Průvodce řešením Microsoft Deployment

Značná část tohoto akcelerátoru je založena na skriptech, což přináší výhodu snadného přizpůsobení a minimálních či dokonce žádných požadavků na infrastrukturu. Z toho důvodu je třeba zvážit několik faktorů.
Průvodce řešením Microsoft Deployment

Tento článek je ze série článků, které je možné číst/odebírat v TechNet Flash zpravodaji.

Například celá řada souborů pro bezobslužnou instalaci požaduje nezašifrované hodnoty a síťová připojení je třeba realizovat s použitím uživatelských pověření nebo neomezujících přístupových oprávnění k síťovým složkám. Umístění citlivých informací do bitových kopií či do souborů odpovědí s cílem zajištění úplné automatizace proto zvyšuje bezpečnostní rizika.

Pečlivě zvažte následující faktory:

  • Ukládání uživatelských pověření, kódů PID, firemních informací a softwaru, licencovaného materiálu či jiných chráněných či citlivých dat do souborů odpovědí, souborů protokolů a souborů bitových kopií (WIM) do cílových počítačů v průběhu nasazení. Minimalizujte potřebu ukládání pověření v souborech odpovědí vhodnou volbou odpovědí na výzvy v cílovém počítači v průběhu nasazení. Soubory, včetně obsahu souborů WIM, je možné snadno pozměnit a tyto případné změny není snadné zjistit.
  • Ukládání uživatelských pověření, kódů PID, firemních informací a softwaru, licencovaného materiálu či jiných chráněných či citlivých dat do souborů odpovědí, souborů protokolů, migrovaných uživatelských dat a souborů bitových kopií (WIM) na serveru (například v hostitelském systému, na kterém je umístěn nástroj Deployment Workbench nebo jeho distribuované sdílené složky). Přístupová oprávnění k těmto úložištím by měla být ověřena a co nejvíce zpřísněna. Soubory, včetně obsahu souborů WIM, je možné snadno pozměnit a tyto případné změny není snadné zjistit.
  • Média CD/DVD mohou obsahovat snadno zneužitelné či odcizitelné informace. System Center Configuration Manager nabízí ochranu hesel k médiím. Po distribuci médií je změna jejich hesel velmi složitá.
  • Přístupová oprávnění k databázím by měla být omezena na nejnižší možnou úroveň.
  • Kódy PID v souborech odpovědí a bitových kopiích je možné snadno zjistit. Některé multilicenční metody využívají k nasazení Windows Vista službu Key Management Service (KMS) se správou kódů PID.
  • Spouštěcí proces Pre-Boot Execution Environment (PXE) je ve své podstatě nezabezpečený. Je-li to možné, měly by takto být spouštěny pouze známé počítače. V plně automatizovaném postupu zahrnujícím připojení počítače do domény by takto mohli neověření uživatelé získat přístup k podnikovým prostředkům.
  • Použití filtrovacího skriptu prostředí PXE, který je k dispozici v rámci řešení Microsoft Deployment, obchází výchozí zabezpečení zprostředkovatele prostředí PXE nástroje System Center Configuration Manager a vystavuje tak podnikové bitové kopie neověřeným či neznámým počítačům. (V platnosti jsou běžné zásady zabezpečení prostředí PXE.)
  • V počítači, ve kterém běží Služba pro nasazení Windows (Windows Deployment Services) může správce upravit filtrovací skript prostředí PXE tak, aby veškeré akce prováděl v nástroji System Center Configuration Manager. Tento postup ale může vést k neoprávněným změnám v databázi nástroje System Center Configuration Manager.
  • V nástroji Deployment Workbench může být umístění pro ukládání stažených komponent podvodně změněno zásahem do konfiguračních souborů nástroje Deployment Workbench. Nástroj Deployment Workbench stahuje určité soubory podle seznamu v souboru Componentlist.xml prostřednictvím Služby inteligentního přenosu na pozadí (Background Intelligent Transfer Service, BITS) a poté ověřuje, zda se shodují určité očekávané parametry. Nástroj Deployment Workbench ovšem nemá žádnou možnost ověřit, zda nebyl změněn obsah souboru XML a zda neodkazuje na nebezpečné soubory. Stažené součásti mohou také být na základě schválení operátora nainstalovány (riziko záměny souborů). Kontrolujte přístupová oprávnění ke konfiguračním souborům nástroje Deployment Workbench. Před instalací ověřte, zda všechny stažené soubory jsou skutečně správné.

Tato bezpečnostní rizika mohou být omezena implementací sady SMS 2003 Operating System Deployment (OSD) Feature Pack (s nebo bez sady Zero Touch Deployment Kit), která pomáhá v některých scénářích síťového přístupu, nebo nástroje System Center Configuration Manager, který významně rozšiřuje rozsah zabezpečení a zahrnuje i instalační média. Tyto produkty využívají agenty, což jsou kompilované programy určené k práci s citlivými daty a ověřování obsahu (pokud je to možné). V každém případě platí, že umístění citlivých dat do souborů odpovědí snižuje výchozí zabezpečení celého řešení. Zhodnoťte a zvažte proto tato rizika v kontextu nákladů a hodnoty požadovaných automatizačních cílů.

