Безопасность и конфиденциальность для клиентов Configuration Manager

Относится к Configuration Manager (Current Branch)

В этой статье описываются сведения о безопасности и конфиденциальности для клиентов Configuration Manager. Он также включает сведения для мобильных устройств, управляемых соединителем Exchange Server.

Руководство по безопасности для клиентов

Сайт Configuration Manager принимает данные с устройств, на которых работает клиент Configuration Manager. Это поведение создает риск того, что клиенты могут атаковать сайт. Например, они могут отправить неправильно сформированный инвентарь или попытаться перегрузить системы сайта. Развертывайте клиент Configuration Manager только на устройствах, которым вы доверяете.

Используйте следующие рекомендации по безопасности, чтобы защитить сайт от несанкционированных или скомпрометированных устройств.

Использование сертификатов инфраструктуры открытых ключей (PKI) для взаимодействия клиентов с системами сайтов, на которых работают службы IIS

• В качестве свойства сайта настройте параметры системы сайтатолько для HTTPS. Дополнительные сведения см. в разделе "Настройка безопасности".

• Установите клиенты с помощью свойства UsePKICert CCMSetup.

• Использование списка отзыва сертификатов (CRL). Убедитесь, что клиенты и взаимодействующие серверы всегда смогут получить к нему доступ.

Эти сертификаты требуются для клиентов мобильных устройств и некоторых веб-клиентов. Корпорация Майкрософт рекомендует использовать эти сертификаты для всех клиентских подключений в интрасети.

Дополнительные сведения об использовании сертификатов в Configuration Manager см. в статье Планирование сертификатов.

Важно!

Начиная с Configuration Manager версии 2103, сайты, на которых разрешен обмен данными с клиентами HTTP, устарели. Настройте сайт для использования протокола HTTPS или расширенного HTTP. Дополнительные сведения см. в статье Включение сайта только для HTTPS или расширенного HTTP.

Автоматическое утверждение клиентских компьютеров из доверенных доменов, а также ручная проверка и утверждение других компьютеров

Если вы не можете использовать проверку подлинности PKI, одобрение определяет компьютер, которому вы доверяете управление Configuration Manager. Иерархия содержит следующие параметры для настройки утверждения клиента:

• Вручную
• Автоматически для компьютеров в доверенных доменах
• Автоматически для всех компьютеров

Самый безопасный способ утверждения — автоматическое утверждение клиентов, являющихся членами доверенных доменов. Этот параметр включает присоединенные к облачному домену клиенты из подключенных клиентов Microsoft Entra. Затем вручную проведите проверку и утвердите все остальные компьютеры. Не рекомендуется автоматически утверждать все клиенты, если только у вас нет других средств управления доступом, предотвращающих доступ к сети ненадежных компьютеров.

Дополнительные сведения о том, как вручную утвердить компьютеры, см. в разделе Управление клиентами с узла устройств.

Не полагайтесь на блокировку, чтобы запретить клиентам доступ к иерархии Configuration Manager

Заблокированные клиенты отклоняются инфраструктурой Configuration Manager. Если клиенты заблокированы, они не могут взаимодействовать с системами сайта для скачивания политики, отправки данных инвентаризации или отправки сообщений о состоянии или состоянии.

Блокировка предназначена для следующих сценариев:

• Блокировка потерянных или скомпрометированных загрузочных носителей при развертывании ОС на клиентах
• Когда все системы сайта принимают подключения клиентов по протоколу HTTPS

Если системы сайта принимают клиентские подключения HTTP, не полагайтесь на блокировку, чтобы защитить иерархию Configuration Manager от ненадежных компьютеров. В этом сценарии заблокированный клиент может повторно присоединиться к сайту с новым самозаверяющим сертификатом и идентификатором оборудования.

Отзыв сертификата — это основная линия защиты от потенциально скомпрометированных сертификатов. Список отзыва сертификатов (CRL) доступен только в поддерживаемой инфраструктуре открытых ключей (PKI). Блокировка клиентов в Configuration Manager предлагает вторую линию обороны для защиты иерархии.

Дополнительные сведения см. в разделе "Определение необходимости блокировки клиентов".

