Cenários de segurança do Orchestrator

 

Publicado: março de 2016

Aplicável a: System Center 2012 SP1 - Orchestrator, System Center 2012 - Orchestrator, System Center 2012 R2 Orchestrator

As informações a seguir fornecem práticas recomendadas para o uso do Orchestrator com segurança. Essas informações são fornecidas em formato de cenários. Os cenários a seguir estão disponíveis:

• Cenário: Transição segura de desenvolvimento para teste e para ambientes de produção

• Cenário: Gerenciando com eficiência os membros do grupo Usuários do Orchestrator

Cenário: Transição segura de desenvolvimento para teste e para ambientes de produção

Os dados da senha Orchestrator contidos nos runbooks podem ser compartilhados com segurança entre diferentes instâncias do Orchestrator. Por exemplo, alguém pode querer exportar runbooks criados em um ambiente de desenvolvimento e importá-los para um ambiente de teste, ou exportar runbooks testados para um ambiente de produção. Esse processo de exportação e importação precisaria proteger os dados criptografados em cada fase da exportação de forma que os dados exportados possam ser importados em um ambiente Orchestrator diferente.

Isso é feito usando a funcionalidade Importar/Exportar disponível no Runbook Designer. Os recursos de exportação e importação estão disponíveis no item Ações, na barra de menu do Runbook Designer, ou ao clicar com o botão direito na pasta de um runbook. O recurso de exportação também está disponível ao clicar com o botão direito na guia de um runbook, um recurso normalmente chamado de “exportação de runbook único”.

Independentemente de como um runbook for exportado, os dados criptografados contidos nos runbooks serão armazenados com segurança no arquivo de exportação XML resultante. Isso é feito fornecendo uma senha na exportação. Quando o Orchestrator exporta os runbooks e suas configurações relacionadas, todos os dados criptografados contidos em Runbooks são descriptografados e criptografados novamente na exportação usando a senha fornecida.

Observação

A chave de criptografia utilizada na exportação é diferente da utilizada para armazenar os dados no banco de dados Orchestrator. Essencialmente, o recurso "Exportar" descriptografa os dados criptografados e criptografa-os novamente no arquivo de exportação. O arquivo de exportação contém a senha criptografada. O processo de exportação não protege o runbook em si nem os dados não criptografados contidos em Runbooks. A exportação só protege dados criptografados contidos em Runbooks.

Quando um arquivo de exportação é importado novamente, a importação requer uma senha. Se a senha estiver correta, os dados criptografados contidos na exportação serão importados e criptografados novamente usando-se a chave de criptografia para armazenamento no banco de dados Orchestrator.

Observação

O recurso de senha para Importar/Exportar não oferece suporte a regras de complexidade de senha que possam ser exigidas por sua organização. É possível deixar a senha em branco, embora isso não seja recomendado para exportações que contenham dados confidenciais criptografados. Se a senha da sua exportação for perdida, ainda é possível realizar uma importação dos runbooks e suas configurações relacionadas. Na tela Importar, simplesmente desmarque a opção Importar dados criptografados do Orchestrator. Nenhum dado criptografado pela plataforma Orchestrator será importado, e sim criado com valores em branco no banco de dados Orchestrator.

Cenário: Gerenciando com eficiência os membros do grupo Usuários do Orchestrator

O Orchestrator tem duas funções de usuário principais: Autores e Operadores de Runbook. Essas funções de usuário têm direitos diferentes no Orchestrator. Autores de Runbook são indivíduos com acesso administrativo avançado ao Orchestrator, incluindo ao seu banco de dados e à sua configuração. Autores de Runbook concedem acesso a Operadores de Runbook. Operadores de Runbook têm acesso ao Orchestration Console e ao Serviço da Web com base nos direitos concedidos pelos Autores de Runbook.

