Configuration Manager 中客户端的安全和隐私

使用公钥基础结构 (PKI) 证书与运行 IIS 的站点系统建立客户端通信：

• 作为站点属性，将“站点系统设置”配置为“仅 HTTPS”。

• 使用 /UsePKICert CCMSetup 属性安装客户端

• 使用证书吊销列表 (CRL) 并确保客户端和通信服务器可以始终访问该列表。

对于 Internet 上的移动设备客户端和客户端计算机连接（分发点除外），这些证书必不可少，建议对 Intranet 上的所有客户端连接也使用这些证书。

有关 PKI 证书要求以及如何将它们用于帮助保护 配置管理器 的详细信息，请参阅 Configuration Manager 的 PKI 证书要求。

请勿依赖阻止来防止客户端访问 配置管理器 层次结构

配置管理器 基础结构会拒绝被阻止的客户端，使它们无法与站点系统通信，从而无法下载策略、上载清单数据或者发送状况或状态消息。 但是，请勿依赖阻止来保护当站点系统接受 HTTP 客户端连接时 配置管理器 层次结构免遭不受信任计算机的威胁。 在此方案中，被阻止的客户端可以使用新的自签名证书和硬件 ID 重新加入该站点。 “阻止”旨在当你将操作系统部署到客户端并且所有站点系统均接受 HTTPS 客户端连接时用于阻止丢失或受侵害的启动媒体。 如果你使用公钥基础结构 (PKI) 并且它支持证书吊销列表 (CRL)，则始终考虑将证书吊销作为预防证书泄漏的主要防线。 在 配置管理器 中阻止客户端为保护您的层次结构提供第二道防线。

有关详细信息，请参阅 确定是否在 Configuration Manager 中阻止客户端。

如果你必须使用客户端请求安装，请采取附加步骤来确保客户端请求安装帐户安全

尽管该帐户必须为将安装 配置管理器 客户端软件的每个计算机上的本地管理员组的成员，永远不要将客户端请求安装帐户添加到域管理员组。 相反，创建全局组并将该全局组添加到你的客户端计算机上的本地“管理员”组。 你还可以创建组策略对象以添加受限制的组设置，从而将客户端请求安装帐户添加到本地“管理员”组。

为实现附加的安全性，创建多个客户端请求安装帐户，每个帐户均具有对有限个数的计算机的管理权限，以便在一个帐户受到侵害时，只会损害该帐户能够访问的客户端计算机。

确保 配置管理器 计算机客户端获得这些证书的授权副本：

• 配置管理器 的受信任根密钥

• 站点服务器签名证书

• 受信任的根密钥：

  如果你尚未为 配置管理器 扩展 Active Directory 架构，并且客户端在与管理点通信时未使用 PKI 证书，则客户端将依赖 配置管理器 的受信任根密钥来验证有效管理点的身份。 在这种情况下，除非管理点使用受信任的根密钥，否则客户端无法验证这些管理点是否为该层次结构的受信任管理点。 如果没有受信任的根密钥，则技能较高的攻击者可以将客户端导向未授权的管理点。

  当客户端无法从全局目录或者使用 PKI 证书下载 配置管理器 的受信任根密钥时，使用受信任的根密钥来预设置客户端，以确保无法将它们导向未授权的管理点。 有关详细信息，请参阅规划受信任的根密钥主题中的在 Configuration Manager 中规划安全性部分。

• 站点服务器签名证书：

  客户端使用站点服务器签名证书来验证站点服务器是否已将它们从管理点下载的客户端策略签名。 此证书由站点服务器自签名并将发布到 Active Directory 域服务。

  当客户端无法从全局目录下载站点服务器签名证书时，默认情况下，它们会从管理点下载该证书。 当管理点面临不受信任的网络（如 Internet）时，在客户端上手动安装站点服务器签名证书，以确保它们无法运行已在受侵害的管理点中篡改的客户端策略。

  若要手动安装站点服务器签名证书，请使用 CCMSetup 的 client.msi 属性 SMSSIGNCERT。 有关详细信息，请参阅 关于 Configuration Manager 中的客户端安装属性。

使用 CCMSetup Client.msi 选项 SMSDIRECTORYLOOKUP=NoWINS 安装客户端计算机

可供客户端查找站点和管理点的最安全的服务定位方法是使用 Active Directory 域服务。 如果无法做到这点（例如，由于你无法为 配置管理器 扩展 Active Directory 架构，或客户端位于不受信任的林或工作组中），则你可以将 DNS 发布用作备用服务定位方法。 如果未能采用这两个方法，则在未针对 HTTPS 客户端连接配置管理点时，客户端可以回退到使用 WINS。

