Encriptação de Dados do Orchestrator
Publicado: março de 2016
Aplica-se A: System Center 2012 SP1 - Orchestrator, System Center 2012 - Orchestrator, System Center 2012 R2 Orchestrator
As secções seguintes fornecem informações sobre a encriptação de dados no Orchestrator:
Que dados são encriptados e desencriptados no Orchestrator?
Como são geridos os dados encriptados no Orchestrator?
Como podem ser movidos dados encriptados entre instâncias do Orchestrator?
Procedimentos recomendados para variáveis encriptadas
Introduzidas no System Center 2012, as variáveis encriptadas no Orchestrator permitem utilizar variáveis de forma mais segura para fornecer dados sensíveis a atividades do runbook. As variáveis encriptadas são utilizadas exatamente como variáveis globais padrão, ou seja, através de uma subscrição. Se subscrever estas variáveis em campos de atividade que sejam publicados novamente, o conteúdo das variáveis pode ser exposto no barramento de dados. Por este motivo, as variáveis encriptadas devem ser subscritas apenas em campos que não sejam publicados novamente. Este procedimento recomendado não é imposto pelo Orchestrator, mas deve fazer parte do processo de planeamento.
No entanto, se for necessário publicar dados encriptados no barramento de dados para os enviar para outro sistema (por exemplo, um produto que seja executado num servidor diferente), deve garantir que o canal até esse produto é seguro. Por exemplo, o BMC Remedy suporta um modo seguro de ligação e os produtos com interfaces Web permitem, normalmente, a utilização de uma ligação SSL (Secure Sockets Layer) (utilizando o protocolo HTTPS).
Que dados são encriptados e desencriptados no Orchestrator?
O Orchestrator fornece um conjunto de códigos de serviços de encriptação e desencriptação que são utilizados para gerar dados encriptados pela plataforma do Orchestrator. Estes serviços são utilizados para proteger dados sinalizados para encriptação na base de dados do Orchestrator bem como para desencriptar os dados em texto simples para que possam ser utilizados como parte de um runbook. Estes serviços de encriptação principais são geridos pela base de dados e pelo servidor de Management do Orchestrator. Os direitos a estes serviços são concedidos através da associação ao grupo de Utilizadores do Orchestrator ou ao grupo de Sistema do Orchestrator.
Nota
Os runbooks do Orchestrator poderão conter dados encriptados por um serviço de encriptação externo e utilizados como dados Publicados de runbook. O Orchestrator não processaria de forma diferente os dados desse sistema externo do que faria com qualquer outro conjunto de dados.
O Orchestrator utiliza encriptação nas seguintes áreas de funcionalidade do produto:
| Área de funcionalidade | Descrição |
|---|---|
| Atividades do runbook | Qualquer propriedade mascarada quando o campo é introduzido, é uma propriedade de encriptação. Isto inclui palavras-passe no separador Credenciais de Segurança, mas pode incluir também outras propriedades. |
| Menu Opções | O menu Opções é utilizado para armazenar credenciais e outras informações utilizadas para configurar pacotes de integração. As propriedades de definições de ligação podem conter propriedades encriptadas. |
| Variáveis | As variáveis com a caixa de verificação Variável Encriptada selecionada serão encriptadas. |
Nota
As variáveis encriptadas destinam-se a serem utilizadas através de uma subscrição em propriedades que necessitam de um valor encriptado, tal como uma palavra-passe numa atividade de runbook. Se uma variável encriptada estiver subscrita num campo não encriptado, será fornecido o valor encriptado. O valor de texto simples só está disponível quando utilizado numa propriedade encriptada.
Como são geridos os dados encriptados no Orchestrator?
O Orchestrator tem um serviço de criptografia principal cuja estrutura se baseia em AES utilizando a encriptação a nível de células do SQL Server. Como tal, todas as tarefas de encriptação e desencriptação são efetuadas de forma centralizada pelo SQL Server. As chaves de encriptação são geridas centralmente pelo SQL Server. A Chave Mestra do Serviço do SQL Server e a Chave Mestra da Base de Dados do Orchestrator são necessárias para encriptar e desencriptar dados.
