Orchestrator Güvenlik Senaryoları

 

Yayımlanan: Mart 2016

Uygulama Hedefi: System Center 2012 SP1 - Orchestrator, System Center 2012 - Orchestrator, System Center 2012 R2 Orchestrator

Aşağıdaki bilgiler güvenli Orchestrator kullanımı için en iyi yöntemleri sunar. Bu bilgiler senaryo biçiminde sunulmaktadır. Aşağıdaki senaryolar kullanılabilir:

• Senaryo: Geliştirme aşamasından testten üretime ortamlarına güvenle geçme

• Senaryo: Orchestrator Kullanıcıları grup üyeliğini etkin şekilde yönetme

Senaryo: Geliştirme aşamasından testten üretime ortamlarına güvenle geçme

Runbook'larda yer alan Orchestrator parola verileri farklı Orchestrator örnekleri arasında güvenle paylaşılabilir. Örneğin, kullanıcı geliştirme ortamında derlenen runbook'ları dışa aktarmak ve bunları bir test ortamına aktarmak ya da test edilmiş runbook'ları bir üretim ortamına aktarmak isteyebilir. Bu dışa ve içe aktarma işleminin, dışa aktarılan veriler farklı bir Orchestrator ortamına aktarılabilecek şekilde, şifrelenen verileri dışa aktarmanın her aşamasında koruması gerekir.

Bu, Runbook Designer'da kullanılabilen İçeri/Dışarı Aktar işlevselliği aracılığıyla gerçekleştirilebilir. Dışa ve içe aktarma özellikleri Runbook Designer menü çubuğundaki Eylemler öğesinden veya bir runbook klasörüne sağ tıklayarak kullanılabilir. Ayrıca, yaygın olarak “tek runbook dışa aktarması” şeklinde adlandırılan dışa aktarma özelliği bir runbook sekmesine sağ tıklayarak da kullanılabilir.

Runbook'un nasıl dışa aktarıldığına bakılmaksızın, runbook'larda bulunan şifrelenmiş veriler sonuç XML dışa aktarma dosyasında güvenli şekilde depolanır. Bu, dışa aktarma işleminin ardından bir parola sağlayarak gerçekleştirilir. Orchestrator runbook'ları ve ilgili yapılandırmalarını dışa aktardığında, Runbook'lardaki şifrelenen verilerin şifresi çözülür ve dışa aktarmanın ardından sağlanan parola aracılığıyla yeniden şifrelenir.

Not

1. Dışa aktarma için kullanılan şifreleme anahtarı, verileri Orchestrator veritabanında depolamak için kullanılandan farklıdır. Temelde, "dış aktarma" özelliği şifrelenen verilerin şifresini çözer ve dışa aktarma dosyasında yeniden şifreler. Dışa aktarma dosyası şifrelenen parolayı içerir.
2. Dışa aktarma işlemi runbook'un kendisini ya da Runbook'lardaki şifrelenmemiş verileri korumaz. Dışa aktarma yalnızca Runbook'lardaki şifrelenmiş verileri korur.

Dışa aktarma dosyası yeniden içe aktarıldığında, içe aktarma bir parolanın sunulmasını gerektirir. Parola uyarsa, dışa aktarmadaki şifrelenen veriler içe aktarılır ve şifreleme anahtarı kullanılarak Orchestrator veritabanında depolama için yeniden şifrelenir.

Not

1. Dışarı/İçeri Aktarma parolası özelliği, kuruluşunuzun gerektirebileceği parola karmaşıklık kurallarını desteklemez. Şifrelenmiş gizli veriler içeren dışarı aktarmalar için önerilmemesine rağmen parola için boş değere izin verilir.
2. Dışa aktarma parolanız kaybolsa bile runbook'ları ve ilgili yapılandırmalarını içe aktarma işlemi gerçekleştirilebilir. İçe Aktarma ekranında Şifrelenen Orchestrator verilerini içeri aktar seçeneğini temizlemeniz yeterlidir. Orchestrator platformu tarafından şifrelenmiş veriler içe aktarılmaz ve Orchestrator veritabanında boş değerlerle oluşturulur.

Senaryo: Orchestrator Kullanıcıları grup üyeliğini etkin şekilde yönetme

Orchestrator iki çekirdek kullanıcı rolüne sahiptir: Runbook Yazarları ve İşletmenleri. Bu kullanıcı rolleri Orchestrator'da farklı haklara sahiptir. Runbook Yazarları, veritabanı ve yapılandırma dahil olmak üzere Orchestrator için zengin yönetimsel erişime sahip olan bireylerdir. Runbook Yazarları Runbook İşletmenleri'ne erişim yetkisi verir. Runbook İşletmenleri, Runbook Yazarları tarafından kendilerine verilen haklara bağlı olarak Orchestration Konsolu ve Web Hizmeti erişimine sahiptir.

