Udostępnij za pośrednictwem

Zabezpieczenia i prywatność na potrzeby zarządzania zawartością w Configuration Manager

  • Artykuł

Dotyczy: programu Configuration Manager (bieżąca gałąź)

Ten artykuł zawiera informacje o zabezpieczeniach i ochronie prywatności dotyczące zarządzania zawartością w Configuration Manager.

Wskazówki dotyczące zabezpieczeń

Zalety i wady protokołu HTTPS lub HTTP dla intranetowych punktów dystrybucji

W przypadku punktów dystrybucji w intranecie należy wziąć pod uwagę zalety i wady korzystania z protokołu HTTPS lub HTTP. W większości scenariuszy użycie kont dostępu http i pakietów w celu autoryzacji zapewnia większe bezpieczeństwo niż używanie protokołu HTTPS z szyfrowaniem, ale bez autoryzacji. Jeśli jednak masz w zawartości dane poufne, które chcesz zaszyfrować podczas transferu, użyj protokołu HTTPS.

  • W przypadku korzystania z protokołu HTTPS dla punktu dystrybucji: Configuration Manager nie używa kont dostępu do pakietów w celu autoryzowania dostępu do zawartości. Zawartość jest szyfrowana, gdy jest przesyłana przez sieć.

  • W przypadku korzystania z protokołu HTTP dla punktu dystrybucji: do autoryzacji można użyć kont dostępu do pakietów. Zawartość nie jest szyfrowana, gdy jest przesyłana przez sieć.

Rozważ włączenie rozszerzonego protokołu HTTP dla witryny. Ta funkcja umożliwia klientom korzystanie z uwierzytelniania Microsoft Entra w celu bezpiecznej komunikacji z punktem dystrybucji HTTP. Aby uzyskać więcej informacji, zobacz Rozszerzony protokół HTTP.

Ważna

Począwszy od Configuration Manager wersji 2103, witryny, które zezwalają na komunikację klienta HTTP, są przestarzałe. Skonfiguruj witrynę pod kątem protokołu HTTPS lub rozszerzonego protokołu HTTP. Aby uzyskać więcej informacji, zobacz Włączanie witryny dla protokołu HTTPS lub rozszerzonego protokołu HTTP.

Ochrona pliku certyfikatu uwierzytelniania klienta

Jeśli używasz certyfikatu uwierzytelniania klienta infrastruktury kluczy publicznych zamiast certyfikatu z podpisem własnym dla punktu dystrybucji, chroń plik certyfikatu (pfx) silnym hasłem. Jeśli plik jest przechowywany w sieci, należy zabezpieczyć kanał sieciowy podczas importowania pliku do Configuration Manager.

Jeśli wymagasz hasła do zaimportowania certyfikatu uwierzytelniania klienta używanego przez punkt dystrybucji do komunikacji z punktami zarządzania, ta konfiguracja pomaga chronić certyfikat przed atakującą. Aby zapobiec naruszeniu pliku certyfikatu przez osobę atakującą, użyj podpisywania bloku komunikatów serwera (SMB) lub protokołu IPsec między lokalizacją sieciową a serwerem lokacji.

Usuwanie roli punktu dystrybucji z serwera lokacji

Domyślnie Configuration Manager instalator instaluje punkt dystrybucji na serwerze lokacji. Klienci nie muszą komunikować się bezpośrednio z serwerem lokacji. Aby zmniejszyć obszar ataków, przypisz rolę punktu dystrybucji do innych systemów lokacji i usuń ją z serwera lokacji.

Zabezpieczanie zawartości na poziomie dostępu do pakietu

Udział punktu dystrybucji umożliwia dostęp do odczytu wszystkim użytkownikom. Aby ograniczyć dostęp użytkowników do zawartości, użyj kont dostępu do pakietów, gdy punkt dystrybucji jest skonfigurowany dla protokołu HTTP. Ta konfiguracja nie ma zastosowania do bram zarządzania chmurą z obsługą zawartości, które nie obsługują kont dostępu do pakietów.

Aby uzyskać więcej informacji, zobacz Package access accounts (Konta dostępu do pakietów).

Konfigurowanie usług IIS w roli punktu dystrybucji

Jeśli Configuration Manager instaluje usługi IIS podczas dodawania roli systemu lokacji punktu dystrybucji, usuń przekierowanie HTTP i skrypty i narzędzia zarządzania usługami IIS po zakończeniu instalacji punktu dystrybucji. Punkt dystrybucji nie wymaga tych składników. Aby zmniejszyć obszar ataków, usuń te usługi ról dla roli serwera internetowego.

Aby uzyskać więcej informacji na temat usług ról dla roli serwera sieci Web dla punktów dystrybucji, zobacz Wymagania wstępne dotyczące lokacji i systemu lokacji.

Ustawianie uprawnień dostępu do pakietu podczas tworzenia pakietu

Ponieważ zmiany kont dostępu w plikach pakietów stają się skuteczne tylko podczas redystrybucji pakietu, należy starannie ustawić uprawnienia dostępu do pakietu podczas pierwszego tworzenia pakietu. Ta konfiguracja jest ważna, gdy pakiet jest duży lub dystrybuowany do wielu punktów dystrybucji oraz gdy przepustowość sieci dla dystrybucji zawartości jest ograniczona.

Implementowanie kontroli dostępu w celu ochrony nośników zawierających wstępnie przygotowaną zawartość

Wstępnie przygotowana zawartość jest skompresowana, ale nie jest szyfrowana. Osoba atakująca może odczytywać i modyfikować pliki pobierane na urządzenia. Configuration Manager klienci odrzucają zawartość, która została naruszona, ale nadal ją pobierają.

