Sicherheit der Orchestration-Datenbank
Veröffentlicht: März 2016
Gilt für: System Center 2012 SP1 - Orchestrator, System Center 2012 - Orchestrator, System Center 2012 R2 Orchestrator
Die folgenden Abschnitte enthalten Informationen zur Sicherung der Orchestration-Datenbank in Orchestrator:
Datenbankrollen
Sichern von SQL Server-Verbindungen
Verschlüsselungsschlüssel
Datenbankrollen
Die Sicherheit der Orchestration-Datenbank wird über die Datenbankrollen in den unterstützten Versionen von Microsoft SQL Server realisiert. In der folgenden Tabelle werden die in der Orchestration-Datenbank erstellten Rollen und die jeder Rolle erteilten Berechtigungen aufgelistet. Diese Rollen werden während des Installationsprozesses konfiguriert und mit den erforderlichen Mitgliedern aufgefüllt. Es gibt daher in der Regel keine Notwendigkeit, die Rollen direkt zu bearbeiten. Mithilfe der hier bereitgestellten Informationen können Administratoren die hinter der Konfiguration stehende Sicherheit besser verstehen und mögliche benutzerdefinierte Szenarios vorbereiten.
| Konto | Datenbankrolle |
|---|---|
| Management Service-Konto | Microsoft.SystemCenter.Orchestrator.Admins |
| Mitglieder der Orchestrator-Administratorgruppe | Microsoft.SystemCenter.Orchestrator.Admins |
| Orchestrator Runbook Service-Konto | Microsoft.SystemCenter. Orchestrator.Runtime |
| Orchestrator Runbook Server Monitor-Dienstkonto | Microsoft.SystemCenter. Orchestrator.Runtime |
| Orchestrator-Webdienst-Benutzerkonto | Microsoft.SystemCenter. Orchestrator.Operators |
| Rolle | Berechtigung | Objekt |
|---|---|---|
| Microsoft.SystemCenter. Orchestrator.Operators | SELECT | [Microsoft.SystemCenter.Orchestrator.Runtime].[Jobs], [Microsoft.SystemCenter.Orchestrator.Runtime].[RunbookInstances], [Microsoft.SystemCenter.Orchestrator.Runtime].[RunbookInstanceParameters], [Microsoft.SystemCenter.Orchestrator.Runtime].[RunbookServers], [Microsoft.SystemCenter.Orchestrator.Runtime].[ActivityInstances], [Microsoft.SystemCenter.Orchestrator.Runtime].[ActivityInstanceData], [Microsoft.SystemCenter.Orchestrator.Runtime].[Events], [Microsoft.SystemCenter.Orchestrator.Statistics].[Statistics] |
| Microsoft.SystemCenter. Orchestrator.Operators | EXECUTE | [Microsoft.SystemCenter.Orchestrator].[GetSecurityToken], [Microsoft.SystemCenter.Orchestrator].[AccessCheck], [Microsoft.SystemCenter.Orchestrator].[ComputeAuthorizationCache], [Microsoft.SystemCenter.Orchestrator.Statistics.Internal].[GetStatisticsSummary], [Microsoft.SystemCenter.Orchestrator.Runtime].[CreateJob], [Microsoft.SystemCenter.Orchestrator.Runtime].[CancelJob] |
| Microsoft.SystemCenter. Orchestrator.Runtime | SELECT | Alle Tabellen, dbo.[POLICIES_VIEW], dbo.[POLICY_REQUEST_HISTORY] |
| Microsoft.SystemCenter. Orchestrator.Runtime | INSERT | dbo.[OBJECT_AUDIT] |
| Microsoft.SystemCenter. Orchestrator.Runtime | INSERT, UPDATE | dbo.[OBJECTS], dbo.[ACTIONSERVERS], dbo.[POLICYINSTANCES], dbo.[OBJECTINSTANCES], dbo.[OBJECTINSTANCEDATA] |
| Microsoft.SystemCenter. Orchestrator.Runtime | INSERT, DELETE | dbo.[COUNTERINSTANCES], dbo.[POLICYRETURNDATA] |
| Microsoft.SystemCenter. Orchestrator.Runtime | UPDATE | dbo.[POLICY_PUBLISH_QUEUE] |
| Microsoft.SystemCenter. Orchestrator.Runtime | CONTROL | [ORCHESTRATOR_ASYM_KEY], [ORCHESTRATOR_SYM_KEY] |
| Microsoft.SystemCenter. Orchestrator.Runtime | EXECUTE | dbo.sp_insertevent, dbo.sp_PublishPolicy, dbo.sp_UnpublishPolicy, dbo.sp_UnpublishPolicyRequest, dbo.fn_GetPolicyInstanceStatus, dbo.fn_NumFailedInstancesPerServer, dbo.fn_NumInstancesPerServer, dbo.fn_NumRunningInstancesPerServer, [Microsoft.SystemCenter.Orchestrator.Cryptography].[Encrypt], [Microsoft.SystemCenter.Orchestrator.Cryptography].[Decrypt], [Microsoft.SystemCenter.Orchestrator.Internal].[RethrowError] |
| Microsoft.SystemCenter. Orchestrator.Admins | SELECT, INSERT, UPDATE, DELETE, ALTER, CREATE TABLE | SCHEMA::dbo |
| Microsoft.SystemCenter. Orchestrator.Admins | REFERENCES | dbo.[OBJECTS] |
| Microsoft.SystemCenter. Orchestrator.Admins | SELECT | dbo.[POLICIES_VIEW], GRANT SELECT ON dbo.[POLICY_REQUEST_HISTORY] |
| Microsoft.SystemCenter. Orchestrator.Admins | CONTROL | [ORCHESTRATOR_ASYM_KEY], [ORCHESTRATOR_SYM_KEY] |
