Biztonsági szempontok

 

Közzétéve: 2016. március

Hatókör: System Center 2012 R2 Operations Manager, Data Protection Manager for System Center 2012, System Center 2012 - Operations Manager, System Center 2012 SP1 - Operations Manager

A System Center 2012 – Operations Manager környezetének előkészítésével kapcsolatos feladatok többsége a biztonsággal kapcsolatos. Ez a fejezet ezeket a tevékenységeket tekinti át felületesen. Bővebb információkért lásd: Index to Security-related Information for Operations Manager (Az Operations Manager biztonsággal kapcsolatos információinak tárgymutatója).

A biztonsággal kapcsolatos feladatok előkészítése az alábbiakat foglalja magában:

• A megbízhatósági kapcsolat határain túlnyúló figyelés megértése, tervezése és előkészítése.

• A UNIX és Linux rendszerű számítógépek figyelésének megértése, tervezése és előkészítése.

• A szükséges szolgáltatásfiókok, felhasználói fiókok és biztonsági csoportok tervezése és előkészítése.

• A kialakításhoz szükséges hálózati portok megismerése és előkészítése.

A megbízhatósági kapcsolat határai

Az Operations Manager rendszer felől nézve a Kerberos bizalmi kapcsolatok határának alapegységét az Active Directory-tartományok alkotják. Ez a határ automatikusan kiterjed az azonos névtérben (azonos Active Directory-fa) lévő más tartományokra, valamint azon tartományokra, melyek más Active Directory-fán találhatók, de tranzitív megbízhatóságon keresztül azonos Active Directory-erdőben találhatók. A megbízhatósági kapcsolat határa az erdőszintű megbízhatóság révén tovább kiterjeszthető olyan tartományokra, melyek eltérő Active Directory-erdőkben találhatók.

Kerberos

A Windows 2000 és újabb rendszerű tartományvezérlők által támogatott Kerberos hitelesítési protokoll csak egy megbízhatósági kapcsolat határán belül létezhet. Az Operations Manager ügynök/kiszolgáló kölcsönös hitelesítése Kerberos-hitelesítést használ. Az ügynök/kiszolgáló kölcsönös hitelesítésére az Operations Manager-rendszerhéj eszközben lehet megbízást adni minden ügynök/kiszolgáló közötti kommunikációhoz.

Egy Operations Manager felügyeleti csoport képes arra, hogy a saját Kerberos bizalmi kapcsolatának határain kívülre irányuló felderítést és figyelést végezzen. Mivel azonban az Active Directory-tartományhoz nem csatlakozott Windows rendszerű számítógépek alapértelmezett hitelesítési protokollja az NTLM, a kölcsönös hitelesítés támogatására egy másik mechanizmust kell használni. Ez az ügynökök és kiszolgálók közti tanúsítványcserével történik.

Tanúsítványok

Ha az Operations Manager kommunikációjának a bizalmi kapcsolat határain át kell létrejönnie, például ha a figyelni kívánt kiszolgáló egy másik, nem megbízható Active Directory-tartományban található, mint a figyelést végző felügyeleti csoport, akkor a kölcsönös hitelesítési követelmények kielégítésére tanúsítványok használhatók. A tanúsítványok manuális konfigurálással beszerezhetők és hozzárendelhetők számítógépekhez, valamint a rajtuk futó Operations Manager szolgáltatásokhoz. Amikor elindul egy olyan szolgáltatás, amelynek egy másik számítógépen található szolgáltatással kell kommunikálnia, és hitelesítéssel próbálkozik, megtörténik a tanúsítványok cseréje, és a kölcsönös hitelesítés befejeződik.

Fontos!
Az erre a célra használt tanúsítványoknak végső soron ugyanazon gyökér-hitelesítésszolgáltatóban (certification authority, CA) kell megbízniuk.

A tanúsítványok beszerzéséről és a kölcsönös hitelesítésben való használatáról bővebb információkat lásd: Az átjárókiszolgálók telepítése.

Hitelesítésszolgáltató

A szükséges tanúsítványok beszerzéséhez kapcsolatba kell lépnie egy hitelesítésszolgáltatóval (certification authority, CA). Ez lehet a Microsoft Certificate Services vagy harmadik fél hitelesítésszolgáltató, például a VeriSign.

