Sdílet prostřednictvím

Pokyny pro vytváření zabezpečených instalací

  • Článek

Dodržování následujících pokynů při vytváření balíčku Instalační služby systému Windows pomáhá udržovat zabezpečené prostředí během instalace:

  • Správci by měli nainstalovat spravované aplikace do cílové instalační složky, pro kterou uživatelé, kteří nejsou správci, nemají oprávnění ke změně nebo úpravě.
  • Umožňuje nastavit libovolnou vlastnost nastavenou uživatelem jako veřejnou vlastnost. Soukromé vlastnosti nelze změnit uživatelem, který pracuje s uživatelským rozhraním. Informace naleznete v tématu O vlastnostech.
  • Nepoužívejte vlastnosti pro hesla ani jiné informace, které musí zůstat zabezpečené. Instalační program může zapsat hodnotu vlastnosti zadané do tabulky vlastností nebo vytvořené za běhu do záznamu nebo systémového registru. Další informace naleznete v tématu Zabránění zápisu důvěrných informací do souboru protokolu.
  • Pokud instalace vyžaduje, aby instalační program používal zvýšená oprávnění, použijte omezené veřejné vlastnosti pro omezení veřejných vlastností, které může uživatel změnit. Některá omezení jsou často nezbytná k udržení zabezpečeného prostředí, pokud instalace vyžaduje, aby instalační program používal zvýšená oprávnění.
  • Vyhněte se instalaci služeb, které zosobní oprávnění konkrétního uživatele, protože to může zapisovat data zabezpečení do protokolu nebo systémového registru. To vytváří potenciál pro problém se zabezpečením, konflikt hesla nebo ztrátu konfiguračních dat při restartování systému. Podrobnosti najdete v tabulce ServiceInstall.
  • Pomocí tabulky LockPermissions a tabulky MsiLockPermissionsEx zabezpečíte služby, soubory, klíče registru a vytvořené složky v uzamčeném prostředí.
  • Přidejte do instalace digitální podpisy, abyste zajistili integritu souborů. Podrobnosti najdete v tématech Digitální podpisy a Windows Installer a Vytváření plně ověřené podepsané instalace.
  • Vytvořte balíček Instalační služby systému Windows tak, aby pokud byl uživateli odepřen přístup k prostředkům, instalační program selže způsobem, který udržuje zabezpečené prostředí. Zkontrolujte přístupová oprávnění uživatele a zjistěte, jestli je před zahájením instalace dostatek místa na disku. Instalační program by měl obvykle zobrazit pouze dialogové okno pro procházení, pokud je aktuální uživatel správcem nebo pokud instalace nevyžaduje zvýšená oprávnění. Podrobnosti najdete v části odolnost zdroje .
  • Použijte zabezpečené transformace k ukládání transformací do zabezpečeného souborového systému na místním počítači uživatele. Tím zabráníte uživateli v přístupu k zápisu do transformace.
  • Informace o tom, jak zabezpečit zdroje médií spravovaných aplikací, naleznete v tématu Odolnost zdroje.
  • Pomocí vlastnosti Souhrn zabezpečení určete, zda má být balíček otevřen jen pro čtení. Tato vlastnost by měla být nastavena na doporučené pouze pro čtení pro instalační databázi a povinné pouze pro čtení pro transformaci nebo záplatu.
  • Instalační program spouští vlastní akce s uživatelskými oprávněními ve výchozím nastavení, aby omezil přístup vlastních akcí do systému. Instalační program může spouštět vlastní akce se zvýšenými oprávněními , pokud se instaluje spravovaná aplikace nebo pokud je pro zvýšená oprávnění nastavena systémová politika. Podrobnosti najdete v části Zabezpečení vlastní akce.
  • Pomocí zásad DisablePatch zajistěte zabezpečení v prostředích, kde je potřeba omezit opravy.
  • Pomocí tabulky AppId zaregistrujte společná nastavení zabezpečení a konfigurace pro objekty DCOM.
  • Související informace naleznete v pokynech pro zabezpečení vlastních akcí.
  • Související informace naleznete v tématu Pokyny pro zabezpečení balíčků v uzamčených počítačích.
  • Počínaje Windows Installerem 3.0, funkce opravy UAC (User Account Control) umožňuje uživatelům bez oprávnění správce opravovat aplikace, které jsou nainstalovány na úrovni celého systému. Aktualizace UAC jsou povoleny poskytnutím certifikátu podepisovatele v tabulce MsiPatchCertificate a podpisem oprav stejným certifikátem.
  • Schopnost Instalační služby systému Windows 5.0 nastavit přístupová oprávnění ke službám, souborům, vytvořeným složkám a položkám registru může pomoct zajistit lepší zabezpečení instalačních aplikací. Informace naleznete v tématu Zabezpečení prostředků.