Orchestration adatbázis biztonság
Közzétéve: 2016. március
Hatókör: System Center 2012 SP1 - Orchestrator, System Center 2012 - Orchestrator, System Center 2012 R2 Orchestrator
Az alábbi fejezetek további információkat nyújtanak az Orchestrator vezénylési adatbázisának biztonságossá tételéről:
Adatbázis-szerepkörök
SQL-kiszolgáló kapcsolatainak biztonsága
Titkosítási kulcsok
Adatbázis-szerepkörök
A vezénylési adatbázis biztonságát a Microsoft SQL Server támogatott verzióiban adatbázis-szerepkörök biztosítják. Az alábbi táblázat a vezénylési adatbázisban létrehozott, és az azokhoz megadott engedélyeket sorolja fel. Ezeket a szerepköröket a telepítési folyamat beállítja és feltölti a szükséges tagokkal, így jellemzően ezekkel nincs közvetlen teendő. Az itt megadott információk segítenek abban, hogy a rendszergazda jobban megértse a konfiguráció mögötti biztonságot, és felkészüljön a lehetséges egyéni példahelyzetekre.
| Fiók | Adatbázis-szerepkör |
|---|---|
| Management szolgáltatás fiókja | Microsoft.SystemCenter.Orchestrator.Admins |
| Az Orchestrator rendszergazdák csoport tagja | Microsoft.SystemCenter.Orchestrator.Admins |
| Orchestrator Runbook Service fiókja | Microsoft.SystemCenter. Orchestrator.Runtime |
| Orchestrator Runbook Server Monitor szolgáltatásfiók | Microsoft.SystemCenter. Orchestrator.Runtime |
| Orchestrator webszolgáltatás felhasználói fiók | Microsoft.SystemCenter. Orchestrator.Operators |
| Szerepkör | Engedély | Objektum |
|---|---|---|
| Microsoft.SystemCenter. Orchestrator.Operators | SELECT | [Microsoft.SystemCenter.Orchestrator.Runtime].[Jobs], [Microsoft.SystemCenter.Orchestrator.Runtime].[RunbookInstances], [Microsoft.SystemCenter.Orchestrator.Runtime].[RunbookInstanceParameters], [Microsoft.SystemCenter.Orchestrator.Runtime].[RunbookServers], [Microsoft.SystemCenter.Orchestrator.Runtime].[ActivityInstances], [Microsoft.SystemCenter.Orchestrator.Runtime].[ActivityInstanceData], [Microsoft.SystemCenter.Orchestrator.Runtime].[Events], [Microsoft.SystemCenter.Orchestrator.Statistics].[Statistics] |
| Microsoft.SystemCenter. Orchestrator.Operators | EXECUTE | [Microsoft.SystemCenter.Orchestrator].[GetSecurityToken], [Microsoft.SystemCenter.Orchestrator].[AccessCheck], [Microsoft.SystemCenter.Orchestrator].[ComputeAuthorizationCache], [Microsoft.SystemCenter.Orchestrator.Statistics.Internal].[GetStatisticsSummary], [Microsoft.SystemCenter.Orchestrator.Runtime].[CreateJob], [Microsoft.SystemCenter.Orchestrator.Runtime].[CancelJob] |
| Microsoft.SystemCenter. Orchestrator.Runtime | SELECT | Minden tábla, dbo.[POLICIES_VIEW], dbo.[POLICY_REQUEST_HISTORY] |
| Microsoft.SystemCenter. Orchestrator.Runtime | INSERT | dbo.[OBJECT_AUDIT] |
| Microsoft.SystemCenter. Orchestrator.Runtime | INSERT, UPDATE | dbo.[OBJECTS], dbo.[ACTIONSERVERS], dbo.[POLICYINSTANCES], dbo.[OBJECTINSTANCES], dbo.[OBJECTINSTANCEDATA] |
| Microsoft.SystemCenter. Orchestrator.Runtime | INSERT, DELETE | dbo.[COUNTERINSTANCES], dbo.[POLICYRETURNDATA] |
| Microsoft.SystemCenter. Orchestrator.Runtime | UPDATE | dbo.[POLICY_PUBLISH_QUEUE] |
| Microsoft.SystemCenter. Orchestrator.Runtime | CONTROL | [ORCHESTRATOR_ASYM_KEY], [ORCHESTRATOR_SYM_KEY] |
| Microsoft.SystemCenter. Orchestrator.Runtime | EXECUTE | dbo.sp_insertevent, dbo.sp_PublishPolicy, dbo.sp_UnpublishPolicy, dbo.sp_UnpublishPolicyRequest, dbo.fn_GetPolicyInstanceStatus, dbo.fn_NumFailedInstancesPerServer, dbo.fn_NumInstancesPerServer, dbo.fn_NumRunningInstancesPerServer, [Microsoft.SystemCenter.Orchestrator.Cryptography].[Encrypt], [Microsoft.SystemCenter.Orchestrator.Cryptography].[Decrypt], [Microsoft.SystemCenter.Orchestrator.Internal].[RethrowError] |
| Microsoft.SystemCenter. Orchestrator.Admins | SELECT, INSERT, UPDATE, DELETE, ALTER, CREATE TABLE | SCHEMA::dbo |
| Microsoft.SystemCenter. Orchestrator.Admins | REFERENCES | dbo.[OBJECTS] |
| Microsoft.SystemCenter. Orchestrator.Admins | SELECT | dbo.[POLICIES_VIEW], GRANT SELECT ON dbo.[POLICY_REQUEST_HISTORY] |
