reklama

Průvodce řešením Microsoft Deployment

Značná část tohoto akcelerátoru je založena na skriptech, což přináší výhodu snadného přizpůsobení a minimálních či dokonce žádných požadavků na infrastrukturu. Z toho důvodu je třeba zvážit několik faktorů.

Tento článek je ze série článků, které je možné číst/odebírat v TechNet Flash zpravodaji.

Například celá řada souborů pro bezobslužnou instalaci požaduje nezašifrované hodnoty a síťová připojení je třeba realizovat s použitím uživatelských pověření nebo neomezujících přístupových oprávnění k síťovým složkám. Umístění citlivých informací do bitových kopií či do souborů odpovědí s cílem zajištění úplné automatizace proto zvyšuje bezpečnostní rizika.

Pečlivě zvažte následující faktory:

  • Ukládání uživatelských pověření, kódů PID, firemních informací a softwaru, licencovaného materiálu či jiných chráněných či citlivých dat do souborů odpovědí, souborů protokolů a souborů bitových kopií (WIM) do cílových počítačů v průběhu nasazení. Minimalizujte potřebu ukládání pověření v souborech odpovědí vhodnou volbou odpovědí na výzvy v cílovém počítači v průběhu nasazení. Soubory, včetně obsahu souborů WIM, je možné snadno pozměnit a tyto případné změny není snadné zjistit.
  • Ukládání uživatelských pověření, kódů PID, firemních informací a softwaru, licencovaného materiálu či jiných chráněných či citlivých dat do souborů odpovědí, souborů protokolů, migrovaných uživatelských dat a souborů bitových kopií (WIM) na serveru (například v hostitelském systému, na kterém je umístěn nástroj Deployment Workbench nebo jeho distribuované sdílené složky). Přístupová oprávnění k těmto úložištím by měla být ověřena a co nejvíce zpřísněna. Soubory, včetně obsahu souborů WIM, je možné snadno pozměnit a tyto případné změny není snadné zjistit.
  • Média CD/DVD mohou obsahovat snadno zneužitelné či odcizitelné informace. System Center Configuration Manager nabízí ochranu hesel k médiím. Po distribuci médií je změna jejich hesel velmi složitá.
  • Přístupová oprávnění k databázím by měla být omezena na nejnižší možnou úroveň.
  • Kódy PID v souborech odpovědí a bitových kopiích je možné snadno zjistit. Některé multilicenční metody využívají k nasazení Windows Vista službu Key Management Service (KMS) se správou kódů PID.
  • Spouštěcí proces Pre-Boot Execution Environment (PXE) je ve své podstatě nezabezpečený. Je-li to možné, měly by takto být spouštěny pouze známé počítače. V plně automatizovaném postupu zahrnujícím připojení počítače do domény by takto mohli neověření uživatelé získat přístup k podnikovým prostředkům.
  • Použití filtrovacího skriptu prostředí PXE, který je k dispozici v rámci řešení Microsoft Deployment, obchází výchozí zabezpečení zprostředkovatele prostředí PXE nástroje System Center Configuration Manager a vystavuje tak podnikové bitové kopie neověřeným či neznámým počítačům. (V platnosti jsou běžné zásady zabezpečení prostředí PXE.)
  • V počítači, ve kterém běží Služba pro nasazení Windows (Windows Deployment Services) může správce upravit filtrovací skript prostředí PXE tak, aby veškeré akce prováděl v nástroji System Center Configuration Manager. Tento postup ale může vést k neoprávněným změnám v databázi nástroje System Center Configuration Manager.
  • V nástroji Deployment Workbench může být umístění pro ukládání stažených komponent podvodně změněno zásahem do konfiguračních souborů nástroje Deployment Workbench. Nástroj Deployment Workbench stahuje určité soubory podle seznamu v souboru Componentlist.xml prostřednictvím Služby inteligentního přenosu na pozadí (Background Intelligent Transfer Service, BITS) a poté ověřuje, zda se shodují určité očekávané parametry. Nástroj Deployment Workbench ovšem nemá žádnou možnost ověřit, zda nebyl změněn obsah souboru XML a zda neodkazuje na nebezpečné soubory. Stažené součásti mohou také být na základě schválení operátora nainstalovány (riziko záměny souborů). Kontrolujte přístupová oprávnění ke konfiguračním souborům nástroje Deployment Workbench. Před instalací ověřte, zda všechny stažené soubory jsou skutečně správné.

