Säkerhetsscenarier för Orchestrator

 

Publicerat: mars 2016

Gäller för: System Center 2012 SP1 - Orchestrator, System Center 2012 - Orchestrator, System Center 2012 R2 Orchestrator

Här beskrivs bästa praxis för säker användning av Orchestrator. Beskrivningarna har formen av scenarier. Följande scenarier är tillgängliga:

• Scenario: Säker övergång från utvecklingsmiljö till test- och sedan produktionsmiljö

• Scenario: Effektiv hantering av medlemskap i användargrupper i Orchestrator

Scenario: Säker övergång från utvecklingsmiljö till test- och sedan produktionsmiljö

Lösenordsdata för Orchestrator som finns i Runbooks kan delas mellan olika instanser av Orchestrator på ett säkert sätt. Till exempel kan man exportera Runbooks som byggts i en utvecklingsmiljö och importera dem till en testmiljö, eller exportera testade Runbooks till en produktionsmiljö. Vid sådana exporter/importer måste krypterade data skyddas i varje fas av exporten så att exporterade data kan importeras till en annan sorts Orchestrator-miljö.

Detta sker med hjälp av export-/importfunktionen i Runbook Designer. Välj Åtgärder i menyfältet i Runbook Designer eller högerklicka på en Runbook-mapp för att komma till funktionerna för export och import. Du kan även exportera genom att högerklicka på en Runbook-flik (export av enstaka Runbook).

Oavsett hur exporten sker lagras krypterade data i en exporterad Runbook skyddat i XML-exportfilen som skapas. Ett lösenord tillhandahålls vid exporten. Vid export av Runbooks med tillhörande konfigurationer från Orchestrator, dekrypteras eventuella krypterade data i Runbooks och krypteras på nytt efter exporten med hjälp av lösenordet.

Obs!

För exporten används en annan krypteringsnyckel än den som används för att lagra uppgifterna i Orchestrator-databasen. Man kan säga att exportfunktionen dekrypterar krypterade data och omkrypterar dessa i exportfilen, som innehåller det krypterade lösenordet. Exportfunktionen skyddar inte själva Runbook-filen eller icke krypterade data som finns i den. Endast krypterade data i Runbooks skyddas vid export.

När en exportfil sedan importeras måste lösenordet uppges. Om lösenordet stämmer importeras krypterade data från exporten, omkrypteras med hjälp av krypteringsnyckeln och lagras i Orchestrator-databasen.

Obs!

Organisationens eventuella regler för starka lösenord kan inte tillämpas på lösenordsfunktionen för export/import. Det går att ange ett tomt värde för lösenordet, men det rekommenderas inte för exporter med känsliga data som har krypterats. Även om du inte vet lösenordet för exporten kan du ändå importera Runbooks med tillhörande konfigurationer. Avmarkera bara alternativet Importera Orchestrator-krypterade data på importskärmen. Då sker importen så att eventuella data med Orchestrator-kryptering bildar tomma värden i Orchestrator-databasen.

Scenario: Effektiv hantering av medlemskap i användargrupper i Orchestrator

Det finns två centrala användarroller i Orchestrator: Runbook-redigerare och operatörer. De två användarrollerna har olika behörigheter i Orchestrator. Runbook-redigerare, som ger behörighet åt operatörer, har omfattande administrativ åtkomst till Orchestrator inklusive databas och konfiguration. Runbook-operatörer har åtkomst till Orchestration-konsolen och webbtjänsten enligt den behörighet de tilldelats av Runbook-redigerare.

