Säkerhet för Orchestration-databasen
Publicerat: mars 2016
Gäller för: System Center 2012 SP1 - Orchestrator, System Center 2012 - Orchestrator, System Center 2012 R2 Orchestrator
I följande avsnitt finns information om säkerhet för Orchestration-databasen i Orchestrator:
Databasroller
Skydda anslutningar till SQL-servern
Krypteringsnycklar
Databasroller
Orchestration-databasen skyddas genom databasroller i kompatibla versioner av Microsoft SQL Server. Tabellen nedan visas vilka roller som skapas i Orchestration-databasen och vilka behörigheter de tilldelas. Rollerna konfigureras och fylls med tillämpliga medlemmar under installationen, så normalt behöver man inte hantera dem direkt. Denna information syftar till att klargöra säkerhetsåtgärderna för konfigurationen och hjälpa administratören vid utformning av eventuella egna scenarier.
| Konto | Databasroll |
|---|---|
| Management Service-konto | Microsoft.SystemCenter.Orchestrator.Admins |
| Medlem i gruppen Orchestrator-administratörer | Microsoft.SystemCenter.Orchestrator.Admins |
| Kontot Orchestrator Runbook Service | Microsoft.SystemCenter. Orchestrator.Runtime |
| Tjänstkontot Orchestrator Runbook Server Monitor | Microsoft.SystemCenter. Orchestrator.Runtime |
| Användarkonto för Orchestrator-webbtjänsten | Microsoft.SystemCenter. Orchestrator.Operators |
| Roll | Behörigheter | Objekt |
|---|---|---|
| Microsoft.SystemCenter. Orchestrator.Operators | SELECT | [Microsoft.SystemCenter.Orchestrator.Runtime].[Jobs], [Microsoft.SystemCenter.Orchestrator.Runtime].[RunbookInstances], [Microsoft.SystemCenter.Orchestrator.Runtime].[RunbookInstanceParameters], [Microsoft.SystemCenter.Orchestrator.Runtime].[RunbookServers], [Microsoft.SystemCenter.Orchestrator.Runtime].[ActivityInstances], [Microsoft.SystemCenter.Orchestrator.Runtime].[ActivityInstanceData], [Microsoft.SystemCenter.Orchestrator.Runtime].[Events], [Microsoft.SystemCenter.Orchestrator.Statistics].[Statistics] |
| Microsoft.SystemCenter. Orchestrator.Operators | EXECUTE | [Microsoft.SystemCenter.Orchestrator].[GetSecurityToken], [Microsoft.SystemCenter.Orchestrator].[AccessCheck], [Microsoft.SystemCenter.Orchestrator].[ComputeAuthorizationCache], [Microsoft.SystemCenter.Orchestrator.Statistics.Internal].[GetStatisticsSummary], [Microsoft.SystemCenter.Orchestrator.Runtime].[CreateJob], [Microsoft.SystemCenter.Orchestrator.Runtime].[CancelJob] |
| Microsoft.SystemCenter. Orchestrator.Runtime | SELECT | Alla tabeller, dbo.[POLICIES_VIEW], dbo.[POLICY_REQUEST_HISTORY] |
| Microsoft.SystemCenter. Orchestrator.Runtime | INSERT | dbo.[OBJECT_AUDIT] |
| Microsoft.SystemCenter. Orchestrator.Runtime | INSERT, UPDATE | dbo.[OBJECTS], dbo.[ACTIONSERVERS], dbo.[POLICYINSTANCES], dbo.[OBJECTINSTANCES], dbo.[OBJECTINSTANCEDATA] |
| Microsoft.SystemCenter. Orchestrator.Runtime | INSERT, DELETE | dbo.[COUNTERINSTANCES], dbo.[POLICYRETURNDATA] |
| Microsoft.SystemCenter. Orchestrator.Runtime | UPDATE | dbo.[POLICY_PUBLISH_QUEUE] |
| Microsoft.SystemCenter. Orchestrator.Runtime | CONTROL | [ORCHESTRATOR_ASYM_KEY], [ORCHESTRATOR_SYM_KEY] |
| Microsoft.SystemCenter. Orchestrator.Runtime | EXECUTE | dbo.sp_insertevent, dbo.sp_PublishPolicy, dbo.sp_UnpublishPolicy, dbo.sp_UnpublishPolicyRequest, dbo.fn_GetPolicyInstanceStatus, dbo.fn_NumFailedInstancesPerServer, dbo.fn_NumInstancesPerServer, dbo.fn_NumRunningInstancesPerServer, [Microsoft.SystemCenter.Orchestrator.Cryptography].[Encrypt], [Microsoft.SystemCenter.Orchestrator.Cryptography].[Decrypt], [Microsoft.SystemCenter.Orchestrator.Internal].[RethrowError] |
| Microsoft.SystemCenter. Orchestrator.Admins | SELECT, INSERT, UPDATE, DELETE, ALTER, CREATE TABLE | SCHEMA::dbo |
| Microsoft.SystemCenter. Orchestrator.Admins | REFERENCES | dbo.[OBJECTS] |
| Microsoft.SystemCenter. Orchestrator.Admins | SELECT | dbo.[POLICIES_VIEW], GRANT SELECT ON dbo.[POLICY_REQUEST_HISTORY] |