Используйте наиболее безопасные методы установки клиента, практичные для вашей среды

• На компьютерах домена методы установки клиента групповой политики и установки клиента на основе обновления программного обеспечения более безопасны, чем принудительная установка клиента .

• Если вы применяете элементы управления доступом и меняете элементы управления, используйте методы формирования образов или вручную.

• Используйте взаимную проверку подлинности Kerberos с принудительной установкой клиента.

Из всех методов установки клиента принудительная установка клиента является наименее безопасной из-за множества зависимостей. К этим зависимостям относятся разрешения локальных администраторов, исключения для Admin$ общего доступа и брандмауэра. Количество и тип этих зависимостей увеличивают поверхность атаки.

При использовании принудительной передачи клиента сайт может требовать взаимную проверку подлинности Kerberos, не разрешая переключение на NTLM перед установкой подключения. Это усовершенствование помогает защитить связь между сервером и клиентом. Дополнительные сведения см. в статье Установка клиентов с помощью принудительной передачи клиента.

Дополнительные сведения о различных методах установки клиента см. в разделе Методы установки клиента.

По возможности выбирайте метод установки клиента, который требует минимальных разрешений безопасности в Configuration Manager. Ограничьте административных пользователей, которым назначены роли безопасности, разрешениями, которые можно использовать для целей, отличных от развертывания клиента. Например, для настройки автоматического обновления клиента требуется роль безопасности "Полный администратор ", которая предоставляет пользователю с правами администратора все разрешения безопасности.

Дополнительные сведения о зависимостях и разрешениях безопасности, необходимых для каждого метода установки клиента, см. в разделе "Необходимые условия для компьютерных клиентов".

Если необходимо использовать принудительную установку клиента, защитите учетную запись принудительной установки клиента

Учетная запись принудительной установки клиента должна быть членом локальной группы "Администраторы" на каждом компьютере, на котором устанавливается клиент Configuration Manager. Никогда не добавляйте учетную запись принудительной установки клиента в группу "Администраторы домена ". Вместо этого создайте глобальную группу и добавьте ее в локальную группу "Администраторы" на клиентах . Создайте объект групповой политики, чтобы добавить параметр "Ограниченная группа " и добавить учетную запись принудительной установки клиента в локальную группу "Администраторы ".

Для повышения безопасности создайте несколько учетных записей принудительной установки клиента, каждая с административным доступом к ограниченному числу компьютеров. Если одна учетная запись скомпрометирована, будут скомпрометированы только клиентские компьютеры, к которым она имеет доступ.

Удаление сертификатов перед созданием образов клиентов

При развертывании клиентов с помощью образов ОС всегда удаляйте сертификаты перед записью образа. К таким сертификатам относятся сертификаты PKI для проверки подлинности клиента и самозаверяющие сертификаты. Если не удалить эти сертификаты, клиенты могут выдавать себя за друга. Невозможно проверить данные для каждого клиента.

Дополнительные сведения см. в разделе Создание последовательности задач для захвата операционной системы.

Убедитесь, что клиент Configuration Manager получает авторизованную копию сертификатов

Сертификат доверенного корневого ключа Configuration Manager

Если оба следующих утверждения верны, клиенты полагаются на доверенный корневой ключ Configuration Manager для проверки подлинности допустимых точек управления:

• Вы не расширили схему Active Directory для Configuration Manager
• Клиенты не используют сертификаты PKI при обращении к точкам управления

В этом сценарии у клиентов нет возможности проверить, является ли точка управления доверенной для иерархии, если они не используют доверенный корневой ключ. Без доверенного корневого ключа опытный злоумышленник может направить клиентов в мошенническую точку управления.

Если клиенты не используют сертификаты PKI и не могут загрузить доверенный корневой ключ из глобального каталога Active Directory, предварительно подготавливайте клиентов с доверенным корневым ключом. Это действие гарантирует, что они не могут быть направлены в мошенническую точку управления. Дополнительные сведения см. в разделе "Планирование доверенного корневого ключа".

Сертификат подписи сервера сайта

Клиенты используют сертификат подписи сервера сайта, чтобы убедиться, что сервер сайта подписал политику, загруженную из точки управления. Этот сертификат является самозаверяющим сервером сайта и публикуется в доменных службах Active Directory.

