Поделиться через

  • Статья

Безопасность и конфиденциальность профилей удаленного подключения в Configuration Manager

 

Применимо к:System Center 2012 Configuration Manager SP2, System Center 2012 R2 Configuration Manager, System Center 2012 R2 Configuration Manager SP1

System_CAPS_noteПримечание

Эта статья отображается в руководстве Активы и соответствие в System Center 2012 Configuration Manager и в руководстве Безопасность и конфиденциальность System Center 2012 Configuration Manager.
System_CAPS_noteПримечание

Сведения в этом разделе относятся только к версиям System Center 2012 R2 Configuration Manager.

Эта статья содержит сведения о безопасности и конфиденциальности профилей удаленного подключения в System Center 2012 Configuration Manager.

Рекомендации по безопасности для профилей удаленного подключения

При управлении профилями удаленного подключения для клиентов необходимо учитывать следующие рекомендации по безопасности.

Рекомендация по безопасности

Дополнительные сведения

Укажите сопоставление пользователей и устройств вручную, а не позволяйте пользователям идентифицировать свое основное устройство. Кроме того, не включайте конфигурацию на основе использования.

Поскольку перед развертыванием профиля удаленного подключения необходимо включить параметр Разрешить удаленное подключение всем основным пользователям рабочего компьютера, всегда следует вручную указывать сопоставление пользователя и устройства. Не считайте информацию, полученную от пользователей или от устройства, заслуживающей доверия. Если выполняется развертывание профилей удаленного подключения и доверенный пользователь с правами администратора не указал сопоставление пользователей и устройств, неавторизованные пользователи могут получить повышенные привилегии, после чего они смогут удаленно подключаться к компьютерам.

System_CAPS_noteПримечание

Если включена конфигурация на основе использования, для сбора этих сведений используются сообщения о состоянии, которые не защищены с помощью Configuration Manager. Чтобы минимизировать эту угрозу, используйте подписывание SMB или набор протоколов IPsec между клиентскими компьютерами и точкой управления.

Ограничьте права локального администратора на компьютере сервера сайта.

Пользователь с правами локального администратора на сервере сайта может вручную добавлять членов в группу безопасности "Remote PC Connect", которую автоматически создает и обслуживает Configuration Manager. Это может привести к повышению привилегий, поскольку членам, добавленным в эту группу, предоставляются разрешения на доступ к удаленному рабочему столу.

Сведения о конфиденциальности для профилей удаленного подключения профилей

Если пользователь инициирует подключение к рабочему компьютер из портала компании, загружается файл с расширением .rdp или .wsrdp, который содержит имя устройства и имя сервера шлюза удаленных рабочих столов, необходимого для запуска сеанса удаленного рабочего стола. Расширение файла зависит от операционной системы устройства. Например, в операционных системах Windows® 7 и Windows 8 используется RDP-файл, а в Windows 8.1 — WSRDP-файл.

Пользователь может открыть или сохранить RDP-файл. Если пользователь открывает RDP-файл, этот файл может сохраниться в кэше браузера в зависимости от параметров хранения, настроенных для браузера. Если пользователь сохраняет файл, этот файл не хранится в кэше браузера. Файл сохраняется до тех пор, пока пользователь не удалит его вручную.

WSRDP-файл загружается и автоматически сохраняется локально. Этот файл перезаписывается при следующем запуске пользователем сеанса удаленного рабочего стола.

Перед настройкой профилей удаленного подключения следует учесть требования к конфиденциальности.