Značná část tohoto akcelerátoru je založena na skriptech, což přináší výhodu snadného přizpůsobení a minimálních či dokonce žádných požadavků na infrastrukturu. Z toho důvodu je třeba zvážit několik faktorů.
Tento článek je ze série článků, které je možné číst/odebírat v TechNet Flash zpravodaji.
Například celá řada souborů pro bezobslužnou instalaci požaduje nezašifrované hodnoty a síťová připojení je třeba realizovat s použitím uživatelských pověření nebo neomezujících přístupových oprávnění k síťovým složkám. Umístění citlivých informací do bitových kopií či do souborů odpovědí s cílem zajištění úplné automatizace proto zvyšuje bezpečnostní rizika.
Pečlivě zvažte následující faktory:
- Ukládání uživatelských pověření, kódů PID, firemních informací a softwaru, licencovaného materiálu či jiných chráněných či citlivých dat do souborů odpovědí, souborů protokolů a souborů bitových kopií (WIM) do cílových počítačů v průběhu nasazení. Minimalizujte potřebu ukládání pověření v souborech odpovědí vhodnou volbou odpovědí na výzvy v cílovém počítači v průběhu nasazení. Soubory, včetně obsahu souborů WIM, je možné snadno pozměnit a tyto případné změny není snadné zjistit.
- Ukládání uživatelských pověření, kódů PID, firemních informací a softwaru, licencovaného materiálu či jiných chráněných či citlivých dat do souborů odpovědí, souborů protokolů, migrovaných uživatelských dat a souborů bitových kopií (WIM) na serveru (například v hostitelském systému, na kterém je umístěn nástroj Deployment Workbench nebo jeho distribuované sdílené složky). Přístupová oprávnění k těmto úložištím by měla být ověřena a co nejvíce zpřísněna. Soubory, včetně obsahu souborů WIM, je možné snadno pozměnit a tyto případné změny není snadné zjistit.
- Média CD/DVD mohou obsahovat snadno zneužitelné či odcizitelné informace. System Center Configuration Manager nabízí ochranu hesel k médiím. Po distribuci médií je změna jejich hesel velmi složitá.
- Přístupová oprávnění k databázím by měla být omezena na nejnižší možnou úroveň.
- Kódy PID v souborech odpovědí a bitových kopiích je možné snadno zjistit. Některé multilicenční metody využívají k nasazení Windows Vista službu Key Management Service (KMS) se správou kódů PID.
- Spouštěcí proces Pre-Boot Execution Environment (PXE) je ve své podstatě nezabezpečený. Je-li to možné, měly by takto být spouštěny pouze známé počítače. V plně automatizovaném postupu zahrnujícím připojení počítače do domény by takto mohli neověření uživatelé získat přístup k podnikovým prostředkům.
- Použití filtrovacího skriptu prostředí PXE, který je k dispozici v rámci řešení Microsoft Deployment, obchází výchozí zabezpečení zprostředkovatele prostředí PXE nástroje System Center Configuration Manager a vystavuje tak podnikové bitové kopie neověřeným či neznámým počítačům. (V platnosti jsou běžné zásady zabezpečení prostředí PXE.)
- V počítači, ve kterém běží Služba pro nasazení Windows (Windows Deployment Services) může správce upravit filtrovací skript prostředí PXE tak, aby veškeré akce prováděl v nástroji System Center Configuration Manager. Tento postup ale může vést k neoprávněným změnám v databázi nástroje System Center Configuration Manager.
- V nástroji Deployment Workbench může být umístění pro ukládání stažených komponent podvodně změněno zásahem do konfiguračních souborů nástroje Deployment Workbench. Nástroj Deployment Workbench stahuje určité soubory podle seznamu v souboru Componentlist.xml prostřednictvím Služby inteligentního přenosu na pozadí (Background Intelligent Transfer Service, BITS) a poté ověřuje, zda se shodují určité očekávané parametry. Nástroj Deployment Workbench ovšem nemá žádnou možnost ověřit, zda nebyl změněn obsah souboru XML a zda neodkazuje na nebezpečné soubory. Stažené součásti mohou také být na základě schválení operátora nainstalovány (riziko záměny souborů). Kontrolujte přístupová oprávnění ke konfiguračním souborům nástroje Deployment Workbench. Před instalací ověřte, zda všechny stažené soubory jsou skutečně správné.
Tato bezpečnostní rizika mohou být omezena implementací sady SMS 2003 Operating System Deployment (OSD) Feature Pack (s nebo bez sady Zero Touch Deployment Kit), která pomáhá v některých scénářích síťového přístupu, nebo nástroje System Center Configuration Manager, který významně rozšiřuje rozsah zabezpečení a zahrnuje i instalační média. Tyto produkty využívají agenty, což jsou kompilované programy určené k práci s citlivými daty a ověřování obsahu (pokud je to možné). V každém případě platí, že umístění citlivých dat do souborů odpovědí snižuje výchozí zabezpečení celého řešení. Zhodnoťte a zvažte proto tato rizika v kontextu nákladů a hodnoty požadovaných automatizačních cílů.
Otázky související s nasazením sady ZTI jsou v podstatě shodné s nasazením sady LTI s tou výjimkou, že sada SMS 2003 OSD Feature Pack využívá možností agenta použít účet počítače či účet pro síťový přístup. Další informace naleznete v sadě SMS 2003 OSD Feature Pack.
Integrace nástroje System Center Configuration Manager přináší množství stejných problémů jako nasazení sady LTI a ZTI, protože může využívat soubory odpovědí, externí síťová připojení (síťové body nevyužívané přímo k nasazení) a připojení k databázím. System Center Configuration Manager nabízí vylepšení manipulace se šifrovacími klíči USMT záložních dat, poskytuje zabezpečenější procesy úložiště, umožňuje ověřování obsahu, omezuje počítače spouštěné pomocí prostředí PXE pouze na předem určený seznam a v některých scénářích používá certifikáty. Informace o konfiguraci nástroje System Center Configuration Manager naleznete v dokumentaci tohoto nástroje.
Soubory ke stažení
Stáhněte si akcelerátor řešení Microsoft Deployment.
Oznámení o aktualizacích
Přihlaste se k odběru aktualizací a nových verzí.
Články ze série Microsoft TechNet nevytváří redakce Živě.cz, ale partneři programu Microsoft TechNet. Jsou publikovány v rámci mediálního partnerství Živě.cz a společnosti Microsoft.
