Průvodce řešením Microsoft Deployment

Značná část tohoto akcelerátoru je založena na skriptech, což přináší výhodu snadného přizpůsobení a minimálních či dokonce žádných požadavků na infrastrukturu. Z toho důvodu je třeba zvážit několik faktorů.
Průvodce řešením Microsoft Deployment

Tento článek je ze série článků, které je možné číst/odebírat v TechNet Flash zpravodaji.

Například celá řada souborů pro bezobslužnou instalaci požaduje nezašifrované hodnoty a síťová připojení je třeba realizovat s použitím uživatelských pověření nebo neomezujících přístupových oprávnění k síťovým složkám. Umístění citlivých informací do bitových kopií či do souborů odpovědí s cílem zajištění úplné automatizace proto zvyšuje bezpečnostní rizika.

Pečlivě zvažte následující faktory:

  • Ukládání uživatelských pověření, kódů PID, firemních informací a softwaru, licencovaného materiálu či jiných chráněných či citlivých dat do souborů odpovědí, souborů protokolů a souborů bitových kopií (WIM) do cílových počítačů v průběhu nasazení. Minimalizujte potřebu ukládání pověření v souborech odpovědí vhodnou volbou odpovědí na výzvy v cílovém počítači v průběhu nasazení. Soubory, včetně obsahu souborů WIM, je možné snadno pozměnit a tyto případné změny není snadné zjistit.
  • Ukládání uživatelských pověření, kódů PID, firemních informací a softwaru, licencovaného materiálu či jiných chráněných či citlivých dat do souborů odpovědí, souborů protokolů, migrovaných uživatelských dat a souborů bitových kopií (WIM) na serveru (například v hostitelském systému, na kterém je umístěn nástroj Deployment Workbench nebo jeho distribuované sdílené složky). Přístupová oprávnění k těmto úložištím by měla být ověřena a co nejvíce zpřísněna. Soubory, včetně obsahu souborů WIM, je možné snadno pozměnit a tyto případné změny není snadné zjistit.
  • Média CD/DVD mohou obsahovat snadno zneužitelné či odcizitelné informace. System Center Configuration Manager nabízí ochranu hesel k médiím. Po distribuci médií je změna jejich hesel velmi složitá.
  • Přístupová oprávnění k databázím by měla být omezena na nejnižší možnou úroveň.
  • Kódy PID v souborech odpovědí a bitových kopiích je možné snadno zjistit. Některé multilicenční metody využívají k nasazení Windows Vista službu Key Management Service (KMS) se správou kódů PID.
  • Spouštěcí proces Pre-Boot Execution Environment (PXE) je ve své podstatě nezabezpečený. Je-li to možné, měly by takto být spouštěny pouze známé počítače. V plně automatizovaném postupu zahrnujícím připojení počítače do domény by takto mohli neověření uživatelé získat přístup k podnikovým prostředkům.
  • Použití filtrovacího skriptu prostředí PXE, který je k dispozici v rámci řešení Microsoft Deployment, obchází výchozí zabezpečení zprostředkovatele prostředí PXE nástroje System Center Configuration Manager a vystavuje tak podnikové bitové kopie neověřeným či neznámým počítačům. (V platnosti jsou běžné zásady zabezpečení prostředí PXE.)
  • V počítači, ve kterém běží Služba pro nasazení Windows (Windows Deployment Services) může správce upravit filtrovací skript prostředí PXE tak, aby veškeré akce prováděl v nástroji System Center Configuration Manager. Tento postup ale může vést k neoprávněným změnám v databázi nástroje System Center Configuration Manager.
  • V nástroji Deployment Workbench může být umístění pro ukládání stažených komponent podvodně změněno zásahem do konfiguračních souborů nástroje Deployment Workbench. Nástroj Deployment Workbench stahuje určité soubory podle seznamu v souboru Componentlist.xml prostřednictvím Služby inteligentního přenosu na pozadí (Background Intelligent Transfer Service, BITS) a poté ověřuje, zda se shodují určité očekávané parametry. Nástroj Deployment Workbench ovšem nemá žádnou možnost ověřit, zda nebyl změněn obsah souboru XML a zda neodkazuje na nebezpečné soubory. Stažené součásti mohou také být na základě schválení operátora nainstalovány (riziko záměny souborů). Kontrolujte přístupová oprávnění ke konfiguračním souborům nástroje Deployment Workbench. Před instalací ověřte, zda všechny stažené soubory jsou skutečně správné.

Tato bezpečnostní rizika mohou být omezena implementací sady SMS 2003 Operating System Deployment (OSD) Feature Pack (s nebo bez sady Zero Touch Deployment Kit), která pomáhá v některých scénářích síťového přístupu, nebo nástroje System Center Configuration Manager, který významně rozšiřuje rozsah zabezpečení a zahrnuje i instalační média. Tyto produkty využívají agenty, což jsou kompilované programy určené k práci s citlivými daty a ověřování obsahu (pokud je to možné). V každém případě platí, že umístění citlivých dat do souborů odpovědí snižuje výchozí zabezpečení celého řešení. Zhodnoťte a zvažte proto tato rizika v kontextu nákladů a hodnoty požadovaných automatizačních cílů.

