Orchestrator-Sicherheitsszenarios

 

Veröffentlicht: März 2016

Gilt für: System Center 2012 SP1 - Orchestrator, System Center 2012 - Orchestrator, System Center 2012 R2 Orchestrator

Im Folgenden werden bewährte Verfahren für die sichere Verwendung von Orchestrator beschrieben. Diese Informationen werden in Form von Szenarios dargestellt. Die folgenden Szenarios sind verfügbar:

• Szenario: Sichere Umstellung von Entwicklungs- auf Test- und auf Produktionsumgebungen

• Szenario: Effektive Verwaltung der Mitgliedschaft bei Orchestrator-Benutzergruppen

Szenario: Sichere Umstellung von Entwicklungs- auf Test- und auf Produktionsumgebungen

Die in Runbooks enthaltenen Orchestrator-Kennwortdaten können von mehreren unterschiedlichen Instanzen von Orchestrator sicher gemeinsam verwendet werden. Es kann beispielsweise wünschenswert sein, in einer Entwicklungsumgebung erstellte Runbooks zu exportieren und in einer Testumgebung zu importieren oder getestete Runbooks in eine Produktionsumgebung zu importieren. Bei diesen Export- und Importprozessen müssen die verschlüsselten Daten in jeder Phase des Exports so abgesichert sein, dass die exportierten Daten in eine andere Orchestrator-Umgebung importiert werden können.

Dies wird mithilfe der Import/Export-Funktionalität in Runbook Designer erreicht. Die Export- und Importoptionen stehen über das Element Aktionen auf der Runbook Designer-Menüleiste oder über das Kontextmenü eines Runbookordners zur Verfügung. Die Exportfunktion steht auch über das Kontextmenü einer Runbookregisterkarte bereit, wobei hierbei meist vom „Export eines einzelnen Runbooks“ gesprochen wird.

Unabhängig von der Art und Weise, wie ein Runbook exportiert wird, werden die in den Runbooks enthaltenen verschlüsselten Daten sicher in der resultierenden XML-Exportdatei gespeichert. Dies wird durch die Vergabe eines Kennworts beim Export erreicht. Wenn von Orchestrator die Runbooks und die zugehörigen Konfigurationen exportiert werden, werden alle in Runbooks enthaltenen verschlüsselten Daten entschlüsselt und beim Export mithilfe des angegebenen Kennworts neu verschlüsselt.

Hinweis

Der für den Export verwendete Verschlüsselungsschlüssel ist nicht mit dem Schlüssel identisch, der zum Speichern der Daten in der Orchestrator-Datenbank verwendet wird. Im Grunde werden von der „Exportfunktion“ die verschlüsselten Daten entschlüsselt und in der Exportdatei erneut verschlüsselt. Die Exportdatei enthält das verschlüsselte Kennwort. Beim Exportprozess sind weder das Runbook selbst noch die in Runbooks enthaltenen nicht verschlüsselten Daten geschützt. Es werden nur die in Runbooks enthaltenen verschlüsselten Daten geschützt.

Wenn eine Exportdatei wieder importiert wird, muss ein Kennwort angegeben werden. Ist das Kennwort korrekt, werden die in der Exportdatei enthaltenen verschlüsselten Daten importiert und zum Speichern in der Orchestrator-Datenbank mithilfe des Verschlüsselungsschlüssels wieder verschlüsselt.

Hinweis

In Ihrem Unternehmen möglicherweise vorgeschriebene Komplexitätsregeln werden von der Funktion zum Exportieren/Importieren von Kennwörtern nicht unterstützt. Ein leerer Wert für das Kennwort ist zulässig, ist jedoch bei Exportdateien, die zuvor verschlüsselte vertrauliche Daten enthalten, nicht ratsam. Auch wenn das Kennwort für den Export verlorengegangen ist, können die Runbooks und die zugehörigen Konfigurationen importiert werden. Deaktivieren Sie dazu im Bildschirm Importieren einfach die Option Verschlüsselte Orchestrator-Daten importieren. Alle verschlüsselten Daten der Orchestrator-Plattform werden nicht importiert und werden in der Orchestrator-Datenbank mit leeren Werten erstellt.

Szenario: Effektive Verwaltung der Mitgliedschaft bei Orchestrator-Benutzergruppen

Für Orchestrator gibt es zwei Hauptbenutzerrollen: Runbookautoren und Runbookoperatoren. Diese Benutzerrollen haben unterschiedliche Rechte in Orchestrator. Runbookautoren sind Einzelpersonen, die über umfassende administrative Zugriffsrechte für Orchestrator verfügen, einschließlich der Datenbank und Konfiguration. Runbookautoren erteilen Runbookoperatoren Zugriffsrechte. Runbookoperatoren können basierend auf den ihnen von Runbookautoren gewährten Rechten auf die Orchestration-Konsole und den Webdienst zugreifen.