Användarroll	Identifieras av	Behörighet
Runbook-redigerare	Medlemskap i användargrupper i Orchestrator (se nedan)	- Orchestrator-administratör - Läsa, skriva, ändra Orchestrator-konfiguration - Fullständig kontroll över Orchestrator-databasen - Fullständig behörighet till kryptering/dekryptering - Åtkomst till Runbook-aktiviteter som kan interagera med externa system via integreringspaket
Runbook-operatör	Behörighet till Runbook-mappar enligt vad som tilldelats av Runbook-redigerare i Runbook Designer	- Icke-administrativ behörighet till Orchestrator - Åtkomst till Orchestration-konsolen och webbtjänsten - Visa och anropa Runbooks enligt behörighet som tilldelats av Runbook-redigerare - Ingen åtkomst till Orchestrator-databasen - Ingen behörighet för kryptering/dekryptering

Obs!
Om ett användarkonto placeras i användargruppen för Orchestrator identifieras användaren som Orchestrator-administratör. Alla Orchestrator-användare fungerar som jämlika administratörer med fullständig åtkomst till Orchestrator och samtliga data i databasen. De har även behörighet att kryptera och dekryptera data i Orchestrator-databasen.

Säkerheten i Orchestrator hanteras genom medlemskap i två säkerhetsgrupper som skapas vid installationen: användargruppen och systemgruppen. Konton som ingår i någon av dessa grupper identifieras som Orchestrator-administratörer (”betrodda personer”). Administratörsbehörighet innebär möjlighet att uppdatera Runbooks och tillhörande konfigurationsdata, uppdatera konfigurationen för Runbook-servrar, interagera med externa system via integreringspaket, installera och distribuera integreringspaket, interagera programmässigt med Orchestrator-databasen, uppdatera databaskonfigurationen samt kryptera/dekryptera sparade data i Orchestrator-databasen.

Obs!
Medlemmar i någon av grupperna har fullständig administratörsbehörighet till Orchestrator, inklusive åtkomst till alla data i Orchestrator-databasen och fullständig behörighet för kryptering/dekryptering.

Säkerhetsgrupp	Tillhörande person	Säkerhetsgruppens syfte
Användargrupp i Orchestrator	Runbook-redigerare och alla som distribuerar integreringspaket	Denna säkerhetsgrupp innefattar användarkonton som kan starta Runbook Designer, Deployment Manager och konfigurationsverktyget för dataarkiv. Medlemmar i gruppen har prioriterad åtkomst till Orchestrator-databasen, vilket bland annat innebär möjlighet att läsa och uppdatera databaskonfigurationen samt visa och dekryptera krypterade data.
Systemgruppen i Orchestrator	Ingen (används för tjänstkonton)	Denna säkerhetsgrupp definierar tjänstkonton som behöver ha prioriterad åtkomst till Orchestrator-databasen, vilket bland annat innebär möjlighet att läsa och uppdatera databaskonfigurationen samt visa och dekryptera krypterade data.

Följande användarroller identifieras som betrodda/icke betrodda personer i Orchestrator.

Säkerhetsdomän	Kontext	Kryptografibehörighet	Identifieras av	Betrodd person
Körtid	Orchestrator-tjänster Alternativa autentiseringsuppgifter – ”Anropa Runbook”	Fullständig kryptering & dekryptering	Systemgruppen för Orchestrator i Active Directory – autentiseringsuppgifter för Runbook-aktiviteten Anropa Runbook	Ja
Design	Runbook Designer Deployment Manager Konfigurationsverktyget för dataarkiv	Fullständig kryptering & dekryptering	Användargruppen för Orchestrator i Active Directory	Ja
Operatör	Orchestration-konsol Webbtjänst	Ingen uttrycklig åtkomst till krypterade eller dekrypterade data.	Användarbehörigheten anges i Runbook Designer av rollen Runbook-redigerare	Nej
Databasadministratör	MS SQL Server 20008 R2	Fullständig kryptering & dekryptering	Behörighet till SQL Server som DBA med behörighet till Orchestrator-databasen	Ja
Windows-administratör	Windows Server 2008 R2	Ingen uttrycklig behörighet, men Windows-administratörer behandlas som betrodda personer.	Behörighet till Windows	Ja