Sécurité de base de données Orchestration
Date de publication : mars 2016
S’applique à : System Center 2012 SP1 - Orchestrator, System Center 2012 - Orchestrator, System Center 2012 R2 Orchestrator
Les sections suivantes fournissent des informations sur la sécurisation de la base de données Orchestration dans Orchestrator :
Rôles de la base de données
Sécurisation des connexions à SQL Server
Clés de chiffrement
Rôles de la base de données
La sécurité de la base de données d'orchestration est mise en œuvre par l'intermédiaire de rôles de base de données dans les versions prises en charge de Microsoft SQL Server. Le tableau ci-dessous répertorie les rôles qui sont créés dans la base de données Orchestration et les autorisations accordées à chacun. Ces rôles étant configurés et renseignés avec les membres requis pendant l'installation, il n'y a généralement aucun besoin de travailler directement avec eux. Les informations fournies ici ont pour objectif d'aider l'administrateur à mieux comprendre la sécurité sous-jacente de la configuration et de se préparer à d'éventuels scénarios personnalisés.
| Compte | Rôle de base de données |
|---|---|
| Compte Management Service | Microsoft.SystemCenter.Orchestrator.Admins |
| Membre du groupe Administrateurs Orchestrator | Microsoft.SystemCenter.Orchestrator.Admins |
| Compte Orchestrator Runbook Service | Microsoft.SystemCenter. Orchestrator.Runtime |
| Compte de service Orchestrator Runbook Server Monitor | Microsoft.SystemCenter. Orchestrator.Runtime |
| Compte d'utilisateur du service Web Orchestrator | Microsoft.SystemCenter. Orchestrator.Operators |
| Rôle | Autorisation | Objet |
|---|---|---|
| Microsoft.SystemCenter. Orchestrator.Operators | SELECT | [Microsoft.SystemCenter.Orchestrator.Runtime].[Jobs], [Microsoft.SystemCenter.Orchestrator.Runtime].[RunbookInstances], [Microsoft.SystemCenter.Orchestrator.Runtime].[RunbookInstanceParameters], [Microsoft.SystemCenter.Orchestrator.Runtime].[RunbookServers], [Microsoft.SystemCenter.Orchestrator.Runtime].[ActivityInstances], [Microsoft.SystemCenter.Orchestrator.Runtime].[ActivityInstanceData], [Microsoft.SystemCenter.Orchestrator.Runtime].[Events], [Microsoft.SystemCenter.Orchestrator.Statistics].[Statistics] |
| Microsoft.SystemCenter. Orchestrator.Operators | EXECUTE | [Microsoft.SystemCenter.Orchestrator].[GetSecurityToken], [Microsoft.SystemCenter.Orchestrator].[AccessCheck], [Microsoft.SystemCenter.Orchestrator].[ComputeAuthorizationCache], [Microsoft.SystemCenter.Orchestrator.Statistics.Internal].[GetStatisticsSummary], [Microsoft.SystemCenter.Orchestrator.Runtime].[CreateJob], [Microsoft.SystemCenter.Orchestrator.Runtime].[CancelJob] |
| Microsoft.SystemCenter. Orchestrator.Runtime | SELECT | Toutes les tables, dbo.[POLICIES_VIEW], dbo.[POLICY_REQUEST_HISTORY] |
| Microsoft.SystemCenter. Orchestrator.Runtime | INSERT | dbo.[OBJECT_AUDIT] |
| Microsoft.SystemCenter. Orchestrator.Runtime | INSERT, UPDATE | dbo.[OBJECTS], dbo.[ACTIONSERVERS], dbo.[POLICYINSTANCES], dbo.[OBJECTINSTANCES], dbo.[OBJECTINSTANCEDATA] |
| Microsoft.SystemCenter. Orchestrator.Runtime | INSERT, DELETE | dbo.[COUNTERINSTANCES], dbo.[POLICYRETURNDATA] |
| Microsoft.SystemCenter. Orchestrator.Runtime | UPDATE | dbo.[POLICY_PUBLISH_QUEUE] |
| Microsoft.SystemCenter. Orchestrator.Runtime | CONTROL | [ORCHESTRATOR_ASYM_KEY], [ORCHESTRATOR_SYM_KEY] |
| Microsoft.SystemCenter. Orchestrator.Runtime | EXECUTE | dbo.sp_insertevent, dbo.sp_PublishPolicy, dbo.sp_UnpublishPolicy, dbo.sp_UnpublishPolicyRequest, dbo.fn_GetPolicyInstanceStatus, dbo.fn_NumFailedInstancesPerServer, dbo.fn_NumInstancesPerServer, dbo.fn_NumRunningInstancesPerServer, [Microsoft.SystemCenter.Orchestrator.Cryptography].[Encrypt], [Microsoft.SystemCenter.Orchestrator.Cryptography].[Decrypt], [Microsoft.SystemCenter.Orchestrator.Internal].[RethrowError] |
| Microsoft.SystemCenter. Orchestrator.Admins | SELECT, INSERT, UPDATE, DELETE, ALTER, CREATE TABLE | SCHEMA::dbo |
| Microsoft.SystemCenter. Orchestrator.Admins | REFERENCES | dbo.[OBJECTS] |
| Microsoft.SystemCenter. Orchestrator.Admins | SELECT | dbo.[POLICIES_VIEW], GRANT SELECT ON dbo.[POLICY_REQUEST_HISTORY] |
| Microsoft.SystemCenter. Orchestrator.Admins | CONTROL | [ORCHESTRATOR_ASYM_KEY], [ORCHESTRATOR_SYM_KEY] |
