Orchestration データベースのセキュリティ
公開日: 2016年3月
対象: System Center 2012 SP1 - Orchestrator、System Center 2012 - Orchestrator、System Center 2012 R2 Orchestrator
次のセクションでは、Orchestrator の Orchestration データベースのセキュリティ保護について説明します。
データベース ロール
SQL Server 接続のセキュリティ保護
暗号化キー
データベース ロール
Orchestration データベースのセキュリティは、サポートされているバージョンの Microsoft SQL Server のデータベース ロールを介して実装されます。 下の表は、Orchestration データベースで作成されるロールと、それらに付与されるアクセス許可の一覧です。 これらのロールは、インストール プロセス中に構成され、必要なメンバーに設定されるため、通常は、直接作業する必要はありません。 ここで提供される情報は、管理者が構成に関連するセキュリティをより理解し、カスタム シナリオに備えるのに役立ちます。
| アカウント | データベース ロール |
|---|---|
| Management Service アカウント | Microsoft.SystemCenter.Orchestrator.Admins |
| Orchestrator 管理者グループのメンバー | Microsoft.SystemCenter.Orchestrator.Admins |
| Orchestrator Runbook Service アカウント | Microsoft.SystemCenter. Orchestrator.Runtime |
| Orchestrator Runbook Server Monitor サービス アカウント | Microsoft.SystemCenter. Orchestrator.Runtime |
| Orchestrator Web サービス ユーザー アカウント | Microsoft.SystemCenter. Orchestrator.Operators |
| ロール | アクセス許可 | オブジェクト |
|---|---|---|
| Microsoft.SystemCenter. Orchestrator.Operators | SELECT | [Microsoft.SystemCenter.Orchestrator.Runtime].[Jobs]、 [Microsoft.SystemCenter.Orchestrator.Runtime].[RunbookInstances]、 [Microsoft.SystemCenter.Orchestrator.Runtime].[RunbookInstanceParameters]、 [Microsoft.SystemCenter.Orchestrator.Runtime].[RunbookServers]、 [Microsoft.SystemCenter.Orchestrator.Runtime].[ActivityInstances]、 [Microsoft.SystemCenter.Orchestrator.Runtime].[ActivityInstanceData]、 [Microsoft.SystemCenter.Orchestrator.Runtime].[Events]、 [Microsoft.SystemCenter.Orchestrator.Statistics].[Statistics] |
| Microsoft.SystemCenter. Orchestrator.Operators | EXECUTE | [Microsoft.SystemCenter.Orchestrator].[GetSecurityToken]、 [Microsoft.SystemCenter.Orchestrator].[AccessCheck]、 [Microsoft.SystemCenter.Orchestrator].[ComputeAuthorizationCache]、 [Microsoft.SystemCenter.Orchestrator.Statistics.Internal].[GetStatisticsSummary]、 [Microsoft.SystemCenter.Orchestrator.Runtime].[CreateJob]、 [Microsoft.SystemCenter.Orchestrator.Runtime].[CancelJob] |
| Microsoft.SystemCenter. Orchestrator.Runtime | SELECT | すべてのテーブル、 dbo.[POLICIES_VIEW]、 dbo.[POLICY_REQUEST_HISTORY] |
| Microsoft.SystemCenter. Orchestrator.Runtime | INSERT | dbo.[OBJECT_AUDIT] |
| Microsoft.SystemCenter. Orchestrator.Runtime | INSERT、UPDATE | dbo.[OBJECTS]、 dbo.[ACTIONSERVERS]、 dbo.[POLICYINSTANCES]、 dbo.[OBJECTINSTANCES]、 dbo.[OBJECTINSTANCEDATA] |
| Microsoft.SystemCenter. Orchestrator.Runtime | INSERT、DELETE | dbo.[COUNTERINSTANCES]、 dbo.[POLICYRETURNDATA] |
| Microsoft.SystemCenter. Orchestrator.Runtime | UPDATE | dbo.[POLICY_PUBLISH_QUEUE] |
| Microsoft.SystemCenter. Orchestrator.Runtime | CONTROL | [ORCHESTRATOR_ASYM_KEY]、 [ORCHESTRATOR_SYM_KEY] |
| Microsoft.SystemCenter. Orchestrator.Runtime | EXECUTE | dbo.sp_insertevent、 dbo.sp_PublishPolicy、 dbo.sp_UnpublishPolicy、 dbo.sp_UnpublishPolicyRequest、 dbo.fn_GetPolicyInstanceStatus、 dbo.fn_NumFailedInstancesPerServer、 dbo.fn_NumInstancesPerServer、 dbo.fn_NumRunningInstancesPerServer、 [Microsoft.SystemCenter.Orchestrator.Cryptography].[Encrypt]、 [Microsoft.SystemCenter.Orchestrator.Cryptography].[Decrypt]、 [Microsoft.SystemCenter.Orchestrator.Internal].[RethrowError] |
