Sécurité et confidentialité pour le déploiement de système d’exploitation dans Configuration ManagerSecurity and privacy for OS deployment in Configuration Manager

S’applique à : Configuration Manager (Current Branch)Applies to: Configuration Manager (current branch)

Cet article contient des informations de sécurité et de confidentialité pour la fonctionnalité de déploiement de système d’exploitation dans Configuration Manager.This article contains security and privacy information for the OS deployment feature in Configuration Manager.

Bonnes pratiques en matière de sécurité pour le déploiement de système d’exploitationSecurity best practices for OS deployment

Utilisez les bonnes pratiques de sécurité suivantes lorsque vous déployez des systèmes d’exploitation avec Configuration Manager :Use the following security best practices for when you deploy operating systems with Configuration Manager:

Instaurez des contrôles d'accès pour protéger les supports de démarrageImplement access controls to protect bootable media

Lorsque vous créez un média de démarrage, attribuez toujours un mot de passe pour sécuriser le média.When you create bootable media, always assign a password to help secure the media. Même avec un mot de passe, seuls les fichiers qui contiennent des informations sensibles sont chiffrés et tous les fichiers peuvent être remplacés.Even with a password, it only encrypts files that contain sensitive information, and all files can be overwritten.

Contrôlez l'accès physique au média pour qu'une personne malveillante ne puisse pas recourir à des attaques par chiffrement pour obtenir le certificat d'authentification du client.Control physical access to the media to prevent an attacker from using cryptographic attacks to obtain the client authentication certificate.

Pour empêcher un client d’installer une stratégie client ou un contenu falsifié, le contenu est haché et doit être utilisé avec la stratégie d’origine.To help prevent a client from installing content or client policy that has been tampered with, the content is hashed and must be used with the original policy. Si le hachage du contenu échoue ou si la vérification détecte que le contenu correspond à la stratégie, le client n’utilise pas le média démarrable.If the content hash fails or the check that the content matches the policy, the client won't use the bootable media. Seul le contenu est haché.Only the content is hashed. La stratégie n’est pas hachée, mais elle est chiffrée et sécurisée quand vous spécifiez un mot de passe.The policy isn't hashed, but it's encrypted and secured when you specify a password. Il est donc plus difficile pour un attaquant de modifier la stratégie.This behavior makes it more difficult for an attacker to successfully modify the policy.

Utiliser un emplacement sécurisé quand vous créez des médias pour les images de système d’exploitationUse a secure location when you create media for OS images

Si des utilisateurs non autorisés ont accès à l’emplacement, ils peuvent falsifier les fichiers que vous créez.If unauthorized users have access to the location, they can tamper with the files that you create. Ils peuvent également utiliser tout l’espace disque disponible pour faire échouer la création des médias.They can also use all the available disk space so that the media creation fails.

Protéger les fichiers de certificatProtect certificate files

Protégez les fichiers de certificat (.pfx) avec un mot de passe fort.Protect certificate files (.pfx) with a strong password. Si vous les stockez sur le réseau, sécurisez le canal de réseau quand vous les importez dans Configuration Manager.If you store them on the network, secure the network channel when you import them into Configuration Manager

Quand vous avez besoin d’un mot de passe pour importer le certificat d’authentification client que vous utilisez pour les médias démarrables, cette configuration permet de protéger le certificat contre un attaquant.When you require a password to import the client authentication certificate that you use for bootable media, this configuration helps to protect the certificate from an attacker.

Utilisez la signature SMB ou IPsec entre l'emplacement réseau et le serveur de site pour empêcher un intrus de falsifier le fichier de certificat.Use SMB signing or IPsec between the network location and the site server to prevent an attacker from tampering with the certificate file.

Bloquer ou révoquer les certificats compromisBlock or revoke any compromised certificates

Si le certificat client est compromis, bloquez-le dans Configuration Manager.If the client certificate is compromised, block the certificate from Configuration Manager. S’il s’agit d’un certificat PKI, révoquez-le.If it's a PKI certificate, revoke it.

Pour déployer un système d’exploitation à l’aide d’un média démarrable et d’un démarrage PXE, vous devez disposer d’un certificat d’authentification client avec une clé privée.To deploy an OS by using bootable media and PXE boot, you must have a client authentication certificate with a private key. Si ce certificat est compromis, bloquez le certificat dans le nœud Certificats de l'espace de travail Administration , nœud Sécurité .If that certificate is compromised, block the certificate in the Certificates node in the Administration workspace, Security node.

