Orchestrator Veri Şifrelemesi
Yayımlanan: Mart 2016
Uygulama Hedefi: System Center 2012 SP1 - Orchestrator, System Center 2012 - Orchestrator, System Center 2012 R2 Orchestrator
Aşağıdaki bölümler Orchestrator uygulamasında veri şifreleme konusunda bilgiler sağlar:
Orchestrator'da hangi verileri şifrelenir ve şifreleri çözülür?
Şifrelenmiş veriler Orchestrator'da nasıl yönetilir?
Şifrelenmiş veriler Orchestrator örnekleri arasında nasıl taşınabilir?
Şifrelenmiş değişkenlerle ilgili en iyi yöntemler
System Center 2012 uygulamasının Orchestrator sürümünde tanıtılan şifrelenmiş değişkenler, runbook etkinliklerine hassas veriler sağlamak için değişkenleri daha güvenli şekilde kullanmanıza olanak sağlar. Şifrelenmiş değişkenler standart genel değişkenlerle tamamen aynı şekilde, yani bir abonelik aracılığıyla kullanılır. Yeniden yayımlanan etkinlik alanlarında bu değişkenlere abone olursanız, değişken içerikleri veri yolunda gösterilebilir. Bu nedenle, şifrelenmiş değişkenler yalnızca yeniden yayımlanmamış alanlara abone olmalıdır. Bu en iyi yöntem Orchestrator tarafından zorunlu kılınmaz, ancak planlama işleminizin bir parçası olmalıdır.
Ancak, şifrelenmiş verilerin başka bir sisteme (örneğin, farklı bir sunucuda çalışan bir ürüne) gönderilmek üzere yayımlanması gerekiyorsa, bu ürüne olan kanalın güvenli olmasını sağlamalısınız. Örneğin, BMC Remedy bağlantı için güvenli bir modu destekler ve web arabirimi olan ürünler genellikle Güvenli Yuva Katmanı bağlantısı (HTTPS protokolü kullanılarak) kullanılmasına izin verir.
Orchestrator'da hangi verileri şifrelenir ve şifreleri çözülür?
Orchestrator uygulaması Orchestrator platformunda şifrelenmiş veriler üretmek için kullanılan bir şifreleme ve şifre çözme hizmetleri kod kümesi sağlar. Bu hizmetler Orchestrator veritabanında şifrelenmek üzere işaretlenmiş hizmetlerin yanı sıra verilerin bir runbook'un parçası olarak kullanılabilmesi için düz metin olarak çözülmesi için kullanılır. Bu çekirdek şifreleme hizmetleri Orchestrator veritabanı ve yönetim sunucusu tarafından yönetilir. Bu hizmetlere yönelik haklar Orchestrator Kullanıcıları grubu veya Orchestrator Sistem grubu üyeliği üzerinden verilir.
Not
Orchestrator runbook'ları harici bir şifreleme hizmeti tarafından şifrelenmiş ve runbook Yayımlanmış verisi olarak kullanılan veriler içerebilir. Orchestrator bu tür bir harici sistemden gelen verileri diğer veri parçalarından farklı şekilde işleyemez.
Orchestrator şifrelemeyi aşağıdaki ürün özelliği alanlarında kullanır:
| Özellik alanı | Açıklama |
|---|---|
| Runbook etkinlikleri | Alana biri giriş yaptığında maskelenen özellik şifrelenmiş bir özelliktir. Bunlar Güvenlik Kimlik Bilgileri sekmesindeki parolaları içerir, ancak başka özellikleri de içerebilir. |
| Seçenekler menüsü | Seçenekler menüsü tümleştirme paketlerini yapılandırmak için kullanılan kimlik bilgilerini ve diğer bilgileri depolamak için kullanılır. Bağlantı ayarlarını özellikleri şifrelenmiş özellikler içerebilir. |
| Değişkenler | Şifrelenmiş Değişken onay kutusu seçili olan değişkenler şifrelenir. |
Not
Şifrelenmiş değişkenler genellikle bir runbook etkinliğinde kullanılan parola gibi şifrelenmiş değer gerektiren özelliklerdeki abonelikler aracılığıyla kullanılır. Şifrelenmiş bir değişkene şifrelenmemiş bir alandan abone olunursa şifrelenmiş değer sağlanacaktır. Düz metin değeri yalnızca bir şifrelenmiş özellikte kullanıldığında kullanılabilir olur.
Şifrelenmiş veriler Orchestrator'da nasıl yönetilir?