O Orchestrator utiliza a criptografia nas experiências de Tempo de Execução e de Tempo de Criação. Os autores de runbooks interagem com atividades do runbook no Runbook Designer e, frequentemente, estas atividades irão interagir com sistemas externos para "detetar" grelhas de propriedades, valores de lista e outras propriedades. Da mesma forma, quando um runbook é testado no Runbook Tester, os dados encriptados fornecidos nos campos protegidos têm de ser desencriptados para que possam ser transmitidos ao sistema de destino. Por fim, os Runbook Servers têm de conseguir desencriptar dados encriptados para permitir que os runbooks interajam com sistemas externos. Assim, os serviços criptográficos de base de dados têm de ser acedidos a partir dos Runbook Servers, do Runbook Designer e do Runbook Tester.
Uma vez que os serviços criptográficos principais residem na base de dados do Orchestrator, o acesso à base de dados define essencialmente o acesso aos dados não encriptados.
Os servidores Runbook acedem diretamente à base de dados. Como tal, acedem diretamente aos serviços de criptografia fornecidos pelo SQL Server. O acesso de Tempo de Execução aos serviços de criptografia fornecidos pelo SQL Server está limitado a membros do Grupo de Sistema do Orchestrator.
Os Runbook Designers e o Runbook Tester acedem indiretamente à base de dados através do servidor de Management. O servidor de Management oferece um novo serviço que processa pedidos de encriptação/desencriptação do Runbook Designer e do Runbook Tester. O servidor de Management atravessa o contexto de segurança do autor do runbook e estas credenciais são utilizadas para aceder aos serviços de criptografia. O acesso de Tempo de Criação aos serviços de criptografia fornecidos pelo SQL Server está limitado a membros do Grupo de Utilizadores do Orchestrator.
O acesso aos dados encriptados do Orchestrator é gerido pelo grupo de Utilizadores do Orchestrator e pelo grupo de Sistema do Orchestrator. Os membros destes dois grupos de segurança têm um acesso administrativo abundante ao Orchestrator, incluindo direitos de acesso a serviços criptográficos principais, bem como a dados desencriptados armazenados encriptados na base de dados.
Como podem ser movidos dados encriptados entre instâncias do Orchestrator?
Quando a base de dados do Orchestrator é instalada, é criada uma chave mestra de encriptação da base de dados. Esta chave mestra da base de dados é utilizada em conjunto com a chave mestra do SQL Server para encriptar e desencriptar dados armazenados na base de dados do Orchestrator. Isto significa que os dados encriptados são essencialmente "codificados" para a instância do SQL Server 2008 R2 onde os dados foram encriptados. Por exemplo, não é possível "copiar" uma cadeia encriptada de uma coluna de uma instância do SQL Server 2008 R2 e "colar" o valor noutra instância de uma base de dados do Orchestrator e desencriptar os dados, exceto se a chave mestra da base de dados e a chave mestra do servidor corresponderem à do sistema em que os dados foram encriptados.
Assim, mover dados encriptados entre instâncias do Orchestrator requer um de dois cenários:
A chave mestra do serviço do SQL Server e a chave mestra da base de dados do Orchestrator são idênticas às chaves do sistema em que os dados foram originalmente encriptados.
Exporte os runbooks e os dados encriptados associados e importe-os para o novo sistema.
Essencialmente, a funcionalidade Exportar cria um ficheiro de exportação cujos dados foram encriptados com uma palavra-passe fornecida pelo utilizador durante a exportação. Este ficheiro de exportação contém dados encriptados que podem ser desencriptados fornecendo a mesma palavra-passe durante a importação. Os dados serão encriptados e armazenados na base de dados utilizando as chaves de encriptação para a nova base de dados.