| Microsoft.SystemCenter. Orchestrator.Admins | EXECUTE | [Microsoft.SystemCenter.Orchestrator.Cryptography].[CreateOrchestratorKeys], [Microsoft.SystemCenter.Orchestrator.Cryptography].[DropOrchestratorKeys], [Microsoft.SystemCenter.Orchestrator.Cryptography].[Encrypt], [Microsoft.SystemCenter.Orchestrator.Cryptography].[Decrypt], [Microsoft.SystemCenter.Orchestrator.Internal].[RethrowError], dbo.sp_CustomLogCleanup, dbo.sp_GetLogEntriesForDelete_FilterByDays, dbo.sp_GetLogEntriesForDelete_FilterByEntries, dbo.sp_GetLogEntriesForDelete_FilterByEntriesAndDays, dbo.sp_insertevent, dbo.sp_PublishPolicy, dbo.sp_UnpublishPolicy, dbo.sp_UnpublishPolicyRequest, dbo.fn_GetPolicyInstanceStatus, dbo.fn_NumFailedInstancesPerServer, dbo.fn_NumInstancesPerServer, dbo.fn_NumRunningInstancesPerServer, [Microsoft.SystemCenter.Orchestrator.Internal].AddUserToRole, [Microsoft.SystemCenter.Orchestrator].[SetPermissions], [Microsoft.SystemCenter.Orchestrator.Internal].[SetProductInfo] |
Pour accéder au fichier settings.dat, l'utilitaire de configuration de base de données (DBSetup.exe) requiert des autorisations en tant qu'utilisateur sur l'ordinateur où le serveur management est installé et membre soit du groupe Administrateurs soit du groupe d'utilisateurs Orchestrator. Les outils personnalisés qui se connectent à la base de données directement via DBDataStore.dll requièrent les mêmes autorisations.
Important
Lors de l'installation d'Orchestrator, vérifiez que le compte utilisé pour la connexion à SQL server dispose d'un minimum de privilèges sur le serveur SQL afin d'éviter une éventuelle élévation de privilèges.
Sécurisation des connexions à SQL Server
Les connexions à SQL Server dans un déploiement par défaut d'Orchestrator ne sont pas sécurisées. L'exception à cette règle survient lorsqu'Orchestrator stocke ou extrait des données sensibles. Dans ce cas, Orchestrator crée une connexion sécurisée à SQL Server avec un certificat auto-signé. Ce certificat ne fournissant pas de sécurité renforcée, il est vulnérable aux attaques de type « attaque de l'intercepteur » (« man-in-the-middle »).
Pour plus d'informations sur le chiffrement des connexions à SQL Server, voir Chiffrement des connexions à SQL Server. Pour plus d'informations sur l'activation des connexions au moteur de base de données, voir Activer les connexions chiffrées dans le moteur de base de données (Gestionnaire de configuration SQL Server).
Clés de chiffrement
Dans le cadre de la planification de votre sécurité, vous devez planifier la rotation de vos clés de chiffrement à intervalle régulier. Le National Institute of Standards et Technology (NSIT) recommande que les clés tournent au moins une fois tous les deux ans. Pour plus d'informations sur les normes de sécurité du NSIT, voir NSIT Computer Security Division Computer Security Resource Center (Centre de ressources sur la sécurité informatique de la division sécurité informatique du NSIT).
Pour faire tourner les clés de chiffrement
À partir de Runbook Designer, exportez tous vos Runbook, paramètres globaux, variables, calendriers, etc.
Vous devez fournir un mot de passe pour l'exportation.
Pendant l'exportation, toutes les données chiffrées sont déchiffrées, puis rechiffrées, grâce à une nouvelle clé créée par le mot de passe.
Si vous le souhaitez, modifiez la clé de la base de données MASTER de SQL Server.
Orchestrator chiffre les données à l'aide de la clé de la base de données MASTER de SQL Server et de la clé de la base de données MASTER pour la base de données Orchestration.
Pour plus d'informations sur la modification de la clé de la base de données master de SQL Server, voir SQL Server et clés de chiffrement de base de données (moteur de base de données).
Réinstallez le serveur d'administration et créez une base de données.
Pour plus d'informations sur la façon d'installer le serveur management, voir Installation d'un serveur management.
Ne vous connectez pas à la base de données existante. Une nouvelle clé de chiffrement est générée lors de la création d'une base de données.
Dans Runbook Designer, réimportez les Runbook et autres données que vous avez exportés.
Fournir le mot de passe utilisé pour l'exportation. Les données contenues dans le fichier d'exportation sont déchiffrées à l'aide du mot de passe, puis chiffrées lors de leur importation dans la base de données à l'aide de la nouvelle clé de base de données MASTER d'Orchestrator.