Если клиентам не удается скачать этот сертификат из глобального каталога Active Directory, он по умолчанию скачивается из точки управления. Если точка управления находится в ненадежной сети, например в Интернете, вручную установите сертификат подписи сервера сайта на клиентах. Благодаря этому они не смогут скачать измененные политики клиента из скомпрометированной точки управления.

Чтобы вручную установить сертификат подписи сервера сайта, используйте client.msi свойство SMSSIGNCERT CCMSetup.

Если клиент загружает доверенный корневой ключ из первой точки управления, не следует использовать автоматическое назначение сайта

Чтобы исключить риск того, что новый клиент скачает доверенный корневой ключ из мошеннической точки управления, используйте автоматическое назначение сайта только в следующих сценариях.

• Клиент может получать доступ к сведениям сайта Configuration Manager, опубликованным в доменных службах Active Directory.

• Доверенный корневой ключ предоставляется клиенту заранее.

• Сертификаты PKI из центра сертификации предприятия используются для установления доверия между клиентом и точкой управления.

Дополнительные сведения о доверенном корневом ключе см. в разделе "Планирование доверенного корневого ключа".

Убедитесь, что окна обслуживания достаточно велики для развертывания критически важных обновлений программного обеспечения

Периоды обслуживания для коллекций устройств ограничивают время, в течение которого Configuration Manager может установить программное обеспечение на эти устройства. Если вы настроили слишком маленький период обслуживания, клиент может не установить критические обновления программного обеспечения. Такое поведение делает клиент уязвимым для любой атаки, которую смягчает обновление программного обеспечения.

Принятие мер предосторожности для уменьшения поверхности атак на устройствах с Windows Embedded с помощью фильтров записи

При включении фильтров записи на устройствах с Windows Embedded любые программные установки и изменения вносятся только в наложение. Эти изменения не сохраняются после перезагрузки устройства. Если вы отключите фильтры записи с помощью Configuration Manager, в течение этого периода внедренное устройство будет уязвимо для изменений во всех томах. Эти тома включают общие папки.

В течение этого периода Configuration Manager блокирует компьютер, чтобы входить в систему могли только локальные администраторы. По возможности принимайте другие меры предосторожности для защиты компьютера. Например, включите ограничения для брандмауэра.

Если вы используете периоды обслуживания для сохранения изменений, тщательно планируйте эти окна. Сведите к минимуму время, в течение которого фильтры записи отключены, но сделайте их достаточно продолжительными, чтобы можно было выполнить установку программного обеспечения и перезагрузки.

Использование последней версии клиента с установкой клиента на основе обновления программного обеспечения

Если используется клиентская установка на основе обновления программного обеспечения и установлена на сайте более поздняя версия клиента, обновите опубликованное обновление программного обеспечения. Затем клиенты получают последнюю версию из точки обновления программного обеспечения.

При обновлении сайта обновление программного обеспечения для развертывания клиента, опубликованное в точке обновления программного обеспечения, не обновляется автоматически. Повторно опубликуйте клиент Configuration Manager в точке обновления программного обеспечения и обновите номер версии.

Дополнительные сведения см. в разделе Установка клиентов Configuration Manager с помощью установки на основе обновления программного обеспечения.

Приостанавливать ввод ПИН-кода BitLocker только на доверенных устройствах и устройствах с ограниченным доступом

Настраивайте в клиенте только параметр " Приостановить ввод ПИН-кода BitLocker при перезапуске на "Всегда " для компьютеров, которым вы доверяете и для которых ограничен физический доступ.

Если для этого параметра клиента задано значение "Всегда", Configuration Manager может завершить установку программного обеспечения. Это поведение помогает установить критически важные обновления программного обеспечения и возобновить работу служб. Если злоумышленнику удастся перехватить процесс перезапуска, он может получить контроль над компьютером. Используйте этот параметр, только если вы доверяете компьютеру и физический доступ к нему ограничен. Например, этот параметр может подойти для серверов в центре обработки данных.

Дополнительные сведения об этом параметре клиента см. в разделе "О параметрах клиента".