Orchestrator tasarımı SQL Server hücre düzeyi şifreleme kullanan AES'ye dayalı bir çekirdek şifreleme hizmeti içerir. Bu sayede tüm şifreleme ve şifre çözme işlemleri merkezi olarak SQL Server tarafından gerçekleştirilir. Şifreleme anahtarları merkezi olarak SQL Server tarafından yönetilir. Verileri şifrelemek ve şifresini çözmek için hem SQL Server Hizmet Ana Anahtarı hem de Orchestrator Veritabanı Ana Anahtarı gereklidir.
Orchestrator şifrelemeyi hem Çalışma Zamanı hem Tasarım Zamanı deneyimlerinde kullanır. Runbook yazarları Runbook Designer'da runbook etkinlikleriyle iletişim kurar ve bu etkinlikler özellik kılavuzlarını, liste değerlerini ve diğer özellikleri "bulmak" için sıklıkla harici sistemlerle etkileşim kurar. Benzer şekilde, Runbook Tester bir runbook'u sınarken korunan alanlarda sağlanan şifrelenmiş verilerin hedef sisteme geçirilebilmesi için şifrelerinin çözülmesi gerekir. Son olarak, runbook'ların harici sistemlerle etkileşim kurabilmesi için Runbook Sunucuları şifrelenmiş verilerin şifresini çözebilmelidir. Bu nedenle veritabanı şifreleme hizmetleri Runbook Sunucuları, Runbook Designer ve Runbook Tester tarafından erişilebilir olmalıdır.
Çekirdek şifreleme hizmetleri Orchestrator veritabanında bulunduğu için, veritabanına erişim şifrelenmemiş verilere erişimin temelini oluşturur.
Runbook sunucuları veritabanına doğrudan erişir. Bu yolla SQL Server tarafından sağlanan şifreleme hizmetlerine de doğrudan erişir. SQL Server tarafından sağlanan şifreleme hizmetlerine Çalışma Zamanı erişimi Orchestrator Sistem Grubu üyeleriyle sınırlıdır.
Runbook Designer ve Runbook Tester veritabanına yönetim sunucusu üzerinden dolaylı olarak erişir. Yönetim sunucusu hizmetlerin Runbook Designer ve Runbook Tester'dan şifreleme/şifre çözme istedikleri yeni bir hizmet sunar. Yönetim sunucusu runbook yazarının güvenlik bağlamından geçer ve şifreleme hizmetlerine erişmek için bu kimlik bilgileri kullanılır. SQL Server tarafından sağlanan şifreleme hizmetlerine Tasarım Zamanı erişimi Orchestrator Kullanıcıları grubu üyeleriyle sınırlıdır.
Orchestrator'dan şifrelenmiş verilere erişim Orchestrator Kullanıcıları grubu ve Orchestrator Sistemleri grubu tarafından yönetilir. Bu iki güvenlik grubunun üyeleri, çekirdek yönetim hizmetlerine erişim haklarının yanı sıra veritabanında şifrelenmiş olarak depolanan verilerin şifresini çözmek de dahil, temel olarak Orchestrator'a zengin yönetim erişimine sahiptir.
Şifrelenmiş veriler Orchestrator örnekleri arasında nasıl taşınabilir?
Orchestrator veritabanı yüklendiğinde bir veritabanı ana şifreleme anahtarı oluşturulur. Bu veritabanı ana anahtarı Orchestrator veritabanında depolanan verileri şifrelemek ve şifresini çözmek için SQL Server ana anahtarıyla birlikte kullanılır. Bu da şifrelenmiş verilerin temelde verilerin şifrelendiği SQL Server 2008 R2 örneğine "anahtarla kitlendiği" anlamına gelir. Örneğin, bir kullanıcı bir SQL Server 2008 R2 örneğinden şifrelenmiş bir dizeyi "kopyalayıp" değerini başka bir Orchestrator veritabanı örneğine "yapıştıramaz" ve hem veritabanı ana anahtarı hem de sunucu ana anahtarı verilerin şifrelendiği sisteminkiyle eşleşmediği sürece verilerin şifresini çözemez.
Bu nedenle Orchestrator örnekleri arasında beri taşımak için şu iki senaryodan biri gerekir:
Hem SQL Server hizmet ana anahtarı hem de Orchestrator veritabanı ana anahtarı verilerin ilk şifrelendiği sistemdeki anahtarlarla aynıdır.
Runbook'ları ve ilgili şifrelenmiş verileri dışarı aktarın ve sonra yeni sisteme aktarın.
Esas olarak, Dışarı Aktarma işlevi şifrelenmiş verileri dışarı aktarma sırasında kullanıcı tarafından sağlanan parolayla şifrelenmiş bir dışarı aktarma dosyası oluşturur. Bu dışarı aktarma dosyası içeri aktarma sırasında aynı parola sağlanarak şifresi çözülebilen şifrelenmiş veriler içerir. Veriler yeni veritabanının şifreleme anahtarları kullanılarak şifrelenir ve veritabanında depolanır.