Configuration Manager のコンテンツ管理のセキュリティとプライバシー

イントラネット上の配布ポイントについて、HTTPS と HTTP の長所と短所を検討する

配布ポイントに関する HTTP と HTTP の違い

• HTTPS を配布ポイントに使用すると、Configuration Manager はコンテンツへのアクセスを承認するためにパッケージ アクセス アカウントを使用しませんが、コンテンツがネットワーク上を転送されるときに暗号化されます。

• HTTP を配布ポイントに使用すると、パッケージ アクセス アカウントを使用して承認できますが、コンテンツがネットワーク上を転送されるときに暗号化はされません。

ほとんどのシナリオでは、HTTP とパッケージ アクセス アカウントを承認に使用するほうが、暗号化はするが承認はしない HTTP を使用するよりもセキュリティが高くなります。 ただし、転送中に暗号化する機密データがコンテンツにあれば、HTTPS を使用します。

サイト サーバーから配布ポイントの役割を削除する。

規定では、配布ポイントはサイト サーバーと同じサーバーにインストールされます。 クライアントはサイト サーバーと直接通信する必要はないため、攻撃対象を縮小するために、配布ポイントの役割を他のサイト システムに割り当て、サイト サーバーからは削除します。

配布ポイント サイト システムの役割を追加するときに Configuration Manager が IIS をインストールする場合は、配布ポイントのインストールが完了するときに、HTTP リダイレクトと IIS 管理スクリプトおよびツールを削除する。

配布ポイントに HTTP リダイレクトと IIS 管理スクリプトおよびツールは必要ありません。 攻撃対象を減らすために、Web サーバー (IIS) の役割についてこれらの役割サービスを削除します。

配布ポイントの Web サーバー (IIS) 役割に関する役割サービスの詳細については、 トピックの「」セクションを参照してください。c1e93ef9-761f-4f60-8372-df9bf5009be0#BKMK_SupConfigSiteSystemReqNo text is shown for link 'c1e93ef9-761f-4f60-8372-df9bf5009be0'. The title of the linked topic might be empty.

事前設定されたコンテンツを含むメディアを保護するためにアクセス制御を実装する

事前設定されたコンテンツは圧縮されていますが暗号化されていません。 攻撃者がファイルを読み取って変更し、デバイスにダウンロードする可能性があります。Configuration Manager クライアントが改ざんされているコンテンツを拒否しても、それでもダウンロードされます。

サイト サーバーとパッケージ ソースの場所との間の通信チャネルをセキュリティで保護する

アプリケーションおよびパッケージを作成するときには、サイト サーバーとパッケージ ソースの場所との間で IPsec または SMB 署名を使用します。 これにより、攻撃者からソース ファイルの改ざんを防ぎます。

Configuration Manager SP1 以降で使用できるクラウドベースの配布ポイントの場合: サブスクリプションの詳細と証明書を保護する

クラウドベースの配布ポイントを使用する場合、次の重要度が高い項目を保護します。

• Windows Azure サブスクリプションのユーザー名とパスワード。

• Windows Azure の管理証明書。

• クラウドベースの配布ポイント サービス証明書。

証明書を安全に保存します。また、クラウドベースの配布ポイントを構成するときにネットワーク上の証明書を参照する場合、サイト システム サーバーとソースの場所の間で IPsec または SMB 署名を使用します。