Безопасность базы данных Orchestration
Опубликовано: Март 2016
Применимо к: System Center 2012 SP1 - Orchestrator, System Center 2012 - Orchestrator, System Center 2012 R2 Orchestrator
Следующие разделы содержат информацию о защите базы данных Orchestration в Orchestrator:
Роли базы данных
Обеспечение безопасности подключений к серверу SQL
Ключи шифрования
Роли базы данных
Безопасность базы данных Orchestration реализуется с помощью ролей базы данных в поддерживаемой версии Microsoft SQL Server. В приведенной ниже таблице перечислены роли, которые создаются в базе данных Orchestration, и предоставляемые каждой из них разрешения. Эти роли настраиваются и наполняются требуемыми членами во время установки, поэтому работать с ними напрямую обычно нет необходимости. Приведенная здесь информация поможет администратору лучше понять аспекты безопасности конфигурации и подготовиться к возможным нестандартным сценариям.
| Учетная запись | Роль базы данных |
|---|---|
| Учетная запись службы Management Service | Microsoft.SystemCenter.Orchestrator.Admins |
| Член группы Orchestrator "Администраторы" | Microsoft.SystemCenter.Orchestrator.Admins |
| Учетная запись службы Orchestrator Runbook Service | Microsoft.SystemCenter. Orchestrator.Runtime |
| Учетная запись службы Orchestrator Runbook Server Monitor | Microsoft.SystemCenter. Orchestrator.Runtime |
| Учетная запись веб-службы Orchestrator | Microsoft.SystemCenter. Orchestrator.Operators |
| Роль | Разрешение | Объект |
|---|---|---|
| Microsoft.SystemCenter. Orchestrator.Operators | SELECT | [Microsoft.SystemCenter.Orchestrator.Runtime].[Jobs], [Microsoft.SystemCenter.Orchestrator.Runtime].[RunbookInstances], [Microsoft.SystemCenter.Orchestrator.Runtime].[RunbookInstanceParameters], [Microsoft.SystemCenter.Orchestrator.Runtime].[RunbookServers], [Microsoft.SystemCenter.Orchestrator.Runtime].[ActivityInstances], [Microsoft.SystemCenter.Orchestrator.Runtime].[ActivityInstanceData], [Microsoft.SystemCenter.Orchestrator.Runtime].[Events], [Microsoft.SystemCenter.Orchestrator.Statistics].[Statistics] |
| Microsoft.SystemCenter. Orchestrator.Operators | EXECUTE | [Microsoft.SystemCenter.Orchestrator].[GetSecurityToken], [Microsoft.SystemCenter.Orchestrator].[AccessCheck], [Microsoft.SystemCenter.Orchestrator].[ComputeAuthorizationCache], [Microsoft.SystemCenter.Orchestrator.Statistics.Internal].[GetStatisticsSummary], [Microsoft.SystemCenter.Orchestrator.Runtime].[CreateJob], [Microsoft.SystemCenter.Orchestrator.Runtime].[CancelJob] |
| Microsoft.SystemCenter. Orchestrator.Runtime | SELECT | Все таблицы, dbo.[POLICIES_VIEW], dbo.[POLICY_REQUEST_HISTORY] |
| Microsoft.SystemCenter. Orchestrator.Runtime | INSERT | dbo.[OBJECT_AUDIT] |
| Microsoft.SystemCenter. Orchestrator.Runtime | INSERT, UPDATE | dbo.[OBJECTS], dbo.[ACTIONSERVERS], dbo.[POLICYINSTANCES], dbo.[OBJECTINSTANCES], dbo.[OBJECTINSTANCEDATA] |
| Microsoft.SystemCenter. Orchestrator.Runtime | INSERT, DELETE | dbo.[COUNTERINSTANCES], dbo.[POLICYRETURNDATA] |
| Microsoft.SystemCenter. Orchestrator.Runtime | UPDATE | dbo.[POLICY_PUBLISH_QUEUE] |
| Microsoft.SystemCenter. Orchestrator.Runtime | CONTROL | [ORCHESTRATOR_ASYM_KEY], [ORCHESTRATOR_SYM_KEY] |
| Microsoft.SystemCenter. Orchestrator.Runtime | EXECUTE | dbo.sp_insertevent, dbo.sp_PublishPolicy, dbo.sp_UnpublishPolicy, dbo.sp_UnpublishPolicyRequest, dbo.fn_GetPolicyInstanceStatus, dbo.fn_NumFailedInstancesPerServer, dbo.fn_NumInstancesPerServer, dbo.fn_NumRunningInstancesPerServer, [Microsoft.SystemCenter.Orchestrator.Cryptography].[Encrypt], [Microsoft.SystemCenter.Orchestrator.Cryptography].[Decrypt], [Microsoft.SystemCenter.Orchestrator.Internal].[RethrowError] |
| Microsoft.SystemCenter. Orchestrator.Admins | SELECT, INSERT, UPDATE, DELETE, ALTER, CREATE TABLE | SCHEMA::dbo |
| Microsoft.SystemCenter. Orchestrator.Admins | REFERENCES | dbo.[OBJECTS] |
| Microsoft.SystemCenter. Orchestrator.Admins | SELECT | dbo.[POLICIES_VIEW], GRANT SELECT ON dbo.[POLICY_REQUEST_HISTORY] |
| Microsoft.SystemCenter. Orchestrator.Admins | CONTROL | [ORCHESTRATOR_ASYM_KEY], [ORCHESTRATOR_SYM_KEY] |