Не обходите политику выполнения PowerShell

Если вы настроите параметр клиента Configuration Manager для политики выполнения PowerShell со значением "Обход", Windows разрешит запуск неподписанных сценариев PowerShell. Такое поведение может позволить вредоносным программам запускаться на клиентских компьютерах. Если вашей организации требуется этот параметр, используйте настраиваемый параметр клиента. Назначайте его только тем клиентским компьютерам, на которых должны выполняться неподписанные сценарии PowerShell.

Дополнительные сведения об этом параметре клиента см. в разделе "О параметрах клиента".

Руководство по безопасности для мобильных устройств

Установите прокси-точку регистрации в сети периметра и точку регистрации в интрасети

Для мобильных интернет-устройств, регистрируемых с помощью Configuration Manager, установите прокси-точку регистрации в сети периметра и точку регистрации в интрасети. Такое разделение ролей помогает защитить точку регистрации от атак. Если злоумышленник скомпрометирует точку регистрации, он может получить сертификаты для проверки подлинности. Они также могут похитить учетные данные пользователей, которые регистрируют свои мобильные устройства.

Настройка параметров пароля для защиты мобильных устройств от несанкционированного доступа

Для мобильных устройств, зарегистрированных Configuration Manager: Используйте элемент конфигурации мобильного устройства, чтобы настроить сложность пароля в качестве ПИН-кода. Укажите по крайней мере минимальную длину пароля по умолчанию.

Для мобильных устройств без установленного клиента Configuration Manager, которые управляются соединителем Exchange Server: Настройте параметры пароля для соединителя Exchange Server так, чтобы сложность пароля была ПИН-кодом. Укажите по крайней мере минимальную длину пароля по умолчанию.

Разрешить запуск только тех приложений, которые подписаны компаниями, которым вы доверяете

Предотвратите подделку сведений об инвентаризации и состоянии, разрешив запуск приложений только в том случае, если они подписаны компаниями, которым вы доверяете. Не разрешайте устройствам устанавливать неподписанные файлы.

Для мобильных устройств, зарегистрированных Configuration Manager: Используйте элемент конфигурации мобильного устройства для настройки параметра безопасности "Неподписанные приложениязапрещены". Настройте установки неподписанных файлов , чтобы они были надежным источником.

Для мобильных устройств, на которых не установлен клиент Configuration Manager, но которые управляются соединителем Exchange Server: Настройте параметры приложения для соединителя Exchange Server таким образом, чтобы запретить установку неподписанных файлов и неподписанных приложений.

Блокировка мобильных устройств, когда они не используются

Предотвратите атаки с повышением привилегий, блокируя мобильное устройство, когда оно не используется.

Для мобильных устройств, зарегистрированных Configuration Manager: Использование элемента конфигурации мобильного устройства для настройки параметра пароля Время простоя в минутах до блокировки мобильного устройства.

Для мобильных устройств, на которых не установлен клиент Configuration Manager, но которые управляются соединителем Exchange Server: Настройте параметры пароля для соединителя Exchange Server, чтобы установить время простоя в минутах до блокировки мобильного устройства.

Ограничьте пользователей, которые могут регистрировать свои мобильные устройства

Помогите предотвратить повышение привилегий, ограничив количество пользователей, которые могут регистрировать свои мобильные устройства. Используйте настраиваемые параметры клиента, а не параметры по умолчанию, чтобы разрешить регистрацию мобильных устройств только авторизованным пользователям.

Руководство по сопоставлению пользовательских устройств для мобильных устройств

Не развертывайте приложения для пользователей с мобильными устройствами, зарегистрированными в Configuration Manager в следующих сценариях:

• Мобильное устройство используется несколькими людьми.

• Устройство регистрируется администратором от имени пользователя.

• Устройство передается другому лицу без снятия с учета и последующей повторной регистрации устройства.

Регистрация устройства создает отношение сходства пользователей и устройств. Эта связь сопоставляет пользователя, который регистрируется, с мобильным устройством. Если другой пользователь использует мобильное устройство, он может запускать приложения, развернутые для исходного пользователя, что может привести к повышению привилегий. Аналогичным образом, если администратор регистрирует мобильное устройство для пользователя, приложения, развернутые для пользователя, не устанавливаются на мобильном устройстве. Вместо этого могут быть установлены приложения, развернутые администратором.