| Microsoft.SystemCenter. Orchestrator.Admins | CONTROL | [ORCHESTRATOR_ASYM_KEY], [ORCHESTRATOR_SYM_KEY] |
| Microsoft.SystemCenter. Orchestrator.Admins | EXECUTE | [Microsoft.SystemCenter.Orchestrator.Cryptography].[CreateOrchestratorKeys], [Microsoft.SystemCenter.Orchestrator.Cryptography].[DropOrchestratorKeys], [Microsoft.SystemCenter.Orchestrator.Cryptography].[Encrypt], [Microsoft.SystemCenter.Orchestrator.Cryptography].[Decrypt], [Microsoft.SystemCenter.Orchestrator.Internal].[RethrowError], dbo.sp_CustomLogCleanup, dbo.sp_GetLogEntriesForDelete_FilterByDays, dbo.sp_GetLogEntriesForDelete_FilterByEntries, dbo.sp_GetLogEntriesForDelete_FilterByEntriesAndDays, dbo.sp_insertevent, dbo.sp_PublishPolicy, dbo.sp_UnpublishPolicy, dbo.sp_UnpublishPolicyRequest, dbo.fn_GetPolicyInstanceStatus, dbo.fn_NumFailedInstancesPerServer, dbo.fn_NumInstancesPerServer, dbo.fn_NumRunningInstancesPerServer, [Microsoft.SystemCenter.Orchestrator.Internal].AddUserToRole, [Microsoft.SystemCenter.Orchestrator].[SetPermissions], [Microsoft.SystemCenter.Orchestrator.Internal].[SetProductInfo] |
Verktyget för databaskonfiguration (DBSetup.exe) behöver behörighet som användare på datorn där Management-servern är installerad och ingår i antingen administratörs- eller användargruppen för Orchestrator, detta för att få åtkomst till filen settings.dat. Egna verktyg som ansluter direkt till databasen via DBDataStore.dll behöver samma behörighet.
.jpeg "System_CAPS_ICON_important.jpg"){kind=icon} Viktigt |
|---|
När du installerar Orchestrator är det viktigt att se till att kontot som används för anslutning till SQL-servern har minimal behörighet till SQL-servern så att en potentiell behörighetshöjning undviks. |
Skydda anslutningar till SQL-servern
I en standarddistribution av Orchestrator skyddas inte anslutningarna till SQL-servern. Det enda undantaget är när Orchestrator lagrar eller hämtar känsliga data. Då skapar Orchestrator en skyddad anslutning till SQL-servern med ett självsignerande certifikat. Detta certifikat ger inget starkt skydd och är sårbart för mannen i mitten-attacker.
Information om hur du krypterar anslutningar till SQL Server finns i Encrypting Connections to SQL Server (configuring SSL). Information om hur du aktiverar anslutningar till databasmotorn finns i How to: Enable Encrypted Connections to the Database Engine (SQL Server Configuration Manager).
Krypteringsnycklar
Säkerhetsplanen bör omfatta en plan för att rotera krypteringsnycklarna med jämna mellanrum. NSIT (National Institute of Standards and Technology) rekommenderar att nycklarna roteras minst vartannat år. Mer information om NSIT:s säkerhetsnormer finns här: NSIT Computer Security Division Computer Security Resource Center.
Rotera krypteringsnycklar
Exportera alla Runbooks, globala inställningar, variabler, scheman med mera från Runbook Designer.
Ange ett lösenord för exporten.
Under exporten dekrypteras alla krypterade data och omkrypteras med den nya nyckeln som skapats av lösenordet.
Du kan byta ut huvudnyckeln för SQL Server-databasen om du vill.
Orchestrator krypterar data med både huvudnyckeln för SQL Server-databasen och huvudnyckeln för Orchestration-databasen.
Information om hur du byter ut huvudnyckeln för SQL Server-databasen finns här: SQL Server and Database Encryption Keys (Database Engine).
Ominstallera Management-servern och skapa en ny databas.
Information om hur du installerar Management-servern finns här: Så här installerar du Management Server.
Anslut inte till den befintliga databasen. En ny kryptografisk nyckel genereras när en ny databas skapas.
Importera Runbooks och andra exporterade data på nytt från Runbook Designer.
Ange lösenordet som användes för exporten. Exportfilens data dekrypteras med lösenordet och krypteras sedan med den nya huvudnyckeln för Orchestrator-databasen vid import till databasen.