Sécurité et confidentialité pour la gestion de contenu dans Configuration Manager
S'applique à: System Center 2012 Configuration Manager, System Center 2012 Configuration Manager SP1, System Center 2012 Configuration Manager SP2, System Center 2012 R2 Configuration Manager, System Center 2012 R2 Configuration Manager SP1
Notes
Cette rubrique s'affiche dans le guide Déploiement de logiciels et de systèmes d'exploitation dans System Center 2012 Configuration Manager et dans le guide Sécurité et confidentialité pour System Center 2012 Configuration Manager.
Cette rubrique contient des informations de sécurité et de confidentialité pour la gestion de contenu dans System Center 2012 Configuration Manager. Lisez-le conjointement aux rubriques suivantes :
Meilleures pratiques de sécurité pour la gestion de contenu
Utilisez les meilleures pratiques de sécurité suivantes pour la gestion de contenu :
Meilleure pratique de sécurité |
Plus d'informations |
|---|---|
Pour les points de distribution sur l'intranet, prenez en compte les avantages et les inconvénients de l'utilisation des protocoles HTTP et HTTPS |
Différences entre HTTP et HTTPS pour les points de distribution :
Dans la plupart des cas, utiliser le protocole HTTP et des comptes d'accès aux packages pour l'autorisation est plus sûr qu'utiliser le protocole HTTPS avec chiffrement mais sans autorisation. Toutefois, si des données sensibles se trouvent dans votre contenu que vous souhaitez chiffrer lors du transfert, utilisez le protocole HTTPS. |
Si vous utilisez un certificat d'authentification de client PKI plutôt qu'un certificat auto-signé pour le point de distribution, protégez le fichier de certificat (.pfx) avec un mot de passe fort. Si vous stockez le fichier sur le réseau, sécurisez le canal du réseau lorsque vous importez le fichier dans Configuration Manager. |
Lorsque vous avez besoin d'un mot de passe pour importer le certificat d'authentification du client que vous utilisez pour que le point de distribution communique avec des points de gestion, ceci vous permet de protéger le certificat contre les utilisateurs malveillants. Utilisez la signature SMB ou IPsec entre l'emplacement réseau et le serveur de site pour empêcher un intrus de falsifier le fichier de certificat. |
Supprimez le rôle de point de distribution du serveur de site. |
Par défaut, un point de distribution est installé sur le même serveur que le serveur de site. Les clients n'ont pas besoin de communiquer directement avec le serveur de site, ainsi, pour réduire la surface d'attaque, attribuez le rôle de point de distribution à d'autres systèmes de site et retirez-le du serveur de site. |
Sécurisez le contenu au niveau de l'accès aux packages. Notes Cette consigne ne s'applique pas aux points de distribution cloud de Configuration Manager SP1, qui ne prennent pas en charge les comptes d'accès aux packages. |
Le partage de point de distribution permet un accès en lecture à tous les utilisateurs. Pour restreindre les utilisateurs pouvant accéder au contenu, utilisez les comptes d'accès aux packages lorsque le point de distribution est configuré pour le protocole HTTP. Pour plus d'informations sur le compte d'accès au package, consultez la section Gérer les comptes d'accès au contenu des packages dans la rubrique Opérations et maintenance de la gestion de contenu dans Configuration Manager |
Si Configuration Manager installe IIS lorsque vous ajoutez un rôle de système de site du point de distribution, désactivez la redirection HTTP et les scripts et outils de gestion IIS lorsque l'installation du point de distribution est terminée. |
Le point de distribution ne nécessite pas la redirection HTTP ni les scripts et outils de gestion IIS. Pour réduire la surface d'attaque, supprimez ces services de rôle pour le rôle de serveur Web (IIS). Pour plus d'informations sur les services de rôle pour le rôle de serveur Web (IIS) pour les points de distribution, consultez la section Configuration requise pour le système de site dans la rubrique Configurations prises en charge pour Configuration Manager. |
Définir des autorisations d'accès aux packages lors de la création du package |
Comme les modifications apportées aux comptes d'accès sur les fichiers de package ne sont mises en place qu'une fois que le package a été redistribué, paramétrez les autorisations d'accès au package avec précaution lorsque vous créez le package pour la première fois. Ceci est particulièrement important dans les cas suivants :
|
Implémenter des contrôles d'accès pour protéger les supports qui contiennent le contenu préparé |
Le contenu préparé est compressé mais n'est pas chiffré. Une personne malveillante pourrait alors lire et modifier les fichiers qui sont téléchargés vers des appareils. Les clients Configuration Manager rejetteront le contenu qui a été modifié, mais ils le téléchargeront malgré tout. |
Importer du contenu préparé en n'utilisant que l'outil en ligne de commande ExtractContent (ExtractContent.exe) qui est fourni avec Configuration Manager et s'assurer que le contenu est signé par Microsoft |
