Biztonsági esetek az Orchestrator használata során

Közzétéve: 2016. március

Hatókör: System Center 2012 SP1 - Orchestrator, System Center 2012 - Orchestrator, System Center 2012 R2 Orchestrator

Az alábbi információk az Orchestrator biztonságos használatának ajánlott eljárásait biztosítják. Ezek az információk példahelyzetek formájában állnak rendelkezésre. Az alábbi példahelyzetek érhetők el:

• Példahelyzet: Biztonságos átállás fejlesztői környezetről teszt- vagy éles környezetekre

• Példahelyzet: Orchestrator-felhasználók csoport tagságának hatékony kezelése

A Runbookokban található Orchestrator jelszóadatok biztonságosan megoszthatók az Orchestrator különböző példányai között. Előfordulhat például, hogy fejlesztői környezetben összeállított Runbookokat kíván exportálni, majd azokat tesztkörnyezetben szeretné importálni, vagy a tesztelt Runbookokat éles környezetbe kívánja exportálni. Ennek az exportálási és importálási folyamatnak olyan módon kell titkosítania az adatokat az exportálás minden fázisában, hogy az exportált adatok másik Orchestrator környezetbe importálhatók legyenek.

Ez a Runbook Designer Import/Export funkciójával valósítható meg. Az exportálás és importálás funkciók a Runbook Designer menüsorának Műveletek eleme alatt vagy egy Runbook mappára a jobb egérgombbal kattintva érhetők el. Az exportálás funkció a jobb egérgombbal egy Runbook fülre kattintva is elérhető, ezt gyakran „egyetlen Runbook exportálása” funkciónak nevezik.

A Runbook exportálási módjától függetlenül a Runbookokban tartalmazott titkosított adatok tárolása biztonságos a kapott XML exportfájlban. Ez az exportáláskor megadott jelszó segítségével valósul meg. Amikor az Orchestrator exportálja a Runbookokat és a kapcsolódó konfigurációjukat, a Runbookokban található titkosított adatokat a program visszafejti és az exportáláskor újból titkosítja a megadott jelszóval.

Megjegyzés

Az exportálásra használt titkosítási kulcs különbözik az adatok Orchestrator adatbázisban tárolására használttól. Az „export” funkció visszafejti a titkosított adatokat, majd újból titkosítja azokat az exportált fájlban. Az exportált fájl tartalmazza a titkosított jelszót. Az exportálási folyamat nem védi meg magát a Runbookot és a Runbookokban tartalmazott nem titkosított adatokat. Az exportálás csak a Runbookokban található titkosított adatokat védi meg.

Exportált fájl újbóli importálásakor meg kell adni egy jelszót. Ha a jelszó megfelelő, akkor az exportálás titkosított adatait importálja a program és a titkosítási kulccsal újból titkosítja az Orchestrator adatbázisban történő tároláshoz.

Megjegyzés

A jelszó exportálása/importálása funkció nem támogatja az esetleg a szervezete által megkövetelt jelszó-bonyolultsági szabályokat. A jelszóhoz engedélyezett üres érték megadása, de az titkosított bizalmas adatok exportálásához nem ajánlott. Ha az exportálási jelszó elveszik, a Runbookok és a kapcsolódó konfigurációk importálása akkor is elvégezhető. Az Importálás képernyőn egyszerűen törölje az Orchestrator titkosított adatok importálása lehetőség kiválasztását. Az Orchestrator platform titkosított adatait nem importálja a program, és üres értékekkel hozza létre az Orchestrator adatbázisban.

Az Orchestrator két fő felhasználói szerepkörrel rendelkezik: Runbook szerzők és kezelők. Ezek a felhasználói szerepkörök különböző jogokkal rendelkeznek az Orchestrator alkalmazásban. A Runbook szerzők az adatbázisát és a konfigurációját is beleértve az Orchestrator alkalmazáshoz kiterjedt rendszergazdai jogosultsággal rendelkező egyének. A Runbook szerzők hozzáférést adhatnak a Runbook kezelők számára. A Runbook kezelők a Runbook szerzők által megadott jogok alapján hozzáféréssel rendelkeznek az Orchestration konzolhoz és webszolgáltatáshoz.

Megjegyzés

Ha felhasználói fiókot vesz fel az Orchestrator-felhasználók csoportba, akkor az ezt a felhasználót az Orchestrator rendszergazdájaként azonosítja. Minden Orchestrator-felhasználó lényegében azonos jogosultsággal rendelkező rendszergazda teljes hozzáféréssel az Orchestrator alkalmazáshoz és az adatbázisban található adatokhoz. Ez magába foglalja a hozzáférést az Orchestrator adatbázisban tárolt adatok titkosításához és visszafejtéséhez.

Az Orchestrator a biztonságot a telepítéskor létrehozott két biztonsági csoport segítségével kezeli. Ezek az Orchestrator-felhasználók és az Orchestrator-rendszer csoport. Az Orchestrator rendszergazdának („megbízható személyeknek”) minősülő fiókjait az ezen csoportok egyikében vagy mindegyikében betöltött tagság azonosítja. A rendszergazdai jogok közé tartoznak a Runbookok és kapcsolódó adataik frissítési képessége, a Runbook-kiszolgálók konfigurációjának frissítése, közreműködés külső rendszerekkel integrációs csomagok segítségével, integrációs csomagok telepítése, az Orchestrator adatbázis programozott használata, az adatbázis konfigurációjának frissítése és az Orchestrator adatbázisban tárolt titkosított adatok titkosítása/visszafejtése.

Megjegyzés
A csoportok egyikében vagy mindegyikében betöltött tagság teljes rendszergazdai hozzáférést és teljes titkosítási/visszafejtési jogokat biztosít az Orchestrator alkalmazáshoz, beleértve az Orchestrator adatbázisban tárolt adatokat is.

Az alábbi felhasználói szerepkörök minősülnek megbízható/nem megbízható személyeknek az Orchestrator alkalmazásban.