Microsoft Certificate Services

A Microsoft hitelesítésszolgáltatóknak négy típusa van:

• Vállalati gyökér

• Vállalati alárendelt

• Egyedülálló gyökér

• Egyedülálló alárendelt

• A hitelesítésszolgáltatók mindkét vállalati típusa Active Directory tartományi szolgáltatásokat igényel, az egyedülálló hitelesítésszolgáltatókhoz ez nem szükséges. Bármelyik CA-típus kibocsáthatja a szükséges tanúsítványokat az ügynök/kiszolgáló bizalmi kapcsolat határain túlnyúló kölcsönös hitelesítéséhez.

A szokásos esetben a CA-infrastruktúra egy gyökér CA-ból áll, amely aláírja a saját tanúsítványait, és hitelesíti saját magát és egy vagy több alárendelt CA-ból, amelyeket a gyökér hitelesít. Az alárendelt CA-kiszolgálók azok, amelyekre a szolgáltatási tanúsítványok kérései érkeznek, míg a gyökér offline állapotban van, és biztonságosan meg van őrizve. A tanúsítványok szerkesztésével kapcsolatos bővebb információkért lásd: Infrastructure Planning and Design (Az infrastruktúra tervezése és kialakítása) és Hitelesítés és adattitkosítás Windows rendszerű számítógépeken.

UNIX és Linux rendszerű számítógépek figyelése

A System Center 2012 – Operations Manager képes figyelni a UNIX és Linux rendszerű számítógépeket. Mivel a UNIX és Linux rendszerű számítógépek nem részei annak az Active Directory-tartománynak, melyben a felügyeleti csoport található, a kölcsönös hitelesítésre számos, a fentiekben tárgyalt tanúsítványozási eljárás használatos.

Kölcsönös hitelesítés létesítése UNIX és Linux rendszerű számítógépekkel

Használja a Felderítés varázslót a UNIX és Linux rendszerű számítógépek megtalálásához, és adja hozzá őket figyelt objektumként a felügyeleti csoporthoz. A Felderítés varázsló folyamat futása közben az Operations Manager felderítette a UNIX és Linux rendszerű számítógép által generált, önaláírt tanúsítványt, mely a felügyeleti kiszolgálóval való kölcsönös hitelesítésre használatos. A tanúsítvány generálása, aláírása és cseréje az SSH-felderítés estén így működik:

1. A Felderítés varázsló folyamat a felügyeleti kiszolgálón rendelkezik a felderített UNIX és Linux rendszerű számítógép által generált, önaláírt tanúsítvánnyal.

2. A felderítő felügyeleti kiszolgáló kibocsát egy tanúsítványkérési kérelmet a UNIX és Linux rendszerű számítógép felé.

3. A UNIX és Linux rendszerű számítógép visszaküldi a tanúsítványt a felügyeleti kiszolgálónak.

4. A felderítő felügyeleti kiszolgáló létrehoz egy kulcspárt és a saját önaláírt tanúsítványát. A felügyeleti kiszolgáló csak akkor generál kulcspárt és önaláírt tanúsítványt, amikor az első UNIX és Linux rendszerű számítógépét deríti fel. A felügyeleti kiszolgáló ezután importálja a saját tanúsítványait a megbízható tanúsítványok tárolójába. A felderítő felügyeleti kiszolgáló ezután a saját privát kulcsával aláírja a UNIX és Linux tanúsítványt. A UNIX és Linux rendszerű számítógép tanúsítványainak a felügyeleti kiszolgáló általi bármely későbbi aláírása a felügyeleti kiszolgáló azon privát kulcsainak az újra használatával történik, melyeket az első aláírásnál generált.

5. A felderítő felügyeleti kiszolgáló ezután kibocsát egy tanúsítványelhelyezési kérelmet, mely a felügyeleti kiszolgáló által már aláírt tanúsítványt visszaküldi az azt eredetileg generáló UNIX és Linux rendszerű számítógépnek. A UNIX és Linux rendszerű számítógép WSMAN kommunikációs rétege ekkor újraindul, hogy aktiválja a UNIX/Linux számítógép által generált új tanúsítványt.