由于其他发布方法比发布到 WINS 更为安全，因此通过指定 SMSDIRECTORYLOOKUP=NoWINS，将客户端计算机配置为不会回退到使用 WINS。 如果你必须使用 WINS 进行服务定位，请使用 SMSDIRECTORYLOOKUP=WINSSECURE（默认设置），它将使用 配置管理器 受信任根密钥来验证管理点的自签名证书。

注意
当针对 SMSDIRECTORYLOOKUP=WINSSECURE 配置客户端并从 WINS 中找到管理点时，客户端将检查它在 WMI 中的 配置管理器 受信任根密钥副本。 如果管理点证书上的签名与客户端的受信任根密钥的副本相匹配，则将验证证书，并且客户端将与其使用 WINS 找到的管理点通信。 如果管理点证书上的签名与客户端的受信任根密钥的副本不匹配，则证书无效，并且客户端将不会与其使用 WINS 找到的管理点通信。

对于具有写入筛选器的 Windows Embedded 设备，如果 配置管理器 禁用写入筛选器以保留软件安装和更改，请采取附加安全措施以减少攻击面

当在 Windows Embedded 设备中启用写入筛选器后，将仅对覆盖区进行任何软件安装或更改，并且在设备重启后不会保留。 如果你使用 配置管理器 来临时禁用写入筛选器以保留软件安装和更改，则在此期间，嵌入式设备会易于面临所有卷（这包括共享文件夹）均被更改的情况。

尽管 配置管理器 在此期间将锁定计算机以仅允许本地管理员登录，但仍要尽可能采取附加安全措施以便保护计算机。 例如，在防火墙上启用额外限制并从网络中断开设备。

如果你使用维护时段来保留更改，请仔细计划这些时段以最大限度缩短可能禁用写入筛选器的时间，但是时间长度应足够使软件安装和重启完成。

仅对于你信任并具有受限制的物理访问的计算机，将“计算机代理”客户端设备设置“重新启动时挂起 Bitlocker PIN 项”配置为“始终”

当你将此客户端设置设为“始终”，配置管理器 可完成软件安装以帮助确保关键软件更新已安装且服务已恢复。 但是，如果攻击者截获重启流程，则她将控制计算机。 仅当你信任该计算机并且该计算机的物理访问受到限制时才使用此设置。 例如，此设置可能适用于数据中心中的服务器。

对于你使用 配置管理器 注册并将在 Internet 上支持的移动设备：安装外围网络中的注册代理点和 Intranet 中的注册点

此角色分隔可帮助注册点防御攻击。 如果注册点受到侵害，攻击者可能会获得身份验证证书，并且可能会偷窃注册了移动设备的用户的凭据。

对于移动设备：只有在应用程序经过你信任的公司签名并且不允许未签名的文件安装时，才允许应用程序运行，从而帮助防止篡改清单信息和状态信息。

对于 配置管理器 注册的更多移动设备：使用移动设备配置项目将安全设置“未签名的应用程序”配置为“禁止”，并将“未签名的文件安装”配置为受信任源。

对于未安装 配置管理器 客户端但由 Exchange Server 连接器管理的移动设备：为 Exchange Server 连接器配置“应用程序设置”，以使“未签名的文件安装”和“未签名的应用程序”配置为“禁止”。

对于移动设备：通过限制可注册其移动设备的用户，从而帮助防止权限提升。

使用自定义客户端设置（而不是默认客户端设置）以仅允许授权用户注册其移动设备。

对于移动设备：确保用户用自己的移动设备向 Microsoft Intune 注册

由于在注册过程中会创建用户设备相关性关系，该关系将执行注册的用户映射到移动设备，因此，如果管理员为用户注册移动设备，则为用户部署的应用程序将不会安装在移动设备上，而是可能会安装为管理员部署的应用程序。

对于 Exchange Server 连接器：为连接器使用最小特权原则。

有关 Exchange Server 连接器需要的最少 cmdlet 的列表，请参阅 如何使用 Configuration Manager 和 Exchange 来管理移动设备。

对于 Mac 计算机：以独立于 配置管理器 的方式，监视和跟踪用户所注册证书的有效期。

为了确保业务连续性，请监视和跟踪用于 Mac 计算机的证书的有效期。配置管理器 SP1 不支持此证书的自动续订，并且会警告你证书即将过期。 有效期通常为 1 年。

有关如何续订证书的信息，请参阅 如何在 Configuration Manager 中将客户端安装在 Mac 计算机上 主题中的“续订 Mac 客户端证书”部分。