Pour éviter toute falsification et une élévation de privilèges, n'utilisez que l'outil en ligne de commande fourni avec Configuration Manager. |
Sécuriser le canal de communication entre le serveur de site et l'emplacement source du package |
Utilisez une signature SMB ou IPsec entre le serveur de site et l'emplacement source du package lorsque vous créez des applications et des packages. Cela permet d'empêcher un individu mal intentionné de falsifier les fichiers sources. |
Si vous modifiez l'option de configuration du site pour utiliser un site Web personnalisé plutôt que le site Web par défaut après l'installation des rôles de point de distribution, supprimez les répertoires virtuels par défaut |
Lorsque vous utilisez un site Web personnalisé au lieu du site Web par défaut, Configuration Manager ne supprime pas les anciens répertoires virtuels. Supprimez les répertoires virtuels que Configuration Manager a créés à l'origine sous le site Web par défaut :
|
Pour les points de distribution cloud qui sont disponibles à partir de Configuration Manager SP1 : Protégez les détails relatifs à votre abonnement ainsi que vos certificats |
Lorsque vous utilisez des points de distribution cloud, protégez les éléments suivants, particulièrement importants :
Stockez les certificats en lieu sûr. Si vous y accédez via le réseau lors de la configuration du point de distribution cloud, utilisez une authentification IPsec ou SMB entre le serveur de système de site et l'emplacement source. |
Pour les points de distribution cloud qui sont disponibles à partir de Configuration Manager SP1 : Pour assurer la continuité du service, surveillez la date d'expiration des certificats |
Lorsque les certificats importés pour la gestion ou le service de point de distribution cloud sont sur le point d'expirer, Configuration Manager ne vous avertit pas. Vous devez donc surveiller les dates d'expiration indépendamment de Configuration Manager et penser à renouveler puis à importer le nouveau certificat avant la date d'expiration. Cette opération est particulièrement importante si vous faites l'acquisition d'un certificat de service de point de distribution cloud Configuration Manager auprès d'une autorité de certification externe, car l'obtention d'un certificat renouvelé peut prendre plus de temps. Notes En cas d'expiration d'un certificat, le Gestionnaire de services cloud génère l'ID de message d'état 9425. Une entrée contenant la date d'expiration exprimée au format UTC est alors ajoutée au fichier CloudMgr.log, pour indiquer que le certificat a expiré (is in expired state). |
Problèmes de sécurité pour la gestion de contenu
La gestion de contenu présente les problèmes de sécurité suivants :
Les clients ne valident pas le contenu jusqu'au téléchargement de celui-ci
Les clients Configuration Manager ne valident le hachage du contenu qu'après le téléchargement de celui-ci dans leur cache client. Si un individu mal intentionné falsifie la liste des fichiers à télécharger ou le contenu lui-même, le processus de téléchargement peut consommer une quantité importante de bande passante réseau pour que le client supprime ensuite le contenu lorsqu'il rencontre le hachage invalide.
Vous ne pouvez pas empêcher des utilisateurs ou des groupes d'accéder à du contenu hébergé par des points de distribution cloud
À partir de Configuration Manager SP1, lorsque vous utilisez des points de distribution cloud, l'accès au contenu est automatiquement limité à votre entreprise et vous ne pouvez pas le limiter de façon plus précise en sélectionnant des utilisateurs ou des groupes.
Un client bloqué peut continuer à télécharger du contenu auprès d'un point de distribution cloud pendant 8 heures maximum
À partir de Configuration Manager SP1, lorsque vous utilisez des points de distribution cloud, les clients sont authentifiés par le point de gestion, puis ils utilisent un jeton Configuration Manager pour accéder aux points de distribution cloud. Le jeton est valable pendant huit heures. Par conséquent, si vous bloquez un client parce qu'il n'est plus approuvé, il peut continuer à télécharger du contenu à partir d'un point de distribution cloud, jusqu'à la fin de la période de validité du jeton. À ce stade, le point de gestion n'émettra pas d'autre jeton pour le client, puisque celui-ci aura été bloqué.
Pour empêcher un client bloqué de télécharger du contenu pendant cette période de huit heures, vous pouvez arrêter le service cloud à partir du nœud Cloud, Configuration de la hiérarchie, dans l'espace de travail Administration de la console Configuration Manager. Pour plus d'informations, voir Gérer les services cloud de Configuration Manager.
Informations de confidentialité pour la gestion de contenu
Configuration Manager n'inclut pas de données utilisateur dans les fichiers de contenu, même si un utilisateur administratif peut choisir d'en ajouter.
Avant de configurer la gestion de contenu, pensez à vos besoins en matière de confidentialité.