Защита соединения между сервером сайта Configuration Manager и сервером Exchange Server

Если Exchange Server является локальным, используйте IPsec. Размещенный Exchange автоматически обеспечивает безопасность подключения по протоколу HTTPS.

Использование принципа наименьших привилегий для соединителя Exchange

Список минимальных командлетов, необходимых соединителю Exchange Server, см. в статье Управление мобильными устройствами с помощью Configuration Manager и Exchange.

Руководство по безопасности для устройств macOS

Хранение и доступ к исходным файлам клиента из защищенного расположения

Перед установкой или регистрацией клиента на компьютере с macOS Configuration Manager не проверяет, были ли эти исходные файлы клиента изменены. Скачайте эти файлы из надежного источника. Безопасно храните их и получайте к ним доступ.

Отслеживание срока действия сертификата

Отслеживайте и отслеживайте срок действия сертификатов, которые вы используете для компьютеров с macOS. Configuration Manager не поддерживает автоматическое продление срока действия сертификата или предупреждает о том, что срок его действия истекает. Типичный срок действия — один год.

Дополнительные сведения о том, как продлить сертификат см. в разделе Обновление сертификата клиента macOS вручную.

Настройка доверенного корневого сертификата только для SSL

Для защиты от повышения привилегий настройте сертификат для доверенного корневого центра сертификации так, чтобы он был доверенным только для протокола SSL.

При регистрации компьютеров Mac автоматически устанавливается сертификат пользователя для управления клиентом Configuration Manager. Этот сертификат пользователя включает доверенные корневые сертификаты в цепочку доверия. Чтобы ограничить доверие этого корневого сертификата только протоколом SSL, выполните следующие действия.

1. На компьютере Mac откройте окно терминала.

2. Введите следующую команду: sudo /Applications/Utilities/Keychain\ Access.app/Contents/MacOS/Keychain\ Access

3. В диалоговом окне "Доступ к связке ключей " в разделе "Цепочки ключей " выберите "Система". Затем в разделе "Категория " выберите "Сертификаты".

4. Найдите и откройте корневой сертификат ЦС для сертификата клиента Mac.

5. В диалоговом окне для корневого сертификата ЦС разверните раздел "Доверие " и внесите следующие изменения:

   1. При использовании этого сертификата: Измените параметр "Всегда доверять ", чтобы использовать системные значения по умолчанию.

   2. Протокол SSL. Не задайте значениедля Always Trust.

6. Закройте диалоговое окно. При появлении запроса введите пароль администратора и выберите "Параметры обновления".

После выполнения этой процедуры корневой сертификат становится доверенным только для проверки протокола SSL. Другие протоколы, которым сейчас не доверяют при использовании этого корневого сертификата, включают безопасную почту (S/MIME), расширяемую проверку подлинности (EAP) или подписывание кода.

Примечание.

Кроме того, эту процедуру следует выполнить, если сертификат клиента установлен независимо от Configuration Manager.

Проблемы безопасности для клиентов

Следующие проблемы безопасности не могут быть устранены:

Сообщения о состоянии не проходят проверку подлинности

Точка управления не проверяет подлинность сообщений о состоянии. Когда точка управления принимает клиентские подключения HTTP, любое устройство может отправлять сообщения о состоянии в точку управления. Если точка управления принимает только клиентские подключения HTTPS, устройство должно иметь действительный сертификат проверки подлинности клиента, но также может отправлять любое сообщение о состоянии. Точка управления отбрасывает все сообщения о недействительном состоянии, полученные от клиента.

Существует несколько потенциальных атак на эту уязвимость:

• Злоумышленник может отправить фиктивное сообщение статуса, чтобы получить членство в коллекции, основанной на запросах о статусных сообщениях.
• Любой клиент может запустить отказ в обслуживании точки управления, наводнив ее сообщениями о состоянии.
• Если сообщения о состоянии вызывают действия в правилах фильтрации сообщений о состоянии, злоумышленник может активировать правило фильтрации сообщений о состоянии.
• Злоумышленник может отправить сообщение о состоянии, что сделает сведения отчета неточными.