Função de usuário	Identificada por	Direitos
Autor de Runbook	Associação ao grupo Usuários do Orchestrator (veja abaixo)	- Administradores do Orchestrator - Ler, gravar e atualizar a configuração do Orchestrator - Controle total do banco de dados Orchestrator - Direitos totais de criptografia/descriptografia - Acesso às Atividades de Runbook que possam interagir com sistemas externos por meio de pacotes de integração
Operador de Runbook	Permissões de Pasta de Runbook concedidas por Autores de Runbook no Runbook Designer	- Direitos não administrativos no Orchestrator - Acesso ao Orchestration Console e ao Serviço da Web - Exibir e invocar runbooks com base nos direitos concedidos por Autores de Runbook - Sem acesso ao banco de dados Orchestrator - Sem direitos de criptografia/descriptografia

Observação
Associar uma conta de usuário ao grupo Usuários do Orchestrator identifica essa conta como administradora do Orchestrator. Todos os usuários do Orchestrator são, essencialmente, administradores com privilégios iguais, com acesso total ao Orchestrator e aos dados contidos no banco de dados. Isso inclui permissão para criptografar e descriptografar os dados contidos no banco de dados Orchestrator.

O Orchestrator gerencia a segurança através da participação em dois grupos de segurança criados no momento da instalação. Esses grupos são Usuários do Orchestrator e Sistema Orchestrator. A participação em um ou ambos os grupos identifica contas que são consideradas administradoras do Orchestrator ("personas confiáveis") Os direitos administrativos incluem a capacidade de atualizar runbooks e seus dados de configuração relacionados, atualizar a configuração de servidores Runbook, interagir com sistemas externos por meio de pacotes de integração, instalar e implantar pacotes de integração, interagir por programação com o banco de dados Orchestrator, atualizar a configuração do banco de dados e criptografar/descriptografar dados criptografados armazenados no banco de dados Orchestrator.

Observação
A participação em um ou ambos os grupos concede acesso administrativo total ao Orchestrator, incluindo acesso a todos os dados contidos no banco de dados Orchestrator e direitos totais de criptografia/descriptografia.

Grupo de segurança	Persona associada	Finalidade do grupo de segurança
Grupo Usuários do Orchestrator	Autores de Runbook e qualquer pessoa que implante pacotes de integração	Esse grupo de segurança define as contas de usuário que serão capazes de iniciar o Runbook Designer, o Deployment Manager e o utilitário Configuração do Repositório de Dados. A participação neste grupo concede acesso privilegiado ao banco de dados Orchestrator. Isso inclui a capacidade de ler e atualizar a configuração do banco de dados, assim como acessar e descriptografar dados criptografados.
Grupo Sistema Orchestrator	Nenhuma (usado para contas de serviço)	Esse grupo de segurança define as contas de serviço que exigem acesso privilegiado ao banco de dados Orchestrator. Isso inclui a capacidade de ler e atualizar a configuração do banco de dados, assim como acessar e descriptografar dados criptografados.

As funções de usuário a seguir são consideradas personas confiáveis/não confiáveis no Orchestrator.

Domínio de segurança	Contexto	Direitos de criptografia	Identificada por	Persona confiável
Tempo de execução	Serviços do Orchestrator Credenciais "Invocar Runbook" alternativas	Criptografia e descriptografia totais	Grupo Sistema Orchestrator no Active Directory/Credenciais na Atividade de Runbook "Invocar Runbook"	Sim
Tempo de design	Runbook Designer Deployment Manager Configuração do Repositório de Dados	Criptografia e descriptografia totais	Grupo Usuários do Orchestrator no Active Directory	Sim
Operador	Orchestration Console Serviço da Web	Sem acesso explícito a dados criptografados ou descriptografados.	Direitos de usuário definidos no Runbook Designer pela função Autor de Runbook	Não
Administrador de banco de dados	MS SQL Server 20008 R2	Criptografia e descriptografia totais	Direitos no SQL Server como um DBA com direitos no banco de dados Orchestrator	Sim
Administrador do Windows	Windows Server 2008 R2	Nenhum direito explícito é concedido; porém, os administradores do Windows são considerados personas confiáveis.	Direitos no Windows	Sim