Scenari della protezione di Orchestrator
Data di pubblicazione: marzo 2016
Si applica a: System Center 2012 SP1 - Orchestrator, System Center 2012 - Orchestrator, System Center 2012 R2 Orchestrator
Di seguito vengono fornite le procedure consigliate per l'utilizzo di Orchestrator in modo sicuro. Queste informazioni vengono fornite sotto forma di scenari. Sono disponibili i seguenti scenari:
Scenario: Transizione sicura dallo sviluppo al test per ambienti di produzione
Scenario: Gestione efficace dell'appartenenza ai gruppi di utenti di Orchestrator
Scenario: Transizione sicura dallo sviluppo al test per ambienti di produzione
I dati delle password di Orchestrator contenuti nei Runbook possono essere condivisi in modo sicuro tra istanze diverse di Orchestrator. Per esempio, potrebbe essere necessario esportare Runbook realizzati in un ambiente di sviluppo e importarli in un ambiente di test oppure esportare i Runbook testati in un ambiente di produzione. Questa procedura di esportazione e importazione richiederebbe la protezione dei dati crittografati in ogni fase dell'esportazione, in modo che i dati esportati possano essere importati in un ambiente di Orchestrator diverso.
Questa operazione viene eseguita utilizzando la funzionalità di importazione/esportazione disponibile in Runbook Designer. Le funzionalità di esportazione e importazione sono disponibili dall'elemento Azioni nella barra del menu di Runbook Designer facendo clic con il pulsante destro del mouse su una cartella del Runbook. La funzionalità di esportazione è disponibile anche facendo clic con il pulsante destro del mouse su una scheda Runbook, una caratteristica conosciuta come "esportazione di Runbook singolo".
Indipendentemente dalla modalità di esportazione di un Runbook, i dati crittografati contenuti nei Runbook verranno archiviati in modo sicuro nel file di esportazione XML risultante. Questa operazione viene eseguita mediante una password al momento dell'esportazione. Quando Orchestrator esporta i Runbook e la relativa configurazione, tutti i dati crittografati contenuti nei Runbook vengono decrittografati e crittografati nuovamente all'esportazione utilizzando la password fornita.
Nota
- La chiave di crittografia utilizzata per l'esportazione è diversa da quella utilizzata per archiviare i dati nel database Orchestrator. In pratica, la funzionalità "Esporta" consente di decrittografare i dati crittografati e di crittografarli nuovamente nel file di esportazione. Il file di esportazione contiene la password crittografata.
- La procedura di esportazione non protegge il Runbook stesso né i dati non crittografati contenuti nei Runbook. L'esportazione protegge solo i dati crittografati contenuti nei Runbook.
Quando un file di esportazione viene reimportato, l'importazione richiede una password. Se la password corrisponde, i dati crittografati contenuti nell'esportazione verranno importati e crittografati nuovamente per l'archiviazione nel database di Orchestrator utilizzando la chiave di crittografia.
Nota
- La funzionalità di esportazione/importazione della password non supporta le regole di complessità della password che possono essere richieste dall'organizzazione. È consentito un valore vuoto per la password, ma non è consigliabile per le esportazioni che contengono dati riservati che sono stati crittografati.
- Se si perde la password per l'esportazione è ancora possibile eseguire un'importazione dei Runbook e la relativa configurazione. Nella schermata Importa è sufficiente deselezionare l'opzione Importa i dati crittografati di Orchestrator. I dati crittografati della piattaforma di Orchestrator non verranno importati e creati con valori vuoti nel database di Orchestrator.
Scenario: Gestione efficace dell'appartenenza ai gruppi di utenti di Orchestrator
Orchestrator ha due ruoli utente principali: Gli autori e operatori di Runbook. Questi ruoli utente presentano diritti differenti in Orchestrator. Gli autori di Runbook sono persone che hanno accesso amministrativo completo a Orchestrator, incluso il database e la configurazione. Gli autori di Runbook concedono l'accesso agli operatori di Runbook. Gli operatori Runbook hanno accesso alla console di orchestrazione e al servizio Web in base ai diritti consentiti loro dagli autori di Runbook.