-Benutzerrolle	Festgelegt durch	Rechte
Runbookautor	Mitgliedschaft in Orchestrator-Benutzergruppe (siehe unten)	- Administratoren von Orchestrator - Lesen, Schreiben, Aktualisieren der Orchestrator-Konfiguration - Vollständige Kontrolle über die Orchestrator-Datenbank - Vollständige Rechte zum Verschlüsseln/Entschlüsseln - Zugriff auf Runbookaktivitäten, die über Integrationspakete mit externen Systemen interagieren können
Runbookoperator	Berechtigungen für Runbookordner, erteilt durch Runbookautoren in Runbook Designer	- Keine administrativen Rechte für Orchestrator - Zugriff auf die Orchestration-Konsole und den Webdienst - Anzeigen und Aufrufen von Runbooks auf Basis der von Runbookautoren gewährten Rechte - Kein Zugriff auf die Orchestrator-Datenbank - Keine Rechte zum Verschlüsseln/Entschlüsseln

Hinweis

Das Hinzufügen eines Benutzerkontos zur Orchestrator-Benutzergruppe kennzeichnet dieses Benutzerkonto als einen Administrator von Orchestrator. Alle Orchestrator-Benutzer sind Administratoren mit gleichen Rechten, die vollständigen Zugriff auf Orchestrator und die in der Datenbank enthaltenen Daten haben. Dazu zählt auch das Verschlüsseln und Entschlüsseln der in der Orchestrator-Datenbank enthaltenen Daten.

Die Verwaltung der Sicherheit in Orchestrator erfolgt über die Mitgliedschaft in zwei Sicherheitsgruppen, die bei der Installation erstellt werden. Dies sind die Orchestrator-Benutzergruppe und die Orchestrator-Systemgruppe. Die Mitgliedschaft in mindestens einer dieser beiden Gruppen kennzeichnet Konten als Administratoren von Orchestrator („vertrauenswürdige Personen“). Zu den Administratorrechten zählen die Fähigkeit zum Aktualisieren von Runbooks und deren zugehörigen Konfigurationsdaten, zum Aktualisieren der Konfiguration von Runbook-Servern, zur Interaktion mit externen Systemen über Integrationspakete, zur Installation und Bereitstellung von Integrationspaketen, zur programmgesteuerten Interaktion mit der Orchestrator-Datenbank, zum Aktualisieren der Datenbankkonfiguration und zum Verschlüsseln/Entschlüsseln von in der Orchestrator-Datenbank gespeicherten verschlüsselten Daten.

Hinweis
Durch die Mitgliedschaft in mindestens einer dieser beiden Gruppen wird vollständiger Administratorzugriff auf Orchestrator gewährt, einschließlich des Zugriffs auf alle Daten in der Orchestrator-Datenbank und des uneingeschränkten Rechts zum Verschlüsseln und Entschlüsseln.

Sicherheitsgruppe	Zugehörige Personen	Zweck der Sicherheitsgruppe
Orchestrator-Benutzergruppe	Runbookautoren und Personen, die Integrationspakete bereitstellen	Von dieser Sicherheitsgruppe werden die Benutzerkonten definiert, von denen Runbook Designer, Deployment Manager und das Datenspeicherkonfigurationstool gestartet werden können. Über die Mitgliedschaft in dieser Gruppe wird privilegierter Zugriff auf die Orchestrator-Datenbank gewährt. Dazu zählt die Möglichkeit zum Lesen und Aktualisieren der Datenbankkonfiguration sowie der Zugriff auf verschlüsselte Daten und deren Entschlüsselung.
Orchestrator-Systemgruppe	Keine (wird für Dienstkonten verwendet)	Von dieser Sicherheitsgruppe werden die Benutzerkonten definiert, die privilegierten Zugriff auf die Orchestrator-Datenbank benötigen. Dazu zählt die Möglichkeit zum Lesen und Aktualisieren der Datenbankkonfiguration sowie der Zugriff auf verschlüsselte Daten und deren Entschlüsselung.

Die folgenden Benutzerrollen gelten als vertrauenswürdige/nicht vertrauenswürdige Personas in Orchestrator.

Sicherheitsdomäne	Kontext	Kryptografierechte	Festgelegt durch	Vertrauenswürdige Persona
Laufzeit	Orchestrator-Dienste Alternative Anmeldeinformationen für „Runbook aufrufen“	Vollständige Verschlüsselung und Entschlüsselung	Orchestrator-Systemgruppe in Active Directory/Anmeldeinformationen für Runbookaktivität „Runbook aufrufen“	Ja
Entwurfszeit	Runbook-Designer Deployment Manager Datenspeicherkonfiguration	Vollständige Verschlüsselung und Entschlüsselung	Orchestrator-Benutzergruppe in Active Directory	Ja
Operator	Orchestration-Konsole Webdienst	Kein expliziter Zugriff auf verschlüsselte bzw. entschlüsselte Daten.	Über die Rolle „Runbookautor“ in Runbook Designer festgelegte Benutzerrechte	Nein
Datenbankadministrator	MS SQL Server 20008 R2	Vollständige Verschlüsselung und Entschlüsselung	Rechte für SQL Server als DBA mit Rechten für Orchestrator-Datenbank	Ja
Windows-Administrator	Windows Server 2008 R2	Es werden keine expliziten Berechtigungen erteilt, jedoch gelten Windows-Administratoren als vertrauenswürdige Personas.	Rechte für Windows	Ja