák megbízható személyeknek minősülnek.	Jogok a Windows rendszerhez	Igen