Политики могут быть перенацелены на нецелевых клиентов

Существует несколько способов, которые злоумышленники могут использовать, чтобы применить политику, предназначенную для одного клиента, к совершенно другому клиенту. Например, злоумышленник в доверенном клиенте может отправить ложную информацию инвентаризации или обнаружения, чтобы добавить компьютер в коллекцию, к которой он не должен принадлежать. Затем этот клиент получает все развертывания для этой коллекции.

Существуют элементы управления, которые помогают предотвратить прямое изменение политики злоумышленниками. Однако злоумышленники могут использовать существующую политику, которая переформатирует и повторно развертывает ОС, и отправить ее на другой компьютер. Эта политика перенаправления может привести к отказу в обслуживании. Для проведения этих типов атак требуется точное время и обширные знания инфраструктуры Configuration Manager.

Журналы клиента разрешают доступ пользователей

Все файлы журналов клиента позволяют группе Users с доступом на чтение , а также специальному пользователю Interactive с доступом на запись данных. Если включить подробное ведение журнала, злоумышленники могут просматривать файлы журнала в поисках сведений о соответствии требованиям или уязвимостях системы. Процессы, такие как программное обеспечение, которое клиент устанавливает в контексте пользователя, должны записывать в журналы с учетной записью пользователя с низкими правами. Такое поведение означает, что злоумышленник также может выполнить запись в журналы с учетной записью с низкими правами.

Самый серьезный риск заключается в том, что злоумышленник может удалить информацию из файлов журнала. Эти сведения могут понадобиться администратору для аудита и обнаружения вторжений.

Для получения сертификата, предназначенного для регистрации мобильных устройств, можно использовать компьютер

Когда Configuration Manager обрабатывает запрос на регистрацию, он не может проверить, что он отправлен с мобильного устройства, а не с компьютера. Если запрос поступил с компьютера, он может установить сертификат PKI, который затем позволит ему зарегистрироваться в Configuration Manager.

Чтобы предотвратить атаку с повышением привилегий в этом сценарии, разрешите регистрировать только доверенным пользователям регистрацию своих мобильных устройств. Внимательно отслеживайте действия по регистрации устройств на сайте.

Заблокированный клиент по-прежнему может отправлять сообщения в точку управления

При блокировке клиента, которому вы больше не доверяете, но он установил сетевое подключение для уведомления клиента, Configuration Manager не отключает сеанс. Заблокированный клиент может продолжать отправлять пакеты в свою точку управления, пока клиент не отключится от сети. Эти пакеты представляют собой только небольшие пакеты для проверки активности. Configuration Manager не сможет управлять этим клиентом, пока он не будет разблокирован.

При автоматическом обновлении клиента точка управления не проверяется

При использовании автоматического обновления клиента клиент можно направить к точке управления для загрузки исходных файлов клиента. В этом случае клиент не проверяет точку управления в качестве надежного источника.

Когда пользователи впервые регистрируют компьютеры macOS, они подвергаются риску подделки DNS

Когда компьютер macOS подключается к точке прокси-сервера регистрации во время регистрации, маловероятно, что на компьютере macOS уже есть сертификат доверенного корневого ЦС. В этот момент компьютер macOS не доверяет серверу и предлагает пользователю продолжить. Если поддельный DNS-сервер разрешает полное доменное имя (FQDN) точки регистрации прокси-сервера, он может направить компьютер macOS к мошеннической точке регистрации для установки сертификатов из ненадежного источника. Чтобы снизить этот риск, следуйте рекомендациям DNS и избегайте спуфинга в вашей среде.

Регистрация в macOS не ограничивает количество запросов на сертификат

Пользователи могут повторно регистрировать свои компьютеры macOS, каждый раз запрашивая новый сертификат клиента. Configuration Manager не проверка для нескольких запросов и не ограничивает количество сертификатов, запрашиваемых с одного компьютера. Злоумышленник может запустить сценарий, повторяющий запрос регистрации через командную строку. Эта атака может привести к отказу в обслуживании в сети или в центре сертификации (ЦС). Чтобы снизить этот риск, внимательно отслеживайте выдающий центр сертификации на предмет подозрительного поведения такого типа. Немедленно заблокировать из иерархии Configuration Manager любой компьютер, на котором демонстрируется этот шаблон поведения.

