Scénarios de sécurité Orchestrator

 

Date de publication : mars 2016

S’applique à : System Center 2012 SP1 - Orchestrator, System Center 2012 - Orchestrator, System Center 2012 R2 Orchestrator

Les informations suivantes constituent des recommandations pour une utilisation sécurisée d'Orchestrator. Ces informations sont fournies sous forme de scénarios. Les scénarios suivants sont disponibles :

• Scénario : Transition en toute sécurité entre le développement et un environnement de test, puis un environnement de production

• Scénario : Gestion efficace de l'appartenance au groupe d'utilisateurs d'Orchestrator

Scénario : Transition en toute sécurité entre le développement et un environnement de test, puis un environnement de production

Les données de mot de passe Orchestrator contenues dans les Runbook peuvent être partagées en toute sécurité entre différentes instances d'Orchestrator. Par exemple, vous pouvez souhaiter exporter des Runbook construits dans un environnement de développement et les importer dans un environnement de test ou exporter des Runbook testés dans un environnement de production. Ce processus d'exportation et d'importation doit sécuriser les données chiffrées à chaque étape de l'exportation, de sorte que les données exportées puissent être importées dans un autre environnement Orchestrator.

Pour cela, faites appel à la fonctionnalité d'importation/exportation disponible dans Runbook Designer. Les fonctionnalités d'exportation et d'importation sont disponibles grâce à l'option Actions de la barre de menus Runbook Designer ou en cliquant avec le bouton droit sur un dossier de Runbook. La fonctionnalité d'exportation est également disponible en cliquant avec le bouton droit sur un onglet de Runbook, une fonctionnalité généralement appelée « exportation d'un Runbook unique ».

Quelle que soit la méthode d'exportation d'un Runbook, les données chiffrées qu'il contient sont stockées en toute sécurité dans le fichier d'exportation XML. Pour cela, vous devez fournir un mot de passe lors de l'exportation. Lorsqu'Orchestrator exporte les Runbook et leur configuration associée, les données chiffrées contenues dans les Runbook sont déchiffrées, puis chiffrées à nouveau au moment de l'exportation à l'aide du mot de passe fourni.

Notes

1. La clé de chiffrement utilisée pour l'exportation est différente de celle utilisée pour stocker les données contenues dans la base de données Orchestrator. Principalement, la fonctionnalité d'exportation déchiffre les données chiffrées et les chiffre à nouveau dans le fichier d'exportation. Le fichier d'exportation contient le mot de passe chiffré.
2. Le processus d'exportation ne protège pas le Runbook ni les données non chiffrées qu'il contient. L'exportation protège uniquement les données chiffrées contenues dans les Runbook.

Lorsqu'un fichier d'exportation est réimporté, l'importation demande la saisie d'un mot de passe. Si le mot de passe correspond, les données chiffrées contenues dans l'exportation sont importées puis chiffrées à nouveau pour être stockées dans la base de données Orchestrator à l'aide de la clé de chiffrement.

Notes

1. La fonctionnalité de mot de passe d'exportation/importation ne prend pas en charge les règles de complexité de mot de passe pouvant être mises en place par votre organisation. Une valeur vide est autorisée pour le mot de passe, même si elle n'est pas recommandée pour les exportations qui contiennent des données sensibles qui ont été chiffrées.
2. En cas de perte du mot de passe pour l'exportation, il reste possible d'effectuer une importation des Runbook et de leur configuration associée. Dans l'écran d'importation, il suffit de désactiver l'option Importer les données chiffrées Orchestrator. Les données chiffrées par la plate-forme Orchestrator ne seront pas importées ni créées avec des valeurs vides dans la base de données Orchestrator.

Scénario : Gestion efficace de l'appartenance au groupe d'utilisateurs d'Orchestrator

Orchestrator a deux rôles d'utilisateur principaux : les auteurs et les opérateurs de Runbook. Ces rôles d'utilisateur ont des droits différents dans Orchestrator. Les auteurs de Runbook sont des personnes disposant d'un accès administratif riche à Orchestrator, y compris sa base de données et sa configuration. Les auteurs de Runbook accordent l'accès aux opérateurs de Runbook. Les opérateurs de Runbook ont accès à la Console Orchestration et au service Web conformément aux droits accordés par les auteurs de Runbook.