6. Ezután ha a felügyeleti kiszolgáló a UNIX és Linux rendszerű számítógéptől önmaga hitelesítését kéri, a UNIX és Linux rendszerű számítógép bemutatja a megbízható tanúsítványt a felügyeleti kiszolgálónak, a felügyeleti kiszolgáló elolvassa a bemutatott tanúsítvány aláírását, elfogadja, hogy az aláírása megbízható (mivel az aláírás a saját privát kulcsa, melyet a saját megbízható tanúsítványok tárolójában tárol), és elfogadja a tanúsítványt annak bizonyítására, hogy a UNIX VAGY LINUX rendszerű számítógép az, amelynek a felügyeleti kiszolgáló szerint lennie kell.

7. A felderítő felügyeleti kiszolgáló a UNIX vagy Linux hitelesítő adatokat a megfelelő futtató profilban konfigurált módon arra használja, hogy hitelesítse magát a UNIX és Linux rendszerű számítógépen. Bővebb részletekért lásd a Futtató profilok tervezése UNIX vagy Linux rendszerhez című rész.

Fontos!
A műveletek előző sorrendje a UNIX vagy Linux felderítés alacsony biztonságú verziója számára érvényes.

Futtató profilok tervezése UNIX vagy Linux rendszerhez

Miután a UNIX és Linux rendszerű számítógépet a felderítő felügyeleti kiszolgáló felügyeli, futni kezdenek a felügyeleti csomag felderítések és munkafolyamatok. Ezek a munkafolyamatok a sikeres befejeződésükhöz hitelesítő adatok használatát igénylik. Ezek az objektumokra, osztályokra vagy csoportokra alkalmazandó hitelesítő adatok és a számítógépek, melyekre el vannak osztva futtató profilokban vannak tárolva. Két olyan futtató profil létezik, melyek a UNIX felügyeleti csomagoknak a felügyeleti csoportjába való importálásakor importálódtak:

• Unix műveleti fiók profil – ez a futtató profil és a kapcsolódó UNIX vagy Linux hitelesítő adatok alacsony biztonsági szintű műveleteknél használatosak a megadott UNIX és Linux rendszerű számítógépeken.

• Unix rendszer-jogosultságú fiók – ez a futtató fiók és a kapcsolódó UNIX vagy Linux hitelesítő adatok olyan műveleteknél használatosak, melyeket magasabb biztonsági szint véd, és emiatt olyan fiókot igényelnek, amely a UNIX vagy Linux rendszerű számítógépen magasabb jogosultságokkal rendelkezik. Ez lehet a rendszergazdai fiók (de nem kötelező annak lennie).

Ezeket a fiókokat az őket használó felügyeleti csomag munkafolyamatok megfelelő UNIX vagy Linux rendszerű számítógép hitelesítő adataival kell konfigurálnia ahhoz, hogy megfelelően működjenek.

Fiókok és csoportok

Az Operations Manager telepítés életciklusa alatt számos fiókra és biztonsági csoportra szüksége lehet. Az Operations Manager telepítése során csak négy létesítésére kérik fel. A folyamatokat futtató szerepkör alapú biztonsági hozzárendelések, értesítések és váltogatott hitelesítő adatok tervezése során további fiókokat is számba kell vennie. A szerepkör alapú biztonsági hozzárendelések tervezésénél útmutatóként lásd: A System Center 2012 – Operations Manager telepítésének tervezése.

Szerepkör alapú biztonsági fiókok és csoportok

Az Operations Manager a figyelt csoportokhoz, tevékenységekhez, nézetekhez és rendszergazdai funkciókhoz való hozzáférést a felhasználói fiókok szerepkörökhöz való hozzárendelésével vezérli. Az Operations Manager szerepköre egy profiltípus (kezelő, speciális kezelő, rendszergazda) és egy hatókör (a szerepkör milyen adatokhoz férhet hozzá) kombinációja. Rendszerint az Active Directory biztonsági csoportok vannak hozzárendelve a szerepkörökhöz, és az egyedi fiókok ezekhez a csoportokhoz vannak rendelve. A telepítés előtt tervezze meg az ezekhez és más, egyénileg létrehozott szerepkörökhöz adható Active Directory biztonsági csoportokat, hogy ezután egyedi felhasználói fiókokat adhasson hozzá ezekhez a biztonsági csoportokhoz.

Az Operations Manager gyárilag az alábbi szerepkör-definíciókat biztosítja.

