Protezione e privacy per aggiornamenti software in Configuration Manager

Non modificare le autorizzazioni predefinite nei pacchetti di aggiornamento software.

Per impostazione predefinita, i pacchetti di aggiornamento software sono impostati in modo da consentire agli amministratori il Controllo completo e agli utenti l'accesso in Lettura. Se si modificano queste autorizzazioni, è possibile che un utente malintenzionato aggiunga, rimuova o elimini aggiornamenti software.

Per valutare la durata della distribuzione, utilizzare l'ora UTC.

Se gli utenti utilizzano l'ora locale invece dell'ora UTC potrebbero ritardare l'installazione di aggiornamenti software modificando il fuso orario nel computer

Attivare il controllo CRL.

Per impostazione predefinita, Configuration Manager non controlla l'elenco di revoche di certificati (CRL) per verificare la firma degli aggiornamenti software prima della distribuzione nei computer. Il controllo dell'elenco CRL a ogni utilizzo del certificato offre una maggiore protezione dall'utilizzo di un certificato revocato, ma introduce un ritardo nella connessione e genera un'ulteriore elaborazione nel computer che esegue il controllo CRL.

Per ulteriori informazioni su come attivare il controllo CRL per gli aggiornamenti software, vedere Come abilitare il controllo CRL per aggiornamenti software.

Protezione accesso alla rete (NAP): Non fare affidamento su Protezione accesso alla rete per proteggere una rete da utenti malintenzionati.

Protezione accesso alla rete mira a consentire agli amministratori di mantenere l'integrità dei computer nella rete e quindi di mantenere l'integrità generale della rete. Ad esempio, un computer che dispone di tutti gli aggiornamenti software richiesti dal criterio di Protezione accesso alla rete di Configuration Manager verrà considerato conforme e potrà accedere correttamente alla rete. Protezione accesso alla rete non impedisce a un utente autorizzato con un computer conforme di caricare un programma dannoso in rete o di disattivare l'agente Protezione accesso alla rete.

Protezione accesso alla rete (NAP): Utilizzare criteri di Protezione accesso alla rete coerenti in tutta la gerarchia per ridurre al minimo la confusione.

Se un criterio di Protezione accesso alla rete configurato è configurato in modo errato, è possibile che client a cui non dovrebbe essere consentito l'accesso possano invece accedere alla rete o che venga impedito l'accesso a client validi. Più complicata è la struttura del criterio di Protezione accesso alla rete, più alto sarà il rischio di errori nella configurazione. Configurare l'agente del client Protezione accesso alla rete di Configuration Manager e i punti di Convalida integrità sistema di Configuration Manager per l'utilizzo delle stesse impostazioni in tutta la gerarchia o nelle gerarchie aggiuntive presenti nell'organizzazione se i client si spostano al loro interno.

Importante

Se un client di Configuration Manager in cui l'agente di Protezione accesso alla rete è attivato si sposta in una gerarchia di Configuration Manager diversa e il relativo rapporto di integrità viene convalidato da un punto di Convalida integrità sistema esterno alla gerarchia, il processo di convalida non supererà il controllo del sito. Verrà creato uno stato di integrità del client sconosciuto che, per impostazione predefinita, viene configurato nel server del criterio di integrità di Protezione accesso alla rete come non compatibile. Se il server del criterio di integrità di Protezione accesso alla rete dispone di criteri di rete configurati per un accesso limitato alla rete, questi client non possono essere monitorati e aggiornati e rischiano di non poter accedere all'intera rete. Un criterio di esenzione nel server del criterio di integrità di Protezione accesso alla rete può fornire ai client di Configuration Manager che si spostano al di fuori della relativa gerarchia di Configuration Manager un accesso alla rete senza restrizioni.

Protezione accesso alla rete (NAP): Se si archivia il riferimento sullo stato di integrità in una foresta indicata, specificare due account diversi per la pubblicazione e il recupero del riferimento sullo stato di integrità.

Quando si indica una foresta di Active Directory in cui archiviare il riferimento sullo stato di integrità, specificare due account diversi perché sono necessari insiemi di autorizzazioni diversi:

• Per l'account di pubblicazione riferimenti sullo stato di integrità sono necessarie autorizzazioni di Lettura, Scrittura e Creazione per la foresta di Active Directory in cui viene archiviato il riferimento sullo stato di integrità.

• Per l'account di query riferimenti sullo stato di integrità è necessaria solo l'autorizzazione di Lettura per la foresta di Active Directory in cui viene archiviato il riferimento sullo stato di integrità. Non concedere a questo account i diritti di accesso interattivo.