Kullanıcı Rolü	Tanımlama ölçütü:	Haklar
Runbook Yazarı	Orchestrator Kullanıcıları Grubundaki Üyelik (aşağıya bakın)	- Orchestrator Yöneticileri - Orchestrator yapılandırmasını okuma, yazma, güncelleştirme - Orchestrator veritabanı üzerinde tam denetim - Tam şifreleme/şifre çözme hakları - Tümleştirme Paketleri aracılığıyla dış sistemlerle etkileşime geçebilen Runbook Etkinlikleri'ne erişim
Runbook İşletmeni	Runbook Designer'da Runbook Yazarları tarafından verilen Runbook Klasörü izinleri	- Orchestrator için yönetimsel olmayan haklar - Orchestration Konsolu ve Web Hizmetine Erişim - Runbook Yazarları tarafından verilen haklara bağlı olarak runbook'ları görüntüleme ve çağırma - Orchestrator veritabanına erişim yok - Şifreleme/şifre çözme hakları yok

Not

Bir kullanıcı hesabını Orchestrator Kullanıcıları grubuna eklemek bu kullanıcı hesabını Orchestrator yöneticisi olarak tanımlar. Tüm Orchestrator kullanıcıları temelde Orchestrator ve veritabanındaki veriler için tam erişimi bulunan eşit ayrıcalıklara sahip yöneticilerdir. Bu, Orchestrator veritabanındaki veriler için şifreleme ve şifre çözme erişimini içerir.

Orchestrator, yükleme zamanında oluşturulan iki güvenlik grubundaki üyelik aracılığıyla güvenliği yönetir. Bunlar Orchestrator Kullanıcıları grubu ve Orchestrator Sistemi grubudur. Bu grupların birindeki veya her ikisindeki üyelik Orchestrator yöneticileri ("güvenilir kişiler") olarak değerlendirilen hesapları tanımlar. Yönetimsel haklar runbook'ları ve ilgili yapılandırma verilerini güncelleştirme, Runbook sunucuları yapılandırmasını güncelleştirme, tümleştirme paketleri aracılığıyla dış sistemlerle etkileşime geçme, tümleştirme paketlerini yükleme ve dağıtma, Orchestrator veritabanı ile programlama yoluyla etkileşime geçme, veritabanı yapılandırmasını güncelleştirme ve Orchestrator veritabanında depolanan şifrelenmiş veriler için şifreleme/şifre çözme imkanını içerir.

Not

Bu grupların birindeki veya her ikisindeki üyelik, Orchestrator veritabanındaki tüm verilere erişim ve tam şifreleme/şifre çözme hakları dahil olmak üzere Orchestrator'a tam yönetimsel erişim verir.

Güvenlik grubu	İlişkili kişi	Güvenlik grubu amacı
Orchestrator Kullanıcıları Grubu	Runbook yazarları ve tümleştirme paketlerini dağıtan kişiler	Bu güvenlik grubu Runbook Designer, Deployment Manager ve Veri Deposu Yapılandırma yardımcı programını başlatabilecek kullanıcı hesaplarını tanımlar. Bu gruptaki üyelik Orchestrator veritabanına ayrıcalıklı erişim verir. Bu, veritabanı yapılandırmasını okuma, güncelleştirme, şifrelenmiş verilere erişim ve bu verilerin şifresini çözme imkanını içerir.
Orchestrator Sistem Grubu	Hiçbiri (hizmet hesapları için kullanılır)	Bu güvenlik grubu, Orchestrator veritabanına ayrıcalıklı erişim gerektiren hizmet hesaplarını tanımlar. Bu, veritabanı yapılandırmasını okuma, güncelleştirme, şifrelenmiş verilere erişim ve bu verilerin şifresini çözme imkanını içerir.

Aşağıdaki kullanıcı rolleri Orchestrator'da güvenilir/güvenilmez kişiler olarak değerlendirilir.

Güvenlik etki alanı	Bağlam	Şifreleme hakları	Tanımlama ölçütü:	Güvenilir kişi
Çalışma Zamanı	Orchestrator Hizmetleri "Runbook'u Çağır" Farklı Kimlik Bilgileri	Tam şifreleme ve şifre çözme	Active Directory'de Orchestrator Sistemleri Grubu / "Runbook'u Çağır" Runbook Etkinliğindeki Kimlik Bilgileri	Evet
Tasarım Zamanı	Runbook Designer Deployment Manager Veri Deposu Yapılandırması	Tam şifreleme ve şifre çözme	Active Directory'de Orchestrator Kullanıcıları Grubu	Evet
İşleç	Orchestration Konsolu Web Hizmeti	Şifrelenmiş veya şifresi çözülmüş verilere açık erişim yok.	Runbook Yazarı rolü tarafından Runbook Designer'da tanımlanan kullanıcı hakları	Hayır
Veritabanı Yöneticisi	MS SQL Server 20008 R2	Tam Şifreleme ve şifre çözme	SQL Server için, Orchestrator veritabanına yönelik haklara sahip DBA olarak haklar	Evet
Windows Yöneticisi	Windows Server 2008 R2	Açık haklar verilmez, ancak Windows yöneticileri güvenilir kişiler olarak değerlendirilir.	Windows için Haklar	Evet