| Microsoft.SystemCenter. Orchestrator.Admins | CONTROL | [ORCHESTRATOR_ASYM_KEY], [ORCHESTRATOR_SYM_KEY] |
| Microsoft.SystemCenter. Orchestrator.Admins | EXECUTE | [Microsoft.SystemCenter.Orchestrator.Cryptography].[CreateOrchestratorKeys], [Microsoft.SystemCenter.Orchestrator.Cryptography].[DropOrchestratorKeys], [Microsoft.SystemCenter.Orchestrator.Cryptography].[Encrypt], [Microsoft.SystemCenter.Orchestrator.Cryptography].[Decrypt], [Microsoft.SystemCenter.Orchestrator.Internal].[RethrowError], dbo.sp_CustomLogCleanup, dbo.sp_GetLogEntriesForDelete_FilterByDays, dbo.sp_GetLogEntriesForDelete_FilterByEntries, dbo.sp_GetLogEntriesForDelete_FilterByEntriesAndDays, dbo.sp_insertevent, dbo.sp_PublishPolicy, dbo.sp_UnpublishPolicy, dbo.sp_UnpublishPolicyRequest, dbo.fn_GetPolicyInstanceStatus, dbo.fn_NumFailedInstancesPerServer, dbo.fn_NumInstancesPerServer, dbo.fn_NumRunningInstancesPerServer, [Microsoft.SystemCenter.Orchestrator.Internal].AddUserToRole, [Microsoft.SystemCenter.Orchestrator].[SetPermissions], [Microsoft.SystemCenter.Orchestrator.Internal].[SetProductInfo] |
Az adatbázis-konfigurációs segédprogram (DBSetup.exe) számára felhasználói engedély szükséges azon a számítógépen, ahol a Management kiszolgáló telepítve van, és a Rendszergazdák vagy Orchestrator-felhasználók csoport tagja a settings.dat fájl eléréséhez. A DBDataStore.dll segítségével az adatbázishoz közvetlenül csatlakozó egyéni eszközök számára ugyenezen engedélyek szükségesek.
.jpeg "System_CAPS_ICON_important.jpg") Fontos! |
|---|
Az Orchestrator telepítésekor gondoskodjon arról, hogy az SQL-kiszolgáló csatlakozásához használt fióknak minimális jogosultsága legyen az SQL-kiszolgálón, így elkerülve a jogosultságok esetleges kiterjesztését. |
SQL-kiszolgáló kapcsolatainak biztonsága
Az Orchestrator alapértelmezett telepítésében az SQL-kiszolgáló kapcsolatai nem biztonságosak. Ez alól kivétel, amikor az Orchestrator érzékeny adatokat tárol és olvas be. Ebben az esetben az Orchestrator önaláírt tanúsítvánnyal biztonságos kapcsolatot hoz létre az SQL-kiszolgálóval. Ez a tanúsítvány nem nyújt erős biztonságot, és a közbeékelődéses támadásokkal szemben sebezhető.
Az SQL Server kapcsolatainak titkosításával kapcsolatos információkat az Encrypting Connections to SQL Server (configuring SSL) témakörben találja. Az adatbázismotor kapcsolatainak engedélyezésével kapcsolatos információkat itt találja: How to: Enable Encrypted Connections to the Database Engine (SQL Server Configuration Manager).
Titkosítási kulcsok
A biztonság megtervezésének részeként a titkosítási kulcsokat rendszeres időközönként le kell cserélni. A National Institute of Standards and Technology (NSIT) azt ajánlja, hogy a kulcsokat legalább két évente meg kell változtatni. Az NSIT biztonsági szabványairól itt olvashat: NSIT Computer Security Division Computer Security Resource Center.
Titkosítási kulcsok megváltoztatása
A Runbook Designer alkalmazásból exportáljon minden Runbookot, globális beállítást, változót, ütemezést stb.
Az exportáláshoz adjon meg egy jelszót.
Az exportálás során a program minden titkosított adatot visszafejt, és újból titkosít a jelszó által létrehozott új kulccsal.
Ha kívánja, módosítsa az SQL Server főadatbázisának kulcsát.
Az Orchestrator az adatokat az SQL Server főadatbázisának kulcsát és a vezénylési adatbázis főadatbázisának kulcsát egyszerre használva titkosítja.
Az SQL Server főadatbázis kulcsának megváltoztatásáról itt olvashat: SQL Server and Database Encryption Keys (Database Engine).
Telepítse újra a Management kiszolgálót, és hozzon létre új adatbázist.
A Management kiszolgáló telepítésével kapcsolatos információkat a következő témakörben találja: Management kiszolgáló telepítése.
Ne csatlakozzon a meglévő adatbázishoz. Új adatbázis létrehozásakor új titkosítási kulcs jön létre.
A Runbook Designer alkalmazásból importálja újra a Runbookokat és az exportált adatokat.
Adja meg az exportáláshoz használt jelszót. Az exportfájl adatainak visszafejtése a jelszóval történik, és az új Orchestrator főadatbázis kulcsával titkosítja a program az importáláskor.