Importowanie wstępnie przygotowanej zawartości za pomocą polecenia ExtractContent

Importuj tylko wstępnie przygotowaną zawartość przy użyciu narzędzia wiersza polecenia ExtractContent.exe. Aby uniknąć manipulacji i podniesienia uprawnień, użyj tylko autoryzowanego narzędzia wiersza polecenia, które jest dostarczane z Configuration Manager.

Aby uzyskać więcej informacji, zobacz Wdrażanie zawartości i zarządzanie nią.

Zabezpieczanie kanału komunikacji między serwerem lokacji a lokalizacją źródłową pakietu

Podpisywanie protokołu IPsec lub SMB między serwerem lokacji a lokalizacją źródłową pakietu jest używane podczas tworzenia aplikacji, pakietów i innych obiektów z zawartością. Ta konfiguracja pomaga zapobiec naruszeniu plików źródłowych przez osobę atakującą.

Usuwanie domyślnych katalogów wirtualnych dla niestandardowej witryny internetowej z rolą punktu dystrybucji

Jeśli po zainstalowaniu roli punktu dystrybucji zmienisz opcję konfiguracji lokacji na niestandardową witrynę internetową, a nie domyślną, usuń domyślne katalogi wirtualne. Po przełączeniu się z domyślnej witryny internetowej na niestandardową witrynę internetową Configuration Manager nie usuwa starych katalogów wirtualnych. Usuń następujące katalogi wirtualne, które Configuration Manager pierwotnie utworzone w domyślnej witrynie internetowej:

  • SMS_DP_SMSPKG$

  • SMS_DP_SMSSIG$

  • NOCERT_SMS_DP_SMSPKG$

  • NOCERT_SMS_DP_SMSSIG$

Aby uzyskać więcej informacji na temat korzystania z niestandardowej witryny internetowej, zobacz Witryny sieci Web dla serwerów systemu lokacji.

W przypadku bram zarządzania chmurą z obsługą zawartości należy chronić szczegóły subskrypcji platformy Azure i certyfikaty

W przypadku korzystania z bram zarządzania chmurą z obsługą zawartości (CMG) należy chronić następujące elementy o wysokiej wartości:

  • Nazwa użytkownika i hasło subskrypcji platformy Azure
  • Klucze tajne dla rejestracji aplikacji platformy Azure
  • Certyfikat uwierzytelniania serwera

Bezpieczne przechowywanie certyfikatów. Jeśli podczas konfigurowania usługi CMG przeglądasz je za pośrednictwem sieci, użyj podpisywania protokołu IPsec lub SMB między serwerem systemu lokacji a lokalizacją źródłową.

Aby zapewnić ciągłość obsługi, monitoruj datę wygaśnięcia certyfikatów cmg

Configuration Manager nie ostrzega, gdy zaimportowane certyfikaty cmg wkrótce wygasną. Monitoruj daty wygaśnięcia niezależnie od Configuration Manager. Upewnij się, że odnowisz, a następnie zaimportujesz nowe certyfikaty przed datą wygaśnięcia. Ta akcja jest ważna w przypadku uzyskania certyfikatu uwierzytelniania serwera od zewnętrznego, publicznego dostawcy, ponieważ może być potrzebny więcej czasu na uzyskanie odnowionego certyfikatu.

Jeśli certyfikat wygaśnie, menedżer usług w chmurze Configuration Manager generuje komunikat o stanie o identyfikatorze 9425. Plik CloudMgr.log zawiera wpis wskazujący, że certyfikat jest w stanie wygaśnięcia, a data wygaśnięcia jest również zalogowana w formacie UTC.

Zagadnienia dotyczące zabezpieczeń

  • Klienci nie weryfikują zawartości dopiero po jej pobraniu. Configuration Manager klienci weryfikują skrót zawartości dopiero po pobraniu go do pamięci podręcznej klienta. Jeśli atakujący naruszy listę plików do pobrania lub samą zawartość, proces pobierania może zająć znaczną przepustowość sieci. Następnie klient odrzuca zawartość po znalezieniu nieprawidłowego skrótu.

  • W przypadku korzystania z bram zarządzania chmurą z obsługą zawartości:

    • Automatycznie ogranicza dostęp do zawartości organizacji. Nie można ograniczyć go dalej do wybranych użytkowników lub grup.

    • Punkt zarządzania najpierw uwierzytelnia klienta. Następnie klient używa tokenu Configuration Manager w celu uzyskania dostępu do magazynu w chmurze. Token jest ważny przez osiem godzin. To zachowanie oznacza, że jeśli zablokujesz klienta, ponieważ nie jest już zaufany, może on nadal pobierać zawartość z magazynu w chmurze do momentu wygaśnięcia tego tokenu. Punkt zarządzania nie wystawi innego tokenu dla klienta, ponieważ jest zablokowany.

      Aby uniknąć blokowania pobierania zawartości przez klienta w tym ośmiogodzinnym oknie, zatrzymaj usługę w chmurze. W konsoli Configuration Manager przejdź do obszaru roboczego Administracja, rozwiń węzeł Cloud Services i wybierz węzeł Brama zarządzania chmurą.

Informacje o ochronie prywatności

Configuration Manager nie zawiera żadnych danych użytkownika w plikach zawartości, chociaż użytkownik administracyjny może zdecydować się na wykonanie tej akcji.

Następne kroki