Szerepkör neve	Profil típusa	Profil leírása	Szerepkör hatóköre
Operations Manager-rendszergazdák: a telepítéskor jönnek létre, nem törölhetők, egy vagy több globális csoportot kell tartalmazzanak	Rendszergazda	Teljes körű Operations Manager-jogosultsággal rendelkezik; a rendszergazda profil hatókörének beállítása nem támogatott	Teljes hozzáféréssel rendelkezik minden Operations Manager-adathoz, -szolgáltatáshoz, valamint -rendszergazdai és -hitelesítőeszközhöz
Operations Manager speciális kezelők: a telepítéskor jönnek létre, globális hatókörűek, nem törölhetők	Speciális kezelő	Az Operations Manager konfiguráció korlátozott módosítási jogosultságával rendelkezik; létrehozhat felülbírálásokat a szabályokra, figyeli a konfigurált hatókörén belüli célokat vagy célok csoportjait	Hozzáfér minden jelenleg elérhető és a jövőben importált csoporthoz, nézethez és tevékenységhez
Operations Manager-szerzők: a telepítéskor jönnek létre, globális hatókörűek, nem törölhetők	Szerző	Képes tevékenységek, szabályok, figyelők és nézetek létrehozására, szerkesztésére és törlésére a konfigurált hatókörén belül	Hozzáfér minden jelenleg elérhető és a jövőben importált csoporthoz, nézethez és tevékenységhez
Operations Manager-kezelők: a telepítéskor jönnek létre, globális hatókörűek, nem törölhetők	Kezelő	A konfigurált hatókörnek megfelelően jogosult a riasztásokkal kapcsolatos műveletek végrehajtására, a feladatok futtatására és a nézetek elérésére.	Hozzáfér minden jelenleg elérhető és a jövőben importált csoporthoz, nézethez és tevékenységhez
Operations Manager csak olvasási kezelők: a telepítéskor jönnek létre, globális hatókörűek, nem törölhetők	Csak olvasási kezelő	Jogosult a konfigurált hatókörének megfelelő riasztások megtekintésére és nézetek elérésére.	Hozzáfér minden jelenleg elérhető és a jövőben importált csoporthoz és nézethez
Operations Manager-jelentéskezelők: a telepítéskor jönnek létre, globális hatókörűek	Jelentéskezelő	Jogosult a konfigurált hatókörének megfelelő jelentések megtekintésére.	Globális hatókörű
Operations Manager jelentésbiztonsági rendszergazdák: Az SQL Server jelentéskészítési szolgáltatásainak biztonsági funkcióit integrálja az Operations Manager felhasználói szerepkörökbe, az Operations Manager rendszergazdáknak lehetőséget biztosít a jelentésekhez való hozzáférés vezérlésére, hatókör nem adható meg.	Jelentésbiztonsági rendszergazda	Lehetővé teszi az SQL Server jelentéskészítési szolgáltatása biztonsági funkcióinak integrálását az Operations Manager szerepköreivel.	Nincs hatóköre

Ezen előre definiált szerepkörök bármelyikéhez hozzáadhat Active Directory biztonsági csoportokat vagy egyedi fiókokat. Ha így tesz, az érintettek képesek lesznek a megadott szerepkör jogainak gyakorlására a hatókörükbe eső objektumokon.

Megjegyzés
Az előre definiált szerepkörök globális hatókörűek, így minden csoporthoz, nézethez és tevékenységhez hozzáférést biztosítanak (kivéve a jelentésbiztonsági rendszergazda szerepkör).

Az Operations Manager emellett lehetővé teszi a Kezelő, Csak olvasási kezelő, Szerző és Speciális kezelő profilokon alapuló egyedi szerepkörök létrehozását. Egy szerepkör létrehozásakor tovább szűkítheti azon csoportok, tevékenységek és nézetek hatókörét, melyeket a szerepkör elér. Létrehozhat például egy „Exchange-kezelő” nevű szerepkört, és a hatókörét leszűkítheti kizárólagosan az Exchange vonatkozású csoportokra, nézetekre és tevékenységekre. Az ehhez a szerepkörhöz hozzárendelt felhasználói fiókok a kezelői szintű műveleteket csak az Exchange vonatkozású objektumokon tudják futtatni.

