Segurança da Base de Dados Orchestration

 

Publicado: março de 2016

Aplica-se A: System Center 2012 SP1 - Orchestrator, System Center 2012 - Orchestrator, System Center 2012 R2 Orchestrator

As secções seguintes fornecem informações sobre como proteger a base de dados Orchestration no Orchestrator:

• Funções de base de dados

• Proteger as ligações ao SQL server

• Chaves de encriptação

Funções de base de dados

A segurança na base de dados Orchestration é implementada através de funções de base de dados nas versões suportadas do Microsoft SQL Server. A tabela abaixo lista as funções que são criadas na base de dados Orchestration e as permissões concedidas a cada uma. Estas funções são configuradas e preenchidas com os membros necessários durante o processo de instalação, pelo que, normalmente, não é necessário trabalhar diretamente com elas. As informações fornecidas aqui destinam-se a ajudar o administrador a compreender melhor a segurança subjacente à configuração e a preparar cenários personalizados possíveis.

Conta	Função de base de dados
Conta do Management Service	Microsoft.SystemCenter.Orchestrator.Admins
Membro do Grupo de Administradores do Orchestrator	Microsoft.SystemCenter.Orchestrator.Admins
Conta do Orchestrator Runbook Service	Microsoft.SystemCenter. Orchestrator.Runtime
Conta de Serviço do Orchestrator Runbook Server Monitor	Microsoft.SystemCenter. Orchestrator.Runtime
Conta de Utilizador do Serviço Web do Orchestrator	Microsoft.SystemCenter. Orchestrator.Operators

Função	Permissão	Objeto
Microsoft.SystemCenter. Orchestrator.Operators	SELECT	[Microsoft.SystemCenter.Orchestrator.Runtime].[Jobs], [Microsoft.SystemCenter.Orchestrator.Runtime].[RunbookInstances], [Microsoft.SystemCenter.Orchestrator.Runtime].[RunbookInstanceParameters], [Microsoft.SystemCenter.Orchestrator.Runtime].[RunbookServers], [Microsoft.SystemCenter.Orchestrator.Runtime].[ActivityInstances], [Microsoft.SystemCenter.Orchestrator.Runtime].[ActivityInstanceData], [Microsoft.SystemCenter.Orchestrator.Runtime].[Events], [Microsoft.SystemCenter.Orchestrator.Statistics].[Statistics]
Microsoft.SystemCenter. Orchestrator.Operators	EXECUTE	[Microsoft.SystemCenter.Orchestrator].[GetSecurityToken], [Microsoft.SystemCenter.Orchestrator].[AccessCheck], [Microsoft.SystemCenter.Orchestrator].[ComputeAuthorizationCache], [Microsoft.SystemCenter.Orchestrator.Statistics.Internal].[GetStatisticsSummary], [Microsoft.SystemCenter.Orchestrator.Runtime].[CreateJob], [Microsoft.SystemCenter.Orchestrator.Runtime].[CancelJob]
Microsoft.SystemCenter. Orchestrator.Runtime	SELECT	Todas as tabelas, dbo.[POLICIES_VIEW], dbo.[POLICY_REQUEST_HISTORY]
Microsoft.SystemCenter. Orchestrator.Runtime	INSERT	dbo.[OBJECT_AUDIT]
Microsoft.SystemCenter. Orchestrator.Runtime	INSERT, UPDATE	dbo.[OBJECTS], dbo.[ACTIONSERVERS], dbo.[POLICYINSTANCES], dbo.[OBJECTINSTANCES], dbo.[OBJECTINSTANCEDATA]
Microsoft.SystemCenter. Orchestrator.Runtime	INSERT, DELETE	dbo.[COUNTERINSTANCES], dbo.[POLICYRETURNDATA]
Microsoft.SystemCenter. Orchestrator.Runtime	UPDATE	dbo.[POLICY_PUBLISH_QUEUE]
Microsoft.SystemCenter. Orchestrator.Runtime	CONTROL	[ORCHESTRATOR_ASYM_KEY], [ORCHESTRATOR_SYM_KEY]
Microsoft.SystemCenter. Orchestrator.Runtime	EXECUTE	dbo.sp_insertevent, dbo.sp_PublishPolicy, dbo.sp_UnpublishPolicy, dbo.sp_UnpublishPolicyRequest, dbo.fn_GetPolicyInstanceStatus, dbo.fn_NumFailedInstancesPerServer, dbo.fn_NumInstancesPerServer, dbo.fn_NumRunningInstancesPerServer, [Microsoft.SystemCenter.Orchestrator.Cryptography].[Encrypt], [Microsoft.SystemCenter.Orchestrator.Cryptography].[Decrypt], [Microsoft.SystemCenter.Orchestrator.Internal].[RethrowError]
Microsoft.SystemCenter. Orchestrator.Admins	SELECT, INSERT, UPDATE, DELETE, ALTER, CREATE TABLE	SCHEMA::dbo
Microsoft.SystemCenter. Orchestrator.Admins	REFERENCES	dbo.[OBJECTS]
Microsoft.SystemCenter. Orchestrator.Admins	SELECT	dbo.[POLICIES_VIEW], GRANT SELECT ON dbo.[POLICY_REQUEST_HISTORY]
Microsoft.SystemCenter. Orchestrator.Admins	CONTROL	[ORCHESTRATOR_ASYM_KEY], [ORCHESTRATOR_SYM_KEY]
Microsoft.SystemCenter. Orchestrator.Admins	EXECUTE	[Microsoft.SystemCenter.Orchestrator.Cryptography].[CreateOrchestratorKeys], [Microsoft.SystemCenter.Orchestrator.Cryptography].[DropOrchestratorKeys], [Microsoft.SystemCenter.Orchestrator.Cryptography].[Encrypt], [Microsoft.SystemCenter.Orchestrator.Cryptography].[Decrypt], [Microsoft.SystemCenter.Orchestrator.Internal].[RethrowError], dbo.sp_CustomLogCleanup, dbo.sp_GetLogEntriesForDelete_FilterByDays, dbo.sp_GetLogEntriesForDelete_FilterByEntries, dbo.sp_GetLogEntriesForDelete_FilterByEntriesAndDays, dbo.sp_insertevent, dbo.sp_PublishPolicy, dbo.sp_UnpublishPolicy, dbo.sp_UnpublishPolicyRequest, dbo.fn_GetPolicyInstanceStatus, dbo.fn_NumFailedInstancesPerServer, dbo.fn_NumInstancesPerServer, dbo.fn_NumRunningInstancesPerServer, [Microsoft.SystemCenter.Orchestrator.Internal].AddUserToRole, [Microsoft.SystemCenter.Orchestrator].[SetPermissions], [Microsoft.SystemCenter.Orchestrator.Internal].[SetProductInfo]