| Ruolo utente | Identificato da | Diritti |
|---|---|---|
| Autore Runbook | Appartenenza al gruppo di utenti Orchestrator (vedere sotto) | - Amministratori di Orchestrator - Lettura, scrittura, aggiornamento della configurazione di Orchestrator - Controllo completo del database di Orchestrator - Diritti di crittografia/decrittografia completi - Accesso alle attività di Runbook che possono interagire con i sistemi esterni tramite pacchetti di integrazione |
| Operatore Runbook | Autorizzazioni cartella Runbook concesse dagli autori di Runbook in Runbook Designer | - Diritti non di amministrazione per Orchestrator - Accesso alla console di orchestrazione e al servizio Web - Consente di visualizzare e richiamare Runbook in base ai diritti concessi dagli autori di Runbook - Nessun accesso al database di Orchestrator - Nessun diritto di crittografia/decrittografia |
Nota
L'inserimento di un account utente nel gruppo utenti di Orchestrator identifica l'account utente come amministratore di Orchestrator. Tutti gli utenti Orchestrator sono essenzialmente amministratori con privilegi uguali con accesso completo a Orchestrator e ai dati contenuti nel database. Ciò include l'accesso per crittografare e decrittografare i dati contenuti nel database di Orchestrator.
Orchestrator gestisce la protezione tramite l'appartenenza a due gruppi di protezione creati in fase di installazione. Questi sono i gruppi di utenti di Orchestrator e il gruppo del sistema Orchestrator. L'appartenenza a uno o entrambi questi gruppi identifica gli account considerati amministratori di Orchestrator ("personalità attendibili"). I diritti di amministrazione includono la possibilità di aggiornare i Runbook e i dati della relativa configurazione, di aggiornare la configurazione dei server dei Runbook, di interagire con sistemi esterni attraverso pacchetti di integrazione, di installare e distribuire pacchetti di integrazione, di interagire in modo programmato con il database di Orchestrator, di aggiornarla configurazione del database e di crittografare/decrittografare i dati crittografati archiviati nel database di Orchestrator.
Nota
L'appartenenza a uno o entrambi questi gruppi concede diritti completi di accesso di amministrazione al database di Orchestrator e diritti completi di crittografia/decrittografia.
| Gruppo di protezione | Persona associata | Scopo del gruppo di protezione |
|---|---|---|
| Gruppo utenti Orchestrator | Gli autori di Runbook e tutti gli utenti che distribuiscono pacchetti di integrazione | Questo gruppo di protezione definisce gli account utente che saranno in grado di avviare le utilità Runbook Designer, Deployment Manager e Data Store Configuration. L'appartenenza a questo gruppo concede l'accesso privilegiato al database di Orchestrator. Questo include la possibilità di leggere e aggiornare la configurazione del database e di accedere e decrittografare i dati crittografati. |
| Gruppo del sistema Orchestrator | Nessuno (utilizzato per gli account di servizio) | Questo gruppo di protezione definisce gli account di servizio che richiedono l'accesso privilegiato al database di Orchestrator. Questo include la possibilità di leggere e aggiornare la configurazione del database e di accedere e decrittografare i dati crittografati. |
I seguenti ruoli utente vengono considerati utenti di tipo attendibile/non attendibile in Orchestrator.
| Dominio di protezione | Contesto | Diritti di crittografia | Identificato da | Utente di tipo attendibile |
|---|---|---|---|---|
| Fase di esecuzione | Servizi di Orchestrator Credenziali alternative "Richiama Runbook" |
Crittografia e decrittografia complete | Gruppo del sistema Orchestrator in Active Directory/Credenziali per l'attività Runbook "Invoca Runbook" | Sì |
| Fase di progettazione | Runbook Designer Deployment Manager Configurazione dell'archivio dati |
Crittografia e decrittografia complete | Gruppo utenti di Orchestrator in Active Directory | Sì |
| Operator | Console di orchestrazione Servizio Web |
Nessun accesso esplicito ai dati crittografati o decrittografati. | Diritti utente definiti in Runbook Designer dal ruolo autore Runbook | No |
| Amministratore del database | MS SQL Server 20008 R2 | Crittografia e decrittografia complete | Diritti di SQL Server come amministratore di database con i diritti per il database di Orchestrator | Sì |
| Amministratore di Windows | Windows Server 2008 R2 | Non viene concesso alcun diritto esplicito, gli amministratori di Windows sono tuttavia considerati utenti attendibili. | Diritti per Windows | Sì |