Подтверждение очистки не подтверждает, что устройство было успешно очищено

Когда вы запускаете действие очистки для мобильного устройства, и Configuration Manager подтверждает очистку, подтверждением является то, что Configuration Manager успешно отправил сообщение. Он не проверяет, выполнило ли устройство действия в соответствии с запросом.

Для мобильных устройств, управляемых соединителем Exchange Server, подтверждение очистки подтверждает, что команда была получена Exchange, а не устройством.

Если вы используете параметры для фиксации изменений на устройствах с Windows Embedded, учетные записи могут быть заблокированы раньше, чем ожидалось

Если на устройстве с Windows Embedded установлена более ранняя версия ОС, чем Windows 7, и пользователь пытается войти в систему, в то время как фильтры записи отключены Configuration Manager, Windows разрешает только половину от настроенного числа неправильных попыток до блокировки учетной записи.

Например, вы можете настроить политику домена для порога блокировки учетной записи на шесть попыток. Пользователь трижды ошибется при вводе пароля, и учетная запись будет заблокирована. Такое поведение фактически создает отказ в обслуживании. Если пользователям в этом сценарии нужно войти на встроенные устройства, предупредите их о возможности снижения порога блокировки.

Сведения о конфиденциальности для клиентов

При развертывании клиента Configuration Manager вы включаете параметры клиента для функций Configuration Manager. Параметры, используемые для настройки функций, могут применяться ко всем клиентам в иерархии Configuration Manager. Это поведение одинаково независимо от того, подключены ли они напрямую к внутренней сети, подключены через удаленный сеанс или подключены к Интернету.

Сведения о клиенте хранятся в базе данных сайта Configuration Manager на сервере SQL Server и не отправляются в корпорацию Майкрософт. Данные хранятся в базе данных до тех пор, пока не будут удалены задачей обслуживания сайта. Удаление устаревших данных обнаружения каждые 90 дней. Вы можете настроить интервал удаления.

Некоторые сводные или сводные данные о диагностике и использовании отправляются в корпорацию Майкрософт. Дополнительные сведения см. в разделе Диагностика и данные об использовании.

Дополнительные сведения о процессе сбора данных корпорацией Майкрософт и их использовании см. в Заявлении о конфиденциальности корпорации Майкрософт.

Состояние клиента

Configuration Manager отслеживает действия клиентов. Он периодически оценивает клиент Configuration Manager и может устранять проблемы с клиентом и его зависимостями. Состояние клиента включено по умолчанию. Он использует серверные метрики для проверки активности клиентов. Состояние клиента использует действия на стороне клиента для самопроверки, исправления и отправки сведений о состоянии клиента на сайт. Клиент выполняет самопроверки в соответствии с расписанием, которое вы настроили. Клиент отправляет результаты проверок на сайт Configuration Manager. Во время передачи эта информация шифруется.

Сведения о состоянии клиента хранятся в базе данных Configuration Manager на сервере SQL Server и не отправляются в корпорацию Майкрософт. Информация не хранится в зашифрованном виде в базе данных сайта. Эта информация хранится в базе данных до тех пор, пока не будет удалена в соответствии со значением, настроенным для параметра Сохранять журнал состояния клиента в течение следующего количества дней . Значение по умолчанию для этого параметра — каждые 31 день.

Сведения о конфиденциальности для соединителя Exchange Server

Соединитель Exchange Server находит устройства, которые подключаются к локальному или размещенному серверу Exchange Server, и управляет им с помощью протокола ActiveSync. Записи, найденные соединителем Exchange Server, хранятся в базе данных Configuration Manager на SQL Server. Сведения собираются на сервере Exchange Server. Он не содержит никаких дополнительных сведений о том, что мобильные устройства отправляют на сервер Exchange Server.

Сведения о мобильных устройствах не отправляются в корпорацию Майкрософт. Сведения о мобильных устройствах хранятся в базе данных Configuration Manager на сервере SQL Server. Данные хранятся в базе данных до тех пор, пока не будут удалены задачей обслуживания сайта. Удаление устаревших данных обнаружения каждые 90 дней. Вы настраиваете интервал удаления.

Дополнительные сведения о процессе сбора данных корпорацией Майкрософт и их использовании см. в Заявлении о конфиденциальности корпорации Майкрософт.