| Microsoft.SystemCenter. Orchestrator.Admins | SELECT、INSERT、UPDATE、DELETE、ALTER、CREATE TABLE | SCHEMA::dbo |
| Microsoft.SystemCenter. Orchestrator.Admins | REFERENCES | dbo.[OBJECTS] |
| Microsoft.SystemCenter. Orchestrator.Admins | SELECT | dbo.[POLICIES_VIEW]、GRANT SELECT ON dbo.[POLICY_REQUEST_HISTORY] |
| Microsoft.SystemCenter. Orchestrator.Admins | CONTROL | [ORCHESTRATOR_ASYM_KEY]、 [ORCHESTRATOR_SYM_KEY] |
| Microsoft.SystemCenter. Orchestrator.Admins | EXECUTE | [Microsoft.SystemCenter.Orchestrator.Cryptography].[CreateOrchestratorKeys]、 [Microsoft.SystemCenter.Orchestrator.Cryptography].[DropOrchestratorKeys]、 [Microsoft.SystemCenter.Orchestrator.Cryptography].[Encrypt]、 [Microsoft.SystemCenter.Orchestrator.Cryptography].[Decrypt]、 [Microsoft.SystemCenter.Orchestrator.Internal].[RethrowError]、 dbo.sp_CustomLogCleanup、 dbo.sp_GetLogEntriesForDelete_FilterByDays、 dbo.sp_GetLogEntriesForDelete_FilterByEntries、 dbo.sp_GetLogEntriesForDelete_FilterByEntriesAndDays、 dbo.sp_insertevent、 dbo.sp_PublishPolicy、 dbo.sp_UnpublishPolicy、 dbo.sp_UnpublishPolicyRequest、 dbo.fn_GetPolicyInstanceStatus、 dbo.fn_NumFailedInstancesPerServer、 dbo.fn_NumInstancesPerServer、 dbo.fn_NumRunningInstancesPerServer、 [Microsoft.SystemCenter.Orchestrator.Internal].AddUserToRole、 [Microsoft.SystemCenter.Orchestrator].[SetPermissions]、 [Microsoft.SystemCenter.Orchestrator.Internal].[SetProductInfo] |
データベースの構成ユーティリティ (DBSetup.exe) は、settings.dat ファイルにアクセスするために、Management サーバーがインストールされているコンピューターのユーザー、かつ、管理者グループか Orchestrator ユーザー グループのいずれかのメンバーとしてのアクセス許可を必要とします。 DBDataStore.dll を使用してデータベースに直接接続するカスタム ツールは、同じアクセス許可を必要とします。
.jpeg "System_CAPS_ICON_important.jpg") 重要 |
|---|
Orchestrator のインストール中に、SQL Server への接続に使用するアカウントが、SQL Server の最小特権を持つことを確認し、特権の昇格可能性を回避します。 |
SQL Server 接続のセキュリティ保護
Orchestrator の既定の展開では、SQL Server の接続はセキュリティで保護されていません。 この例外は、Orchestrator が機密データを保存または取得する場合です。 この場合、Orchestrator は自己署名証明書を使って SQL Server へのセキュリティで保護された接続を作成します。 この証明書は、セキュリティの保護が強くなく、man-in-the-middle 攻撃に対して脆弱です。
SQL Server への暗号化された接続については、「SQL Server への接続の暗号化」を参照してください。 データベース エンジンへの接続を有効にする方法については、「方法:データベース エンジンへの暗号化接続の有効化 (SQL Server 構成マネージャー)」をご覧ください。
暗号化キー
セキュリティ計画の一部として、暗号化キーの定期的な交換を計画します。 米国標準技術研究所 (NSIT) は、キーを少なくとも 2 年に 1 度は交換することを推奨しています。 NSIT セキュリティ標準の詳細については、「NSIT Computer Security Division Computer Security Resource Center (NSIT コンピューター セキュリティ部門コンピューター セキュリティ リソース センター)」を参照してください。
暗号化キーを交換するには
Runbook Designer から、Runbook、グローバル設定、変数、スケジュールなどをすべてエクスポートします。
エクスポートには、パスワードの入力が必要です。
エクスポート中に、すべての暗号化されたデータの暗号が解除され、パスワードによって作成された新しいキーで再び暗号化されます。
SQL Server マスター データベース キーを変更することもできます。
Orchestrator は、SQL Server マスター データベース キーと、Orchestration データベースのマスター データベース キーの両方を使用して、暗号化します。
SQL Server マスター データベース キーの変更法については、「SQL Server とデータベースの暗号化キー (データベース エンジン)」を参照してください。
Management サーバーを再インストールして、新しいデータベースを作成します。
Management サーバーのインストール方法については、「Management Server のインストール方法」トピックを参照してください。
既存のデータベースに接続しないでください。 新しいデータベースが作成されると、新しい暗号化キーが生成されます。
Runbook Designer から、Runbook と、エクスポートしたその他のすべてのデータを再インポートします。
エクスポートに使用したパスワードを入力します。 パスワードを使用してエクスポート ファイルのデータの暗号化が解除され、その後、データベースにインポートされるときに、新しい Orchestrator マスター データベース キーで暗号化されます。