Scenariusze dotyczące zabezpieczeń programu Orchestrator

 

Data opublikowania: marzec 2016

Dotyczy: System Center 2012 SP1 - Orchestrator, System Center 2012 - Orchestrator, System Center 2012 R2 Orchestrator

Poniżej przedstawiono najlepsze rozwiązania zapewniające bezpieczne używanie programu Orchestrator. Informacje przedstawiono w postaci scenariuszy. Dostępne są następujące scenariusze:

• Scenariusz: Bezpieczne przenoszenie ze środowiska deweloperskiego do testowego i produkcyjnego

• Scenariusz: Efektywne zarządzanie członkostwem w grupach użytkowników programu Orchestrator

Scenariusz: Bezpieczne przenoszenie ze środowiska deweloperskiego do testowego i produkcyjnego

Dane haseł programu Orchestrator znajdujące się w elementach Runbook można bezpiecznie wymieniać między różnymi wystąpieniami programu Orchestrator. Na przykład użytkownik może chcieć wyeksportować elementy Runbook utworzone w środowisku deweloperskim i zaimportować je do środowiska testowego lub wyeksportować przetestowane elementy Runbook do środowiska produkcyjnego. Ten proces eksportu i importu musi zapewniać bezpieczeństwo zaszyfrowanych danych w każdej fazie eksportu w sposób umożliwiający zaimportowanie wyeksportowanych danych do innego środowiska programu Orchestrator.

Służy do tego funkcja Importuj/eksportuj dostępna w programie Runbook Designer. Funkcje eksportu i importu są dostępne pod pozycją Akcje na pasku menu programu Runbook Designer oraz po kliknięciu prawym przyciskiem myszy folderu elementów Runbook. Funkcja eksportu jest dostępna również przez kliknięcie prawym przyciskiem myszy karty elementu Runbook, co jest nazywane „eksportem pojedynczego elementu Runbook”.

Bez względu na sposób eksportowania elementu Runbook zaszyfrowane dane znajdujące się w elementach Runbook będą zapisane bezpiecznie w powstałym pliku eksportu XML. Bezpieczeństwo jest zapewniane przez hasło podawane podczas eksportowania. Podczas eksportowania z programu Orchestrator elementów Runbook i związanej z nimi konfiguracji wszystkie zaszyfrowane dane znajdujące się w elementach Runbook są odszyfrowywane, a następnie w momencie eksportu są one ponownie szyfrowane przy użyciu podanego hasła.

Uwaga

1. Klucz szyfrowania używany do eksportu jest inny niż klucz używany do przechowywania danych w bazie danych programu Orchestrator. Krótko mówiąc, funkcja „eksport” odszyfrowuje zaszyfrowane dane i ponownie je szyfruje w pliku eksportu. Plik eksportu zawiera zaszyfrowane hasło.
2. W procesie eksportu nie jest chroniony sam element Runbook ani niezaszyfrowane dane znajdujące się w elementach Runbook. Eksport chroni tylko zaszyfrowane dane znajdujące się w elementach Runbook.

Podczas importowania wyeksportowanego pliku konieczne jest podanie hasła. Jeśli hasło jest zgodne, zaszyfrowane dane znajdujące się w pliku eksportu zostaną zaimportowane i zapisane w bazie danych programu Orchestrator po ich ponownym zaszyfrowaniu przy użyciu klucza.

Uwaga

1. Funkcja haseł importu/eksportu nie obsługuje reguł złożoności haseł, które mogą być wymagane w organizacji. Dozwolone jest użycie pustego hasła, jednak nie jest to zalecane w przypadku eksportu poufnych danych, które zostały zaszyfrowane.
2. W przypadku utraty hasła możliwe jest zaimportowanie elementów Runbook i związanej z nimi konfiguracji. Aby to zrobić, należy na ekranie Importuj usunąć zaznaczenie opcji Importuj zaszyfrowane dane programu Orchestrator. W takim przypadku wszystkie dane zaszyfrowane na poziomie platformy programu Orchestrator nie zostaną zaimportowane i zostaną utworzone w bazie danych programu Orchestrator z pustymi wartościami.

Scenariusz: Efektywne zarządzanie członkostwem w grupach użytkowników programu Orchestrator

Program Orchestrator ma dwie główne role użytkowników: Autorzy i Operatorzy elementów Runbook. Te role użytkowników mają różne prawa w programie Orchestrator. Autorzy elementów Runbook mają rozległy dostęp administracyjny do programu Orchestrator, w tym do jego bazy danych i konfiguracji. Autorzy elementów Runbook przyznają dostęp Operatorom elementów Runbook. Operatorzy elementów Runbook mają dostęp do Konsoli i usługi sieci Web Orchestration zależny od praw przyznanych im przez Autorów elementów Runbook.