Rôle d'utilisateur	Identifié par	Droits
Auteur de Runbook	Appartenance au groupe d'utilisateurs Orchestrator (voir ci-après)	- Administrateurs d'Orchestrator - Lecture, écriture, mise à jour de la configuration d'Orchestrator - Contrôle total de la base de données Orchestrator - Droits complets de chiffrement/déchiffrement - Accès aux activités de Runbook pouvant interagir avec des systèmes externes via des packs d'intégration
Opérateur de Runbook	Autorisations sur les dossiers de Runbook accordées par les auteurs de Runbook dans Runbook Designer	- Droits non administratifs sur Orchestrator - Accès à la Console Orchestration et au service Web - Affichage et appel de Runbook conformément aux droits accordés par les auteurs de Runbook - Aucun accès à la base de données Orchestrator - Aucun droit de chiffrement/déchiffrement

Notes

Le fait de placer un compte d'utilisateur dans le groupe d'utilisateurs Orchestrator identifie ce compte d'utilisateur comme étant un administrateur d'Orchestrator. Tous les utilisateurs d'Orchestrator sont essentiellement des administrateurs disposant des mêmes droits avec un accès complet à Orchestrator et aux données contenues dans la base de données. Cela inclut l'accès pour chiffrer et déchiffrer les données contenues dans la base de données Orchestrator.

Orchestrator gère la sécurité via l'appartenance à deux groupes de sécurité créés au moment de l'installation. Il s'agit du groupe d'utilisateurs Orchestrator et du groupe système Orchestrator. L'appartenance à l'un de ces groupes, ou aux deux, identifie les comptes qui sont considérés comme des administrateurs d'Orchestrator (« personnes approuvées »). Les droits d'administration incluent la possibilité de mettre à jour les Runbook et les données de configuration associées, de mettre à jour la configuration de serveurs Runbook, d'interagir avec des systèmes extérieurs via des packs d'intégration, d'installer et de déployer des packs d'intégration, d'interagir par programme avec la base de données Orchestrator, de mettre à jour la configuration de la base de données et de chiffrer/déchiffrer les données chiffrées stockées dans la base de données Orchestrator.

Notes

L'appartenance à l'un de ces groupes, ou aux deux, accorde un accès administratif complet à Orchestrator y compris l'accès à toutes les données contenues dans la base de données Orchestrator et les droits complets de chiffrement/déchiffrement.

Groupe de sécurité	Personne associée	Objectif du groupe de sécurité
Groupe d'utilisateurs Orchestrator	Les auteurs de Runbook et toute personne qui déploie des packs d'intégration	Ce groupe de sécurité définit les comptes d'utilisateurs qui pourront lancer Runbook Designer, Deployment Manager et l'utilitaire Configuration du magasin de données. L'appartenance à ce groupe accorde un accès privilégié à la base de données Orchestrator. Cela inclut la possibilité de lire et de mettre à jour la configuration de la base de données ainsi que l'accès aux données chiffrées et leur déchiffrement.
Groupe de système Orchestrator	Aucun (utilisé pour les comptes de service)	Ce groupe de sécurité définit les comptes de service nécessitant un accès privilégié à la base de données Orchestrator. Cela inclut la possibilité de lire et de mettre à jour la configuration de la base de données ainsi que l'accès aux données chiffrées et leur déchiffrement.

Les rôles d'utilisateur suivants sont considérés comme des personnes approuvées/non approuvées dans Orchestrator.

Domaine de sécurité	Contexte	Droits de chiffrement	Identifié par	Personne approuvée
Au moment de l'exécution	Services Orchestrator Autres informations d'identification « Appeler Runbook »	Chiffrement et déchiffrement complets	Groupe de systèmes Orchestrator dans Active Directory / Informations d'identification dans l'activité de Runbook « Appeler Runbook »	Oui
Au moment de la conception	Concepteur de journal d'exécution Deployment Manager Configuration du magasin de données	Chiffrement et déchiffrement complets	Groupe d'utilisateurs Orchestrator dans Active Directory	Oui
Opérateur	Console Orchestration Service Web	Aucun accès explicite aux données chiffrées ou déchiffrées.	Droits d'utilisateur définis dans Runbook Designer par le rôle d'auteur de Runbook	Non
Administrateur de base de données	MS SQL Server 2008 R2	Chiffrement et déchiffrement complets	Droits dans SQL Server en tant qu'administrateur de base de données disposant de droits sur la base de données Orchestrator	Oui
Administrateur de Windows	Windows Server 2008 R2	Aucun droit explicite n'est accordé, toutefois les administrateurs de Windows sont considérés comme des personnes approuvées.	Droits pour Windows	Oui