Plánování zabezpečení v nástroji Configuration Manager

Platí pro: Configuration Manager (Current Branch)

Tento článek popisuje následující koncepty, které byste měli zvážit při plánování zabezpečení s implementací nástroje Configuration Manager:

• Certifikáty (podepsané svým držitelem a PKI)

• Důvěryhodný kořenový klíč

• Podepisování a šifrování

• Správa založená na rolích

• Microsoft Entra ID

• Ověřování poskytovatele serveru SMS

Než začnete, ujistěte se, že jste obeznámeni se základy zabezpečení v Nástroji Configuration Manager.

Certifikáty

Configuration Manager používá kombinaci digitálních certifikátů infrastruktury veřejných klíčů podepsaných svým držitelem (PKI). Používejte certifikáty PKI, kdykoli je to možné. Některé scénáře vyžadují certifikáty PKI. Pokud certifikáty PKI nejsou k dispozici, lokalita automaticky vygeneruje certifikáty podepsané svým držitelem. V některých scénářích se vždy používají certifikáty podepsané svým držitelem.

Další informace najdete v tématu Plánování certifikátů.

Důvěryhodný kořenový klíč

Důvěryhodný kořenový klíč nástroje Configuration Manager poskytuje klientům nástroje Configuration Manager mechanismus pro ověření, že systémy lokality patří do jejich hierarchie. Každý server lokality generuje klíč výměny lokality pro komunikaci s jinými lokalitami. Klíč výměny lokality z lokality nejvyšší úrovně v hierarchii se nazývá důvěryhodný kořenový klíč.

Funkce důvěryhodného kořenového klíče v nástroji Configuration Manager se podobá kořenovému certifikátu v infrastruktuře veřejných klíčů. Cokoli podepsané privátním klíčem důvěryhodného kořenového klíče je důvěryhodné dále v hierarchii. Klienti ukládají kopii důvěryhodného kořenového klíče lokality v root\ccm\locationservices oboru názvů rozhraní WMI.

Lokalita například vydá certifikát bodu správy, který podepíše privátním klíčem důvěryhodného kořenového klíče. Lokalita sdílí s klienty veřejný klíč svého důvěryhodného kořenového klíče. Klienti pak můžou rozlišovat mezi body správy, které jsou v jejich hierarchii, a body správy, které nejsou v jejich hierarchii.

Klienti automaticky získají veřejnou kopii důvěryhodného kořenového klíče pomocí dvou mechanismů:

• Rozšíříte schéma služby Active Directory pro nástroj Configuration Manager a publikujete lokalitu do služby Active Directory Domain Services. Klienti pak načtou informace o této lokalitě ze serveru globálního katalogu. Další informace najdete v tématu Příprava služby Active Directory pro publikování webů.

• Při instalaci klientů pomocí metody nabízené instalace klienta. Další informace najdete v tématu Klientská nabízená instalace.

Pokud klienti nemůžou získat důvěryhodný kořenový klíč pomocí některého z těchto mechanismů, důvěřují důvěryhodnému kořenovému klíči poskytovanému prvním bodem správy, se kterým komunikují. V tomto scénáři může být klient nesprávně přesměrován na bod správy útočníka, kde by obdržel zásady z podvodného bodu správy. Tato akce vyžaduje sofistikovaného útočníka. Tento útok je omezen na krátkou dobu, než klient načte důvěryhodný kořenový klíč z platného bodu správy. Pokud chcete snížit riziko, že útočník chybně nasměruje klienty do podvodného bodu správy, předem zřiďte klienty s důvěryhodným kořenovým klíčem.

Další informace a postupy pro správu důvěryhodného kořenového klíče najdete v tématu Konfigurace zabezpečení.

Podepisování a šifrování

Pokud používáte certifikáty PKI pro veškerou komunikaci klientů, nemusíte plánovat podepisování a šifrování, které pomáhá zabezpečit datovou komunikaci klientů. Pokud nastavíte jakékoli systémy lokality se službou IIS tak, aby umožňovaly připojení klientů HTTP, rozhodněte se, jak pomoct zabezpečit komunikaci klienta pro lokalitu.

Pokud chcete lépe chránit data, která klienti odesílají do bodů správy, můžete vyžadovat, aby klienti data podepsali. K podepisování můžete také vyžadovat algoritmus SHA-256. Tato konfigurace je bezpečnější, ale nevyžaduje SHA-256, pokud ji nepodporují všichni klienti. Mnoho operačních systémů nativně podporuje tento algoritmus, ale starší operační systémy můžou vyžadovat aktualizaci nebo opravu hotfix.

