Orchestrator-Sicherheitsszenarios

Veröffentlicht: März 2016

Gilt für: System Center 2012 SP1 - Orchestrator, System Center 2012 - Orchestrator, System Center 2012 R2 Orchestrator

Im Folgenden werden bewährte Verfahren für die sichere Verwendung von Orchestrator beschrieben. Diese Informationen werden in Form von Szenarios dargestellt. Die folgenden Szenarios sind verfügbar:

• Szenario: Sichere Umstellung von Entwicklungs- auf Test- und auf Produktionsumgebungen

• Szenario: Effektive Verwaltung der Mitgliedschaft bei Orchestrator-Benutzergruppen

Die in Runbooks enthaltenen Orchestrator-Kennwortdaten können von mehreren unterschiedlichen Instanzen von Orchestrator sicher gemeinsam verwendet werden. Es kann beispielsweise wünschenswert sein, in einer Entwicklungsumgebung erstellte Runbooks zu exportieren und in einer Testumgebung zu importieren oder getestete Runbooks in eine Produktionsumgebung zu importieren. Bei diesen Export- und Importprozessen müssen die verschlüsselten Daten in jeder Phase des Exports so abgesichert sein, dass die exportierten Daten in eine andere Orchestrator-Umgebung importiert werden können.

Dies wird mithilfe der Import/Export-Funktionalität in Runbook Designer erreicht. Die Export- und Importoptionen stehen über das Element Aktionen auf der Runbook Designer-Menüleiste oder über das Kontextmenü eines Runbookordners zur Verfügung. Die Exportfunktion steht auch über das Kontextmenü einer Runbookregisterkarte bereit, wobei hierbei meist vom „Export eines einzelnen Runbooks“ gesprochen wird.

Unabhängig von der Art und Weise, wie ein Runbook exportiert wird, werden die in den Runbooks enthaltenen verschlüsselten Daten sicher in der resultierenden XML-Exportdatei gespeichert. Dies wird durch die Vergabe eines Kennworts beim Export erreicht. Wenn von Orchestrator die Runbooks und die zugehörigen Konfigurationen exportiert werden, werden alle in Runbooks enthaltenen verschlüsselten Daten entschlüsselt und beim Export mithilfe des angegebenen Kennworts neu verschlüsselt.

Hinweis

Der für den Export verwendete Verschlüsselungsschlüssel ist nicht mit dem Schlüssel identisch, der zum Speichern der Daten in der Orchestrator-Datenbank verwendet wird. Im Grunde werden von der „Exportfunktion“ die verschlüsselten Daten entschlüsselt und in der Exportdatei erneut verschlüsselt. Die Exportdatei enthält das verschlüsselte Kennwort. Beim Exportprozess sind weder das Runbook selbst noch die in Runbooks enthaltenen nicht verschlüsselten Daten geschützt. Es werden nur die in Runbooks enthaltenen verschlüsselten Daten geschützt.

Wenn eine Exportdatei wieder importiert wird, muss ein Kennwort angegeben werden. Ist das Kennwort korrekt, werden die in der Exportdatei enthaltenen verschlüsselten Daten importiert und zum Speichern in der Orchestrator-Datenbank mithilfe des Verschlüsselungsschlüssels wieder verschlüsselt.

Hinweis

In Ihrem Unternehmen möglicherweise vorgeschriebene Komplexitätsregeln werden von der Funktion zum Exportieren/Importieren von Kennwörtern nicht unterstützt. Ein leerer Wert für das Kennwort ist zulässig, ist jedoch bei Exportdateien, die zuvor verschlüsselte vertrauliche Daten enthalten, nicht ratsam. Auch wenn das Kennwort für den Export verlorengegangen ist, können die Runbooks und die zugehörigen Konfigurationen importiert werden. Deaktivieren Sie dazu im Bildschirm Importieren einfach die Option Verschlüsselte Orchestrator-Daten importieren. Alle verschlüsselten Daten der Orchestrator-Plattform werden nicht importiert und werden in der Orchestrator-Datenbank mit leeren Werten erstellt.

Für Orchestrator gibt es zwei Hauptbenutzerrollen: Runbookautoren und Runbookoperatoren. Diese Benutzerrollen haben unterschiedliche Rechte in Orchestrator. Runbookautoren sind Einzelpersonen, die über umfassende administrative Zugriffsrechte für Orchestrator verfügen, einschließlich der Datenbank und Konfiguration. Runbookautoren erteilen Runbookoperatoren Zugriffsrechte. Runbookoperatoren können basierend auf den ihnen von Runbookautoren gewährten Rechten auf die Orchestration-Konsole und den Webdienst zugreifen.

Hinweis

Das Hinzufügen eines Benutzerkontos zur Orchestrator-Benutzergruppe kennzeichnet dieses Benutzerkonto als einen Administrator von Orchestrator. Alle Orchestrator-Benutzer sind Administratoren mit gleichen Rechten, die vollständigen Zugriff auf Orchestrator und die in der Datenbank enthaltenen Daten haben. Dazu zählt auch das Verschlüsseln und Entschlüsseln der in der Orchestrator-Datenbank enthaltenen Daten.

Die Verwaltung der Sicherheit in Orchestrator erfolgt über die Mitgliedschaft in zwei Sicherheitsgruppen, die bei der Installation erstellt werden. Dies sind die Orchestrator-Benutzergruppe und die Orchestrator-Systemgruppe. Die Mitgliedschaft in mindestens einer dieser beiden Gruppen kennzeichnet Konten als Administratoren von Orchestrator („vertrauenswürdige Personen“). Zu den Administratorrechten zählen die Fähigkeit zum Aktualisieren von Runbooks und deren zugehörigen Konfigurationsdaten, zum Aktualisieren der Konfiguration von Runbook-Servern, zur Interaktion mit externen Systemen über Integrationspakete, zur Installation und Bereitstellung von Integrationspaketen, zur programmgesteuerten Interaktion mit der Orchestrator-Datenbank, zum Aktualisieren der Datenbankkonfiguration und zum Verschlüsseln/Entschlüsseln von in der Orchestrator-Datenbank gespeicherten verschlüsselten Daten.

Hinweis
Durch die Mitgliedschaft in mindestens einer dieser beiden Gruppen wird vollständiger Administratorzugriff auf Orchestrator gewährt, einschließlich des Zugriffs auf alle Daten in der Orchestrator-Datenbank und des uneingeschränkten Rechts zum Verschlüsseln und Entschlüsseln.

Die folgenden Benutzerrollen gelten als vertrauenswürdige/nicht vertrauenswürdige Personas in Orchestrator.