Értesítési fiókok és csoportok

A vállalatában lévő azon személyeknek, akik az Operations Manager rendszerrel gyakran kapcsolatba lépnek, például az Exchange-kezelő szerepkörhöz hozzárendelt Exchange-rendszergazdáknak szükségük van egy, az új riasztások felderítésére szolgáló eljárásra. Ez történhet az operatív konzol figyelésével új riasztásokat keresve, vagy pedig az Operations Manager rendszer értesítheti őket a riasztásokról a támogatott kommunikációs csatornákon keresztül. Az Operations Manager az értesítést e-mail, azonnali üzenetküldés, SMS vagy papír alapú üzenetek formájában támogatja. A szerepkörnek szükséges értesítések az Operations Manager rendszerben meghatározott címzettek számára mennek ki. Egy Operations Manager-címzett csupán egy objektum, amely érvényes címmel rendelkezik az értesítés fogadására, e-mailes értesítések esetén például egy SMTP-cím.

Emiatt logikus a szerepkör-hozzárendeléseket az értesítési csoport tagsággal együtt egy e-mailes értesítésű biztonsági csoportba kombinálni. Így például létrehoz egy Exchange-rendszergazdák biztonsági csoportot, és feltöltheti olyan személyekkel, akik az Exchange-események elhárításához szükséges tudással és jogosultsággal rendelkeznek. Rendelje hozzá ezt a biztonsági csoportot egy egyedileg létrehozott Exchange-rendszergazdai szerepkörhöz, így ők hozzáférnek az adatokhoz, és az e-mail forgalom engedélyezve lesz. Ezután hozzon létre egy címzettet az engedélyezett e-mail forgalmú biztonsági csoport SMTP-címével.

Szolgáltatásfiókok

A telepítéshez az alábbi szolgáltatásfiókokat kell előkészíteni. Ha tartományi fiókokat használ, és tartománya csoportházirend-objektumának (Group Policy object, GPO) alapértelmezett jelszólejárati házirendje a követelményeknek megfelelően van megadva, akkor az ütemezés szerint kell módosítania a szolgáltatásfiókok jelszavait, alacsony karbantartási igényű rendszerfiókokat kell használnia, vagy úgy kell beállítania a fiókokat, hogy jelszavuk sose járjon le.

Fiók neve	Kérelmezés időpontja	Felhasználási mód	Alacsony karbantartási igényű	Biztonságos
Felügyeleti kiszolgáló műveleti fiókja	felügyeleti kiszolgáló telepítése	Adatok gyűjtése a szolgáltatóktól, válaszok futtatása	Helyi rendszer	Alacsony jogosultságú tartományi fiók
Adatelérési szolgáltatás és konfigurációs szolgáltatásfiók	felügyeleti kiszolgáló telepítése	Írás az operatív adatbázisba, szolgáltatások futtatása	Helyi rendszer	Alacsony jogosultságú tartományi fiók
Helyi rendszergazdafiók a céleszközök számára	Felderítés és leküldéses ügynöktelepítés	Ügynökök telepítése	Tartományi vagy helyi rendszergazdafiók	Tartományi vagy helyi rendszergazdafiók
Ügynökműveleti fiók	Felderítés és leküldéses ügynöktelepítés	Információk gyűjtése és a válaszok futtatása a felügyelt számítógépeken	Helyi rendszer	Alacsony jogosultságú tartományi fiók
Adatraktáríró műveleti fiók	Jelentéskészítő kiszolgáló telepítése	Írás a jelentéskészítési adatraktár-adatbázisba	Alacsony jogosultságú tartományi fiók	Alacsony jogosultságú tartományi fiók
Adatolvasó fiók	Jelentéskészítő kiszolgáló telepítése	Az SQL Reporting Services adatbázisának lekérdezése	Alacsony jogosultságú tartományi fiók	Alacsony jogosultságú tartományi fiók

Egyszerű szolgáltatásnevek

Az Operations Manager telepítésekor egyes konfigurációkban szükség lehet az egyszerű szolgáltatásnév (Service Principal Name, SPN) regisztrálására. Az egyszerű szolgáltatásneveket a Kerberos-hitelesítés használja az ügyfél számára a kiszolgálóval végzett kölcsönös hitelesítéshez. További információkért lásd: What Are Service Publication and Service Principal Names? (Mit jelent a szolgáltatás közzététele és az egyszerű szolgáltatásnév?).

