次の方法で共有

  • [アーティクル]

Orchestrator セキュリティ シナリオ

 

公開日: 2016年3月

対象: System Center 2012 SP1 - Orchestrator、System Center 2012 - Orchestrator、System Center 2012 R2 Orchestrator

次の情報は、Orchestrator を安全に使用するためのベスト プラクティスを説明したものです。 この情報はシナリオ形式で説明します。 使用できるシナリオは次のとおりです。

  • シナリオ:開発環境から、テスト環境、運用環境へ安全に移行する

  • シナリオ:Orchestrator ユーザー グループ メンバーシップの効果的な管理

シナリオ:開発環境から、テスト環境、運用環境へ安全に移行する

Runbook に含まれる Orchestrator のパスワード データは、Orchestrator の異なるインスタンス間で安全に共有できます。 たとえば、開発環境でビルドされた Runbook をエクスポートして、テスト環境にインポートしたり、テストした Runbook を運用環境にエクスポートする場合があります。 このエクスポートとインポートのプロセスでは、エクスポートしたデータを別の Orchestrator 環境にインポートできるような方法で、エクスポートの各フェーズで暗号化されたデータのセキュリティを保護する必要があります。

このことは、Runbook Designer に用意されているインポートとエクスポートの機能を使って達成します。 エクスポート機能とインポート機能は、Runbook Designer のメニュー バーの、あるいは Runbook フォルダーの右クリックで表示される [操作] 項目から使用できます。 エクスポート機能は、Runbook タブを右クリックして使用することもできます。この機能は一般に "シングル Runbook エクスポート" と呼ばれます。

Runbook がどのようにエクスポートされても、Runbook に含まれるデータは暗号化されて、その結果の XML エクスポート ファイル内に安全に保存されます。 これは、エクスポートの際にパスワードを入力することで達成します。 Orchestrator が Runbook とその関連構成をエクスポートする際には、Runbook に含まれるすべてのデータの暗号が解除され、エクスポートの際に入力されたパスワードを使用して再度暗号化されます。

[!メモ]

  1. エクスポートに使用される暗号化キーは、Orchestrator データベースのデータの保存に使用されるものとは異なります。 つまり、"エクスポート" 機能は暗号化されたデータの暗号を解除して、エクスポート ファイル内でデータを再度暗号化するのです。 エクスポート ファイルには、暗号化されたパスワードが含まれます。
  2. エクスポート プロセスは、Runbook 自体や Runbook に含まれる暗号化されていないデータは保護しません。 エクスポートは、Runbook に含まれる暗号化データのみを保護します。

エクスポート ファイルを再インポートする際に、パスワードの入力が必要です。 パスワードが一致すると、エクスポートに含まれる暗号化データがインポートされてから、Orchestrator データベースに保存するために暗号化キーを使用して再暗号化されます。

[!メモ]

  1. エクスポートとインポートの機能は、組織内で必要な場合がある、パスワードの複雑性ルールはサポートしません。 暗号化された機密データを含むエクスポートには推奨されませんが、パスワードには値が空も許可されます。
  2. エクスポートのパスワードをなくしても、Runbook とその関連構成をインポートできます。 インポート画面で、[Orchestrator の暗号化されたデータをインポートする] オプションをオフにするだけです。 Orchestrator プラットフォームの暗号化されたデータはすべてインポートされず、空の値で Orchestrator データベースに作成されます。

シナリオ:Orchestrator ユーザー グループ メンバーシップの効果的な管理

Orchestrator には、Runbook 作成者と Runbook オペレーターという 2 つの重要なロールがあります。 これらのユーザー ロールは、Orchestrator で異なる権限を持ちます。 Runbook 作成者は、データベースと構成を含む、Orchestrator の豊富な管理用のアクセス権を持つ個人です。 Runbook 作成者は Runbook オペレーターにアクセス権を付与します。 Runbook オペレーター-は、Runbook 作成者に付与された権限に基づいて、Orchestration Console と Web サービスへのアクセス権を持ちます。