Otázky související s nasazením sady ZTI jsou v podstatě shodné s nasazením sady LTI s tou výjimkou, že sada SMS 2003 OSD Feature Pack využívá možností agenta použít účet počítače či účet pro síťový přístup. Další informace naleznete v sadě SMS 2003 OSD Feature Pack.

Integrace nástroje System Center Configuration Manager přináší množství stejných problémů jako nasazení sady LTI a ZTI, protože může využívat soubory odpovědí, externí síťová připojení (síťové body nevyužívané přímo k nasazení) a připojení k databázím. System Center Configuration Manager nabízí vylepšení manipulace se šifrovacími klíči USMT záložních dat, poskytuje zabezpečenější procesy úložiště, umožňuje ověřování obsahu, omezuje počítače spouštěné pomocí prostředí PXE pouze na předem určený seznam a v některých scénářích používá certifikáty. Informace o konfiguraci nástroje System Center Configuration Manager naleznete v dokumentaci tohoto nástroje.

Soubory ke stažení

Stáhněte si akcelerátor řešení Microsoft Deployment.

Oznámení o aktualizacích

Přihlaste se k odběru aktualizací a nových verzí.

Články ze série Microsoft TechNet nevytváří redakce Živě.cz, ale partneři programu Microsoft TechNet. Jsou publikovány v rámci mediálního partnerství Živě.cz a společnosti Microsoft.

Váš názor Další článek: Nvidia GeForce GTX 295: oficiální preview jsou na světě

Témata článku: Microsoft, Síťový nástroj, Podnikové nasazení, Chráněná složka, Cílové nasazení, Bezpečnostní složka, Riziko, Manager, Síťová data, System, Průvodce, Automatizační služba, Soubor, Uživatelská složka, Uživatelská data, Síťový přístup, Složité heslo, Možné riziko, PID, Nástroj, Řešení, Stažený soubor, Následující faktor


Určitě si přečtěte

Pojďme programovat elektroniku: Blikající potvory i legendární displeje starých Nokií

Pojďme programovat elektroniku: Blikající potvory i legendární displeje starých Nokií

** Skoro každý kutil si koupí maličký levný OLED ** A také segmentový a znakový displej ** Pojďme se na některé z nich podívat

Jakub Čížek | 9

Osudová havárie Concordu: Před 18 lety přišel konec nadzvukových dopravních letadel

Osudová havárie Concordu: Před 18 lety přišel konec nadzvukových dopravních letadel

** Concorde byl nejrychlejším dopravním letadlem ** Atlantik dokázal přeletět za cca 3 až 3,5 hodiny ** Před osmnácti lety tragická havárie provoz těchto letadel prakticky ukončila

David Polesný, Jiří Černý | 37

Tohle tak jednou zažít: Nová vzducholoď Airlander 10 s prosklenou podlahou

Tohle tak jednou zažít: Nová vzducholoď Airlander 10 s prosklenou podlahou

** Airlander 10 nabídne plavby vzduchem v interiéru s prosklenou podlahou ** Luxusní vzducholoď byla původně vyvíjena pro vojenské účely ** Počítá se s třídenními „kochacími“ výlety za poznáním

Karel Kilián | 7

Jak funguje největší akumulátor v Česku: podívejte se do elektrárny Dlouhé Stráně

Jak funguje největší akumulátor v Česku: podívejte se do elektrárny Dlouhé Stráně

** Přečerpávací vodní elektrárna Dlouhé stráně je obdivuhodné technické dílo ** Stejná turbína vyrábí elektřinu i tlačí vodu zpět do horního jezera ** Strojovna elektrárny je zabudována v podzemí

David Polesný | 34

Nová americká jaderná puma změní strategii boje

Nová americká jaderná puma změní strategii boje

** Bombardér Northrop Grumman B-2 Spirit amerického letectva nedávno svrhl jadernou pumu ** Šlo o test nové varianty pumy B61-12 ** Ta by měla mít hlavice schopné explodovat se silou 0,3 až 50 kilotun

Stanislav Mihulka | 50

Modelářský zázrak: Maketa raketoplánu Columbia, která létá jako skutečná raketa

Modelářský zázrak: Maketa raketoplánu Columbia, která létá jako skutečná raketa

** Model raketoplánu Columbia od českého konstruktéra umí i létat ** Obdivuhodný model si vzal 1600 hodin práce ** Podívejte se na fotografie ze stavby a prvního letu

Karel Jeřábek | 20

Dell XPS 13: Když vás ostatní doženou až za tři roky

Dell XPS 13: Když vás ostatní doženou až za tři roky

** XPS 13 nastartoval trend notebooků bez rámečků ** Letošní model kompletně přechází na USB-C ** Navzdory malému tělu se řadí výkon ke špičce

Tomáš Holčík | 33

Nvidia představila nové grafické karty GeForce RTX. Nastavila šílené ceny a chce přesvědčit ray tracingem

Nvidia představila nové grafické karty GeForce RTX. Nastavila šílené ceny a chce přesvědčit ray tracingem

** Nvidia představila nové desktopové herní grafické karty GeForce RTX ** Tři modely se pyšní masivním výkonem pouze ve spojení s ray tracingem ** Ceny jsou mnohem vyšší než u předchozích generací

Karel Javůrek | 106


Aktuální číslo časopisu Computer

Megatest: 13 grafických karet

Srovnání 7 dokovacích stanic s USB-C

Jak na perfektní noční fotografie

Kvalitní zdroje informací pro sebevzdělávání