Az Operations Manager telepítésekor ki kell választani egy fiókot a System Center konfigurációs szolgáltatás és System Center adatelérési szolgáltatás számára. További információkért lásd: A System Center 2012 – Operations Manager telepítése.

Figyelem!
Ne módosítsa az alapértelmezett Active Directory-jogosultságokat, mivel a fiókok csak így tudják korlátozás nélkül módosítani saját egyszerű szolgáltatásnevüket.

Ha a Helyi rendszer lehetőséget választja a System Center adatelérési szolgáltatásfiókjaként, akkor a fiók képes létrehozni a megfelelő egyszerű szolgáltatásnevet. Ebben az esetben nincs szükség további konfigurációra.

Ha tartományi fiókot használ, akkor minden felügyeleti kiszolgálóhoz regisztrálnia kell egy egyszerű szolgáltatásnevet. Ehhez a SETSPN parancssori eszköz használható. Az eszköz futtatásával kapcsolatos további információkért lásd: Setspn Overview (A Setspn áttekintése).

Regisztrálja a felügyeleti kiszolgáló NetBIOS-nevét és teljes tartománynevét is a következő szintaxis használatával.

setspn –a MSOMSdkSvc/<netbios name> <DAS account domain>\<DAS account name>

setspn –a MSOMSdkSvc/<fqdn> <DAS account domain>\<DAS account name>

Tipp
A felhasználói fiókhoz vagy számítógéphez regisztrált egyszerű szolgáltatásneveket a következő szintaxis használatával jelenítheti meg: setspn –l <DAS account name> setspn –l <fqdn>

Ha hálózati terheléselosztót vagy hardveres terheléselosztót használ, a System Center adatelérési szolgáltatásának tartományi fiókkal kell futnia. A már leírt beállítási eljáráson felül a következő szintaxis használatával a terheléselosztó nevét is regisztrálni kell:

setspn –a MSOMSdkSvc/<load balanced name> <DAS account domain>\<DAS account name>

Megjegyzés
A terheléselosztó mögött futó összes adatelérési szolgáltatásnak ugyanazon tartományi fiók nevében futnia.

Futtató fiókok

A figyelt számítógépeken lévő ügynökök igény szerint vagy előre definiált feltételekre válaszul is futtathatnak feladatokat, modulokat és figyelőket. Alapértelmezés szerint minden feladat az Ügynökműveleti fiók hitelesítő adataival fut. Egyes esetekben az ügynökműveleti fiók nem rendelkezik a megfelelő jogosultságokkal és privilégiumokkal az adott művelet futtatásához a számítógépen. Az Operations Manager támogatja az ügynök feladatainak alternatív hitelesítőadat-készlettel (ún. futtató fiókkal) történő futtatását. A futtató fiók olyan objektum, amely a címzettekhez hasonlóan az Operations Manager rendszeren belül jön létre, és a rendszer egy Active Directorybeli felhasználói fiókhoz rendeli hozzá. A futtató fiókot ezután egy futtató profillal rendelik hozzá a megadott számítógéphez. Amikor a felügyeleti csomag fejlesztésekor futtató profilhoz rendelt szabályt, feladatot vagy figyelőt kell futtatni a célszámítógépen, akkor annak futtatása a futtató fiókkal zajlik.

Az Operations Manager alapkonfigurációja több futtató fiókot és futtató profilt tartalmaz, és ilyeneket Ön is bármikor létrehozhat. Módosíthatja azokat az Active Directorybeli hitelesítő adatokat is, amelyekhez a futtató fiók hozzá van rendelve. Ehhez erre a célra szolgáló további Active Directorybeli hitelesítő adatok tervezésére, létrehozására és karbantartására van szükség. A jelszólejárat, az Active Directory tartományi szolgáltatások, a hely és a biztonság szempontjából ezeket a fiókokat szolgáltatásfióknak kell tekinteni.

Együtt kell működni a felügyeleti csomagok szerzőivel, amikor azok a futtató fiókokra irányuló kérelmeket fejlesztenek. Bővebb információkért lásd: Index to Security-related Information for Operations Manager (Az Operations Manager biztonsággal kapcsolatos információinak tárgymutatója).

Lásd még

Az Operations Manager környezetre vonatkozó előfeltételei