ユーザーの役割 識別基準 権限
Runbook 作成者 Orchestrator ユーザー グループのメンバーシップ (下記参照) - Orchestrator の管理者
- Orchestrator 構成の読み取り、書き込み、更新
- Orchestrator データベースのフル コントロール
- 暗号化/暗号解除の完全な権限
- 統合パックを使用して外部システムとの連携が可能な Runbook 活動へのアクセス
Runbook オペレーター Runbook Designer の、Runbook 作成者により付与された Runbook フォルダーへのアクセス許可 - Orchestrator への管理権限以外の権限
- Orchestration Console と Web サービスへのアクセス
- Runbook 作成者により付与された権限に基づく Runbook の表示と呼び出し
- Orchestrator データベースへのアクセス権はありません
- 暗号化/暗号解除の権限はありません

[!メモ]

ユーザー アカウントを Orchestrator ユーザー グループに割り当てると、そのユーザー アカウントは Orchestrator の管理者と見なされます。 すべての Orchestrator ユーザーは、基本的に平等な権限を持つ管理者であり、Orchestrator とデータベースに含まれるデータへのフル アクセスを持ちます。 これには Orchestrator データベースに含まれるデータの暗号化と暗号解除のためのアクセスも含まれます。

Orchestrator は、インストール時に作成された 2 つのセキュリティ グループのメンバーシップを使用して、セキュリティを管理します。 セキュリティ グループには、Orchestrator ユーザー グループと Orchestrator システム グループがあります。 これらのグループのいずれか、あるいは両方のメンバーシップは、Orchestrator の管理者 ("信頼済みのペルソナ") と見なされるアカウントを識別します。 管理者権限には、Runbook とその関連構成データの更新、Runbook サーバーの構成の更新、統合パックを使用した外部システムとの連携、統合パックのインストールと展開、プログラムによる Orchestrator データベースとの連携、データベース構成の更新、Orchestrator データベースに保存された暗号化データの暗号化と暗号解除が含まれます。

[!メモ]

これらのグループのいずれか、あるいは両方のメンバーシップは、Orchestrator データベースに含まれるすべてのデータと暗号化/暗号解除の全権限を含む、Orchestrator への完全な管理用アクセス権を付与します。

セキュリティ グループ 関連するペルソナ セキュリティ グループの目的
Orchestrator ユーザー グループ Runbook 作成者と統合パックを展開するすべてのユーザー このセキュリティ グループは、Runbook Designer と Deployment Manager、そしてデータ ストアの構成ユーティリティを起動できるユーザー アカウントを定義します。 このグループのメンバーシップは、Orchestrator データベースの特権アクセスを付与します。 これには、データベースの構成の読み取りおよび更新と、暗号化されたデータへのアクセスおよび暗号解除を行う権限も含まれます。
Orchestrator システム グループ なし (サービス アカウントに使用) このセキュリティ グループは、Orchestrator データベースへの特権アクセスが必要なサービス アカウントを定義します。 これには、データベースの構成の読み取りおよび更新と、暗号化されたデータへのアクセスおよび暗号解除を行う権限も含まれます。

Orchestrator では、ユーザー ロールが信頼済みのペルソナであるかどうかは次のように区別されます。

セキュリティ ドメイン コンテキスト 暗号化の権限 識別基準 信頼済みのペルソナ
実行時 Orchestrator サービス

"Runbook の呼び出し" 代替資格情報		 暗号化と暗号解除のすべて Active Directory の Orchestrator システム グループ / "Runbook の呼び出し" Runbook 活動の資格情報 ○
設計時 Runbook Designer

Deployment Manager

データ ストアの構成		 暗号化と暗号解除のすべて Active Directory の Orchestrator ユーザー グループ ○
演算子 Orchestration Console

Web サービス		 暗号化された、あるいは暗号化が解除されたデータへの明示的なアクセスはありません Runbook 作成者ロールによって Runbook Designer で定義されたユーザー権限 ×
データベース管理者 MS SQL Server 20008 R2 暗号化と暗号解除のすべて Orchestrator データベースの権限を持つ SQL Server の DBA 権限 ○
Windows 管理者 Windows Server 2008 R2 明示的な権限は付与されません。ただし、Windows 管理者は信頼済みのペルソナとして見なされます。 Windows の権限 ○