| Microsoft.SystemCenter. Orchestrator.Admins | EXECUTE | [Microsoft.SystemCenter.Orchestrator.Cryptography].[CreateOrchestratorKeys], [Microsoft.SystemCenter.Orchestrator.Cryptography].[DropOrchestratorKeys], [Microsoft.SystemCenter.Orchestrator.Cryptography].[Encrypt], [Microsoft.SystemCenter.Orchestrator.Cryptography].[Decrypt], [Microsoft.SystemCenter.Orchestrator.Internal].[RethrowError], dbo.sp_CustomLogCleanup, dbo.sp_GetLogEntriesForDelete_FilterByDays, dbo.sp_GetLogEntriesForDelete_FilterByEntries, dbo.sp_GetLogEntriesForDelete_FilterByEntriesAndDays, dbo.sp_insertevent, dbo.sp_PublishPolicy, dbo.sp_UnpublishPolicy, dbo.sp_UnpublishPolicyRequest, dbo.fn_GetPolicyInstanceStatus, dbo.fn_NumFailedInstancesPerServer, dbo.fn_NumInstancesPerServer, dbo.fn_NumRunningInstancesPerServer, [Microsoft.SystemCenter.Orchestrator.Internal].AddUserToRole, [Microsoft.SystemCenter.Orchestrator].[SetPermissions], [Microsoft.SystemCenter.Orchestrator.Internal].[SetProductInfo] |
Для использования служебной программы настройки базы данных (DBSetup.exe) требуются разрешения как пользователя на компьютере, где установлен сервер Management, а для доступа к файлу settings.dat необходимо быть членом группы "Администраторы" или "Пользователи Orchestrator". Для специальных инструментов, которые подключаются с базой данных непосредственно через DBDataStore.dll, требуются такие же разрешения.
.jpeg "System_CAPS_ICON_important.jpg") Важно |
|---|
При установке Orchestrator следует убедиться, что учетная запись, используемая для подключения к серверу SQL, имеет на сервере SQL минимальные привилегии, чтобы не допускать потенциального повышения привилегий. |
Обеспечение безопасности подключений к серверу SQL
Подключения к серверу SQL в применяемом по умолчанию развертывании Orchestrator не являются безопасными. Исключением являются сценарии, когда Orchestrator сохраняет или получает конфиденциальные данные. В этом случае Orchestrator создает безопасное подключение к серверу SQL с помощью самозаверяющим сертификатом. Этот сертификат не обеспечивает достаточную безопасность и восприимчив к атакам "злоумышленник в середине".
Сведения о зашифрованных подключениях к SQL Server см. в статье Шифрование соединений с SQL Server (Настройка SSL). Сведения о том, как включить подключения к ядру базы данных, см. в статье Практическое руководство. Включение шифрования соединений в ядре СУБД (диспетчер конфигурации SQL Server).
Ключи шифрования
В рамках процесса планирования безопасности необходимо запланировать периодичность изменения ключей шифрования. Национальный институт стандартов и технологий (NSIT) рекомендует менять ключи не менее чем каждые два года. Дополнительные сведения о стандартах безопасности NSIT см. на странице NSIT Computer Security Division Computer Security Resource Center (Центр ресурсов компьютерной безопасности департамента компьютерной безопасности NSIT).
Изменение ключей шифрования
Из Runbook Designer экспортируйте все модули Runbook, глобальные параметры, переменные, расписания и другие элементы.
Необходимо предоставить пароль для экспорта.
Во время экспорта все зашифрованные данные расшифровываются и снова зашифровываются с новым ключом, созданным на основе пароля.
При необходимости измените главный ключ базы данных SQL Server.
Orchestrator шифрует данные, используя главный ключ базы данных SQL Server и главный ключ базы данных Orchestration.
Сведения о том, как изменить главный ключ базы данных SQL Server, см. в статье Ключи шифрования базы данных и SQL Server (компонент Database Engine).
Переустановите сервер Management и создайте новую базу данных.
Сведения об установке сервера Management см. в разделе Установка сервера Management.
Не подключайтесь к существующей базе данных. Новый ключ шифрования создается, когда создается новая база данных.
В Runbook Designer повторно импортируйте модули Runbook и все остальные экспортированные данные.
Введите пароль, использованный для экспорта. Данные в файле экспорта расшифровываются с помощью пароля и зашифровываются при импорте в базу данных с помощью нового главного ключа базы данных Orchestrator.