Zatímco podepisování pomáhá chránit data před manipulací, šifrování pomáhá chránit data před zpřístupněním informací. Můžete povolit šifrování pro data inventáře a stavové zprávy, které klienti odesílají do bodů správy v lokalitě. Pokud chcete tuto možnost podporovat, nemusíte na klienty instalovat žádné aktualizace. Klienti a body správy vyžadují větší využití procesoru pro šifrování a dešifrování.

Další informace o konfiguraci nastavení pro podepisování a šifrování najdete v tématu Konfigurace podepisování a šifrování.

Další informace o kryptografických algoritmech používaných k podepisování a šifrování najdete v tématu Technické reference k kryptografickým ovládacím prvkům.

Správa založená na rolích

V nástroji Configuration Manager používáte správu na základě rolí k zabezpečení přístupu, který správci potřebují k používání nástroje Configuration Manager. Zabezpečíte také přístup k objektům, které spravujete, jako jsou kolekce, nasazení a weby.

Kombinací rolí zabezpečení, rozsahů zabezpečení a kolekcí oddělujete přiřazení správy, která splňují požadavky vaší organizace. Společně definují obor správy uživatele. Tento obor správy řídí objekty, které správce zobrazí v konzole nástroje Configuration Manager, a řídí oprávnění, která má uživatel k těmto objektům.

Další informace najdete v tématu Základy správy na základě rolí.

Microsoft Entra ID

Configuration Manager se integruje s ID Microsoft Entra, aby lokalita a klienti mohli používat moderní ověřování.

Další informace o Microsoft Entra ID najdete v dokumentaci k Microsoft Entra.

Onboarding webu pomocí ID Microsoft Entra podporuje následující scénáře Configuration Manageru:

Klientské scénáře

• Správa klientů na internetu přes bránu pro správu cloudu

• Správa cloudových zařízení připojených k doméně

• Společné řízení

• Nasazení aplikací dostupných pro uživatele

• Online aplikace Microsoft Storu pro firmy

• Správa Microsoft 365 Apps pro velké organizace

Serverové scénáře

• Připojení tenanta

• Analýza koncových bodů

• Azure Log Analytics

• Centrum komunity

• Zjišťování uživatelů

Ověřování poskytovatele serveru SMS

Můžete zadat minimální úroveň ověřování pro přístup správců k lokalitám nástroje Configuration Manager. Tato funkce vynucuje, aby se správci přihlásili k Windows s požadovanou úrovní, než budou moct získat přístup ke Configuration Manageru. Vztahuje se na všechny komponenty, které přistupuje k poskytovateli serveru SMS. Například konzola nástroje Configuration Manager, metody sady SDK a rutiny prostředí Windows PowerShell.

Configuration Manager podporuje následující úrovně ověřování:

• Ověřování Systému Windows: Vyžaduje ověření pomocí přihlašovacích údajů domény služby Active Directory. Toto nastavení představuje předchozí chování a aktuální výchozí nastavení.

• Ověřování certifikátu: Vyžaduje ověření pomocí platného certifikátu vydaného důvěryhodnou certifikační autoritou PKI. Tento certifikát nenakonfigurujete v Nástroji Configuration Manager. Configuration Manager vyžaduje, aby byl správce přihlášený k Windows pomocí infrastruktury veřejných klíčů.

• Ověřování Ve Windows Hello pro firmy: Vyžaduje ověření pomocí silného dvojúrovňového ověřování, které je vázané na zařízení a používá biometriku nebo PIN kód. Další informace najdete v článku Windows Hello pro firmy.

  Důležité

  Když vyberete toto nastavení, poskytovatel serveru SMS a služba pro správu vyžadují, aby ověřovací token uživatele obsahoval deklaraci vícefaktorového ověřování (MFA) z Windows Hello pro firmy. Jinými slovy, uživatel konzoly, sady SDK, PowerShellu nebo služby pro správu se musí ověřit ve Windows pomocí pin kódu nebo biometriky Windows Hello pro firmy. V opačném případě web odmítne akci uživatele.

  Toto chování se používá pro Windows Hello pro firmy, ne Pro Windows Hello.

Další informace o konfiguraci tohoto nastavení najdete v tématu Konfigurace ověřování poskytovatele serveru SMS.

Další kroky

• Certifikáty v nástroji Configuration Manager

• Plánování certifikátů PKI

• Konfigurace zabezpečení

• Technický odkaz na kryptografické ovládací prvky