Otázky související s nasazením sady ZTI jsou v podstatě shodné s nasazením sady LTI s tou výjimkou, že sada SMS 2003 OSD Feature Pack využívá možností agenta použít účet počítače či účet pro síťový přístup. Další informace naleznete v sadě SMS 2003 OSD Feature Pack.

Integrace nástroje System Center Configuration Manager přináší množství stejných problémů jako nasazení sady LTI a ZTI, protože může využívat soubory odpovědí, externí síťová připojení (síťové body nevyužívané přímo k nasazení) a připojení k databázím. System Center Configuration Manager nabízí vylepšení manipulace se šifrovacími klíči USMT záložních dat, poskytuje zabezpečenější procesy úložiště, umožňuje ověřování obsahu, omezuje počítače spouštěné pomocí prostředí PXE pouze na předem určený seznam a v některých scénářích používá certifikáty. Informace o konfiguraci nástroje System Center Configuration Manager naleznete v dokumentaci tohoto nástroje.

Soubory ke stažení

Stáhněte si akcelerátor řešení Microsoft Deployment.

Oznámení o aktualizacích

Přihlaste se k odběru aktualizací a nových verzí.

Články ze série Microsoft TechNet nevytváří redakce Živě.cz, ale partneři programu Microsoft TechNet. Jsou publikovány v rámci mediálního partnerství Živě.cz a společnosti Microsoft.

Váš názor Další článek: Nvidia GeForce GTX 295: oficiální preview jsou na světě

Témata článku: Microsoft, Síťový přístup, Síťový nástroj, Možné riziko, System, Soubor, Následující faktor, Cílové nasazení, Chráněná složka, Složité heslo, Řešení, Síťová data, Bezpečnostní složka, Manager, Automatizační služba, Uživatelská data, Podnikové nasazení, Uživatelská složka, Riziko, Stažený soubor, Nástroj, Průvodce, PID, Počítače na Mall.cz


Určitě si přečtěte

Chytré hodinky Honor a Huawei se zbavily největší brzdy. Naučily se instalovat aplikace
Filip Kůžel
HonorHodinkyMobilní aplikace
Dostali jste nový počítač? Tohle s ním udělejte, než ho začnete používat

Dostali jste nový počítač? Tohle s ním udělejte, než ho začnete používat

** Každý nový počítač si zaslouží počáteční péči ** Odinstalujte bloatware a nezapomeňte na vhodné nastavení ** Poradíme, jak se o počítač s Windows 10 postarat

David Polesný, Stanislav Janů | 75

David PolesnýStanislav Janů
PočítačeNotebooky
Vážně dnes ještě někdo krade Adobe? Video můžete stříhat zdarma v Resolve a fotky i vektory zvládne Affinity

Vážně dnes ještě někdo krade Adobe? Video můžete stříhat zdarma v Resolve a fotky i vektory zvládne Affinity

** Kde jsou ty doby, kdy měl skoro každý doma Photoshop ** Photoshop a Premiere Pro od kamaráda nebo z warezu ** Dnes už to nemá smysl, existuje totiž hromada laciných alternativ

Jakub Čížek | 90

Jakub Čížek
Grafický editorStřih videa
Google vymyslel technologii superpřesného GPS. Už ji podporuje Pixel 5 a dorazí i na ostatní telefony

Google vymyslel technologii superpřesného GPS. Už ji podporuje Pixel 5 a dorazí i na ostatní telefony

** Kvalita GPS ve městech občas stojí za starou bačkoru ** Mohou za to odrazy signálu od okolních budov ** Google má jejich 3D model, a tak spolupracuje s výrobci GPS čipů

Jakub Čížek | 44

Jakub Čížek
NavigaceTechnologieGoogle
Jak se šíří Covid v Česku: Čerstvá data, semafor PES, mapy okresů a obcí. Každý den aktualizované grafy

Jak se šíří Covid v Česku: Čerstvá data, semafor PES, mapy okresů a obcí. Každý den aktualizované grafy

** Vývoj COVID-19 v Česku: nakažení, úmrtí, testovaní, hospitalizovaní ** Mapa podle okresů, přehled podle věku, situace v Evropě i ve světě ** Každý den aktualizované grafy a mapy

Marek Lutonský | 172

Marek Lutonský
COVID-19Koronavirus
Fedora 33 prostě funguje. Linux si zaslouží dobýt laptop, je to ale asi opět marné

Fedora 33 prostě funguje. Linux si zaslouží dobýt laptop, je to ale asi opět marné

** Desktopový Linux funguje a vypadá stále lépe ** Fedora 33 není výjimkou ** Ve stínu Windows a macOS tu vyrostly skvělé alternativy

Jakub Čížek | 167

Jakub Čížek
FedoraOperační systémyLinux
Google není jen vyhledávač: 15 užitečných funkcí, o kterých možná ani nevíte

Google není jen vyhledávač: 15 užitečných funkcí, o kterých možná ani nevíte

** Google umí kromě vyhledávání i spoustu dalších věcí ** Vybrali jsme více než 15 užitečných funkcí a schopností ** Stačí zadat do vyhledávače ta správná klíčová slova

Karel Kilián | 22

Karel Kilián
TipyVyhledávačeGoogle

Aktuální číslo časopisu Computer

Megatest herních monitorů

Jak zabezpečit mobil v rukou dítěte

Radíme s nákupem grafické karty