Rola użytkownika	Identyfikacja na podstawie	Prawa
Autor elementów Runbook	Członkostwo w grupie użytkowników programu Orchestrator (zobacz niżej)	- Administratorzy programu Orchestrator - Odczyt, zapis, modyfikacja konfiguracji programu Orchestrator - Pełna kontrola nad bazą danych programu Orchestrator - Pełne prawa do szyfrowania/odszyfrowywania - Dostęp do działań elementów Runbook, które mogą kontaktować się z zewnętrznymi systemami za pośrednictwem pakietów integracyjnych
Operator elementów Runbook	Uprawnienia do folderów elementów Runbook przyznane przez Autorów elementów Runbook w programie Runbook Designer	- Nieadministracyjne prawa w programie Orchestrator - Dostęp do Konsoli i usługi sieci Web Orchestration - Wyświetlanie i wywoływanie elementów Runbook według praw przyznanych przez Autorów elementów Runbook - Brak dostępu do bazy danych programu Orchestrator - Brak praw do szyfrowania/odszyfrowywania

Uwaga

Umieszczenie konta użytkownika w grupie Użytkownicy programu Orchestrator powoduje, że konto otrzymuje uprawnienia administratora programu Orchestrator. Wszyscy użytkownicy programu Orchestrator to po prostu administratorzy o jednakowych uprawnieniach, mający pełny dostęp do programu Orchestrator i danych znajdujących się w bazie danych. Obejmuje to również możliwość szyfrowania i odszyfrowywania danych w bazie programu Orchestrator.

W programie Orchestrator do zarządzania zabezpieczeniami służą dwie grupy zabezpieczeń tworzone w czasie instalacji. Są to grupy Użytkownicy programu Orchestrator i grupa systemowa Orchestrator. Członkostwo w co najmniej jednej z nich wskazuje, że konto uznawane jest za administratora programu Orchestrator („osoby zaufane”). Prawa administracyjne obejmują możliwość aktualizowania elementów Runbook i związanych z nimi danych konfiguracji, aktualizowania konfiguracji serwerów elementów Runbook, interakcji z systemami zewnętrznymi za pośrednictwem pakietów integracyjnych, instalowania i wdrażania pakietów integracyjnych, interakcji programowej z bazą danych programu Orchestrator, aktualizowania konfiguracji bazy danych oraz szyfrowania/odszyfrowywania danych przechowywanych w bazie danych programu Orchestrator.

Uwaga

Członkostwo w co najmniej jednej z tych grup pociąga za sobą przyznanie pełnego dostępu administracyjnego do programu Orchestrator, w tym dostępu do wszystkich danych znajdujących się w bazie danych programu Orchestrator i pełnych praw do szyfrowania/odszyfrowywania.

Grupa zabezpieczeń	Powiązana osoba	Przeznaczenie grupy zabezpieczeń
Grupa użytkowników programu Orchestrator	Autorzy elementów Runbook i wszystkie osoby wdrażające pakiety integracyjne	Ta grupa zabezpieczeń określa konta użytkowników, którzy będą mogli uruchamiać programy Runbook Designer, Deployment Manager i narzędzie Konfiguracja magazynu danych. Członkostwo w tej grupie daje uprzywilejowany dostęp do bazy danych programu Orchestrator. Obejmuje to możliwość odczytywania i modyfikowania konfiguracji bazy danych oraz dostęp do zaszyfrowanych danych wraz z możliwością ich odszyfrowywania.
Grupa systemowa Orchestrator	Brak (używana dla kont usług)	Ta grupa zabezpieczeń określa konta usług, które wymagają uprzywilejowanego dostępu do bazy danych programu Orchestrator. Obejmuje to możliwość odczytywania i modyfikowania konfiguracji bazy danych oraz dostęp do zaszyfrowanych danych wraz z możliwością ich odszyfrowywania.

Następujące role użytkowników są uważane za osoby zaufane/niezaufane w programie Orchestrator.

Domena zabezpieczeń	Kontekst	Prawa dotyczące kryptografii	Identyfikacja na podstawie	Zaufana osoba
Podczas wykonywania	Usługi programu Orchestrator Alternatywne poświadczenia funkcji „Wywołaj element Runbook”	Pełne do zaszyfrowywania/odszyfrowywania	Grupa systemowa Orchestrator w usłudze Active Directory / Poświadczenia w działaniu elementów Runbook „Wywołaj element Runbook”	Tak
Podczas projektowania	Runbook Designer Deployment Manager Konfiguracja magazynu danych	Pełne do zaszyfrowywania/odszyfrowywania	Grupa użytkowników programu Orchestrator w usłudze Active Directory	Tak
Operator	Konsola Orchestration Usługa sieci Web	Brak bezpośredniego dostępu do zaszyfrowanych lub odszyfrowanych danych.	Prawa użytkownika określone w programie Runbook Designer przez rolę Autor elementów Runbook	Nie
Administrator bazy danych	MS SQL Server 20008 R2	Pełne do zaszyfrowywania/odszyfrowywania	Prawa w programie SQL Server jako administrator bazy danych z prawami do bazy danych programu Orchestrator	Tak
Administrator systemu Windows	Windows Server 2008 R2	Nie są przyznawane żadne bezpośrednie prawa, ale administratorzy systemu Windows są uznawani za osoby zaufane.	Prawa do systemu Windows	Tak