| Microsoft.SystemCenter. Orchestrator.Admins | EXECUTE | [Microsoft.SystemCenter.Orchestrator.Cryptography].[CreateOrchestratorKeys], [Microsoft.SystemCenter.Orchestrator.Cryptography].[DropOrchestratorKeys], [Microsoft.SystemCenter.Orchestrator.Cryptography].[Encrypt], [Microsoft.SystemCenter.Orchestrator.Cryptography].[Decrypt], [Microsoft.SystemCenter.Orchestrator.Internal].[RethrowError], dbo.sp_CustomLogCleanup, dbo.sp_GetLogEntriesForDelete_FilterByDays, dbo.sp_GetLogEntriesForDelete_FilterByEntries, dbo.sp_GetLogEntriesForDelete_FilterByEntriesAndDays, dbo.sp_insertevent, dbo.sp_PublishPolicy, dbo.sp_UnpublishPolicy, dbo.sp_UnpublishPolicyRequest, dbo.fn_GetPolicyInstanceStatus, dbo.fn_NumFailedInstancesPerServer, dbo.fn_NumInstancesPerServer, dbo.fn_NumRunningInstancesPerServer, [Microsoft.SystemCenter.Orchestrator.Internal].AddUserToRole, [Microsoft.SystemCenter.Orchestrator].[SetPermissions], [Microsoft.SystemCenter.Orchestrator.Internal].[SetProductInfo] |
Das Dienstprogramm zur Datenbankkonfiguration (DBSetup.exe) erfordert Berechtigungen als Benutzer auf dem Computer, auf dem der Management-Server installiert ist, und muss für den Zugriff auf die Datei "settings.dat" entweder Mitglied der Administrator- oder der Orchestrator-Benutzergruppe sein. Benutzerdefinierte Tools, mit denen über DBDataStore.dll direkt eine Verbindung zur Datenbank hergestellt werden kann, erfordern dieselben Berechtigungen.
.jpeg "System_CAPS_ICON_important.jpg"){kind=icon} Wichtig |
|---|
Achten Sie bei der Installation von Orchestrator darauf, dass das für die Verbindung mit SQL Server verwendete Konto über Mindestberechtigungen auf SQL Server verfügt, um mögliche Rechteerweiterungen zu vermeiden. |
Sichern von SQL Server-Verbindungen
Die SQL Server-Verbindungen in einer Standardbereitstellung von Orchestrator sind nicht sicher. Eine Ausnahme bildet das Speichern oder Abrufen sensibler Daten durch Orchestrator. In diesem Fall wird von Orchestrator eine sichere Verbindung mit SQL Server mit einem selbstsignierten Zertifikat erstellt. Dieses Zertifikat bietet keine hohe Sicherheit und ist anfällig für Man-in-the-Middle-Angriffe.
Informationen zum Verschlüsseln von Verbindungen zu SQL Server finden Sie unter Verschlüsseln von Verbindungen zu SQL Server. Informationen zum Aktivieren von Verbindungen mit dem Datenbankmodul finden Sie unter Vorgehensweise: Aktivieren von verschlüsselten Verbindungen zum Datenbankmodul (SQL Server-Konfigurations-Manager).
Verschlüsselungsschlüssel
Teil Ihrer Sicherheitsplanung muss der regelmäßige Wechsel der Verschlüsselungsschlüssel sein. Das National Institute of Standards and Technology (NSIT) empfiehlt, dass Schlüssel mindestens alle zwei Jahre gewechselt werden. Informationen zu den NSIT-Sicherheitsstandards finden Sie auf der Website von NSIT Computer Security Division Computer Security Resource Center.
So wechseln Sie Verschlüsselungsschlüssel
Exportieren Sie in Runbook Designer alle Runbooks, globalen Einstellungen, Variablen, Zeitpläne usw.
Sie sollten ein Kennwort für den Export angeben.
Während des Exports werden alle verschlüsselten Daten entschlüsselt und mit einem neuen aus dem Kennwort erstellten Schlüssel verschlüsselt.
Ändern Sie, wenn gewünscht, den SQL Server-Datenbankhauptschlüssel.
Von Orchestrator werden Daten sowohl mit dem SQL Server-Datenbankhauptschlüssel als auch mit dem Datenbankhauptschlüssel der Orchestration-Datenbank verschlüsselt.
Informationen zum Ändern der SQL Server-Datenbankhauptschlüssels finden Sie unter Verschlüsselungsschlüssel für SQL Server und Datenbank (Datenbankmodul).
Installieren Sie den Management-Server neu, und erstellen Sie eine neue Datenbank.
Informationen zum Installieren des Management-Servers finden Sie im Thema Installieren eines Management-Servers.
Stellen Sie keine Verbindung zur vorhandenen Datenbank her. Beim Erstellen einer neuen Datenbank wird ein neuer kryptografischer Schlüssel erzeugt.
Importieren Sie in Runbook Designer wieder die Runbooks und alle anderen von Ihnen exportierten Daten.
Geben Sie das für den Export verwendete Kennwort an. Die Daten in der Exportdatei werden mithilfe dieses Kennworts entschlüsselt und beim Import in die Datenbank mit dem neuen Orchestrator-Datenbankhauptschlüssel verschlüsselt.