Tato bezpečnostní rizika mohou být omezena implementací sady SMS 2003 Operating System Deployment (OSD) Feature Pack (s nebo bez sady Zero Touch Deployment Kit), která pomáhá v některých scénářích síťového přístupu, nebo nástroje System Center Configuration Manager, který významně rozšiřuje rozsah zabezpečení a zahrnuje i instalační média. Tyto produkty využívají agenty, což jsou kompilované programy určené k práci s citlivými daty a ověřování obsahu (pokud je to možné). V každém případě platí, že umístění citlivých dat do souborů odpovědí snižuje výchozí zabezpečení celého řešení. Zhodnoťte a zvažte proto tato rizika v kontextu nákladů a hodnoty požadovaných automatizačních cílů.

Otázky související s nasazením sady ZTI jsou v podstatě shodné s nasazením sady LTI s tou výjimkou, že sada SMS 2003 OSD Feature Pack využívá možností agenta použít účet počítače či účet pro síťový přístup. Další informace naleznete v sadě SMS 2003 OSD Feature Pack.

Integrace nástroje System Center Configuration Manager přináší množství stejných problémů jako nasazení sady LTI a ZTI, protože může využívat soubory odpovědí, externí síťová připojení (síťové body nevyužívané přímo k nasazení) a připojení k databázím. System Center Configuration Manager nabízí vylepšení manipulace se šifrovacími klíči USMT záložních dat, poskytuje zabezpečenější procesy úložiště, umožňuje ověřování obsahu, omezuje počítače spouštěné pomocí prostředí PXE pouze na předem určený seznam a v některých scénářích používá certifikáty. Informace o konfiguraci nástroje System Center Configuration Manager naleznete v dokumentaci tohoto nástroje.

Soubory ke stažení

Stáhněte si akcelerátor řešení Microsoft Deployment.

Oznámení o aktualizacích

Přihlaste se k odběru aktualizací a nových verzí.

Články ze série Microsoft TechNet nevytváří redakce Živě.cz, ale partneři programu Microsoft TechNet. Jsou publikovány v rámci mediálního partnerství Živě.cz a společnosti Microsoft.

Témata článku: Microsoft, System, Manager, PID

reklama
Určitě si přečtěte

Vybíráte herní periferii nebo hardware? Pak zapomeňte na nálepku Gaming

Vybíráte herní periferii nebo hardware? Pak zapomeňte na nálepku Gaming

** Herní hardware se od toho běžného často liší jen vzhledem ** Při výběru stále nezapomínejte na základní parametry ** Poradíme jak vybrat herní hardware i periferie

20.  2.  2017 | Stanislav Janů | 35

10 nejhorších produktů v historii Microsoftu

10 nejhorších produktů v historii Microsoftu

20.  2.  2017 | Karel Javůrek | 133

Pojďme programovat elektroniku: Žádný bastlíř se neobejde bez armády švábů

Pojďme programovat elektroniku: Žádný bastlíř se neobejde bez armády švábů

** Každý bastlíř se po čase neobjede bez armády švábů ** Dnes si některé z nich vyzkoušíme ** Třeba zázračný posuvný registr

19.  2.  2017 | Jakub Čížek | 39

AMD oficiálně představilo procesory Ryzen. Známe i jejich české ceny

AMD oficiálně představilo procesory Ryzen. Známe i jejich české ceny

** AMD uvedlo první tři procesory Ryzen 7 ** Všechny budou pracovat s osmi jádry a šestnácti vlákny ** Na pulty obchodů se dostanou už za týden

22.  2.  2017 | Stanislav Janů | 128

Vyhledávání ve Windows není dokonalé, zkuste to 5× jinak

Vyhledávání ve Windows není dokonalé, zkuste to 5× jinak

** V macOS funguje vyhledávání Spotlight, ve Windows podobně propracovaná funkce chybí ** Alternativy se zaměřují na rychlé hledání souborů i externí zdroje ** Mnohé mohou vyhledávání ve Windows kompletně nahradit

18.  2.  2017 | Stanislav Janů | 58

EU se děsí Windows 10. Prý o nás vědí až příliš. Microsoft chystá změny

EU se děsí Windows 10. Prý o nás vědí až příliš. Microsoft chystá změny

** Evropští úředníci chtějí, aby byly Desítky transparentnější ** Microsoft od jara skutečně chystá změny ** Ochráncům soukromí to ale nestačí

21.  2.  2017 | Jakub Čížek | 217


Aktuální číslo časopisu Computer

Supertéma o počítačové bezpečnosti

AMD Ryzen přichází

Velké testy kinoprojektorů a levných špuntových sluchátek

Příslušenství do USB-C

reklama
reklama