O Utilitário Configuração da Base de Dados (DBSetup.exe) necessita de permissões como utilizador no computador onde o servidor de Management está instalado e membro do Grupo de Administradores ou de Utilizadores do Orchestrator para aceder ao ficheiro settings.dat. As ferramentas personalizadas que se ligam diretamente à base de dados através de DBDataStore.dll necessitam das mesmas permissões.

Importante
Ao instalar o Orchestrator, certifique-se de que a conta utilizada para estabelecer a ligação ao SQL server tem privilégios mínimos no SQL server para evitar um aumento potencial dos privilégios.

Proteger as ligações ao SQL server

As ligações ao SQL server numa implementação predefinida do Orchestrator não são seguras. A exceção é quando o Orchestrator armazena ou obtém dados confidenciais. Neste caso, o Orchestrator cria uma ligação segura ao SQL server com um certificado auto-assinado. Este certificado não fornece uma segurança forte e é suscetível a ataques de intermediários.

Para obter informações sobre a encriptação de ligações ao SQL Server, vá para Encrypting Connections to SQL Server (configuring SSL) (Encriptar Ligações ao SQL Server (configurar SSL)). Para obter informações sobre como ativar ligações ao motor de base de dados, vá para Como: Enable Encrypted Connections to the Database Engine (SQL Server Configuration Manager) (Ativar Ligações Encriptadas para o Motor de Base de Dados (Gestor de Configuração do SQL Server)).

Chaves de encriptação

Como parte do planeamento de segurança, deverá planear a rotação das chaves de encriptação em intervalos regulares. O National Institute of Standards and Technology (NSIT) recomenda a rotação das chaves pelo menos uma vez de dois em dois anos. Para obter mais informações sobre as normas de segurança do NSIT, vá para NSIT Computer Security Division Computer Security Resource Center (Divisão de Segurança Informática / Centro de Recursos de Segurança Informática do NSIT).

Para rodar chaves de encriptação

1. A partir do Runbook Designer, exporte todos os runbooks, as definições globais, variáveis, agendas, etc.

   Deve fornecer uma palavra-passe para a exportação.

   Durante a exportação, todos os dados encriptados são desencriptados e encriptados novamente com uma nova chave criada pela palavra-passe.

2. Se desejar, altere a chave da Base de Dados Mestra do SQL Server.

   O Orchestrator encripta os dados utilizando a chave da Base de Dados Mestra do SQL Server e a chave da base de dados mestra da base de dados Orchestration.

   Para obter mais informações sobre como alterar a chave da Base de Dados Mestra do SQL Server, vá para SQL Server and Database Encryption Keys (Database Engine) (Chaves de Encriptação do SQL Server e de Bases de Dados (Motor de Base de Dados)).

3. Reinstale o servidor de Management e crie uma nova base de dados.

   Para obter informações sobre como instalar o servidor de Management, consulte o tópico Como Instalar um Management Server.

   Não estabelecer ligação à base de dados existente. É gerada uma nova chave criptográfica quando é criada uma nova base de dados.

4. A partir do Runbook Designer, volte a importar os runbooks e quaisquer outros dados que tenha exportado.

   Forneça a palavra-passe utilizada para a exportação. Os dados que se encontram no ficheiro de exportação são desencriptados utilizando a palavra-passe e encriptados à medida que são importados para a base de dados utilizando a nova chave de base de dados mestra do Orchestrator.