Sécuriser le canal de communication entre le serveur de site et le fournisseur SMSSecure the communication channel between the site server and the SMS Provider

Quand le fournisseur SMS et le serveur de site sont distants l’un de l’autre, sécurisez le canal de communication pour protéger les images de démarrage.When the SMS Provider is remote from the site server, secure the communication channel to protect boot images.

Quand vous modifiez des images de démarrage et que le fournisseur SMS est en cours d’exécution sur un serveur qui n’est pas le serveur de site, les images de démarrage sont vulnérables aux attaques.When you modify boot images and the SMS Provider is running on a server that isn't the site server, the boot images are vulnerable to attack. Protégez le canal de réseau entre ces ordinateurs en utilisant la signature SMB ou IPsec.Protect the network channel between these computers by using SMB signing or IPsec.

Activez les points de distribution pour la communication du client PXE uniquement sur des segments de réseau sécurisésEnable distribution points for PXE client communication only on secure network segments

Quand un client envoie une demande de démarrage PXE, vous n’avez aucun moyen de vérifier que la demande est traitée par un point de distribution PXE valide.When a client sends a PXE boot request, you have no way to make sure that the request is serviced by a valid PXE-enabled distribution point. Ce scénario présente les risques de sécurité suivants :This scenario has the following security risks:

  • Un point de distribution non autorisé qui répond aux demandes PXE peut fournir une image falsifiée aux clients.A rogue distribution point that responds to PXE requests could provide a tampered image to clients.

  • Un attaquant peut lancer une attaque de l’intercepteur contre le protocole TFTP utilisé par PXE.An attacker could launch a man-in-the-middle attack against the TFTP protocol that is used by PXE. Cette attaque peut envoyer du code malveillant avec les fichiers du système d’exploitation.This attack could send malicious code with the OS files. L’attaquant peut également créer un client non autorisé pour effectuer des demandes TFTP directement au point de distribution.The attacker could also create a rogue client to make TFTP requests directly to the distribution point.

  • Une personne malveillante peut utiliser un client malveillant pour lancer une attaque par déni de service contre le point de distribution.An attacker could use a malicious client to launch a denial of service attack against the distribution point.

Adoptez un système de défense en profondeur pour protéger les segments réseau sur lesquels les clients accèdent aux points de distribution compatibles PXE.Use defense in depth to protect the network segments where clients access PXE-enabled distribution points.

Avertissement

En raison de ces risques de sécurité, n’activez pas un point de distribution pour les communications PXE s’il se trouve sur un réseau non approuvé (par exemple, un réseau de périmètre).Because of these security risks, don't enable a distribution point for PXE communication when it's in an untrusted network, such as a perimeter network.

Configurez le point de distribution PXE de sorte qu'il réponde aux demandes PXE uniquement sur des interfaces réseau spécifiéesConfigure PXE-enabled distribution points to respond to PXE requests only on specified network interfaces

Si vous autorisez le point de distribution à répondre aux demandes PXE sur toutes les interfaces réseau, cette configuration peut exposer le service PXE à des réseaux non approuvésIf you allow the distribution point to respond to PXE requests on all network interfaces, this configuration might expose the PXE service to untrusted networks

Exigez un mot de passe pour le démarrage PXERequire a password to PXE boot

Quand vous avez besoin d’un mot de passe pour le démarrage PXE, cette configuration ajoute un niveau de sécurité supplémentaire au processus de démarrage PXE.When you require a password for PXE boot, this configuration adds an extra level of security to the PXE boot process. Cette configuration permet d’éviter que des clients non autorisés ne rejoignent la hiérarchie Configuration Manager.This configuration helps safeguard against rogue clients joining the Configuration Manager hierarchy.

Restreindre le contenu dans les images de système d’exploitation utilisées pour le démarrage PXE ou la multidiffusionRestrict content in OS images used for PXE boot or multicast

N’incluez pas d’applications métier ni de logiciels contenant des données sensibles dans une image que vous utilisez pour le démarrage PXE ou la multidiffusion.Don't include line-of-business applications or software that contains sensitive data in an image that you use for PXE boot or multicast.

En raison des risques de sécurité liés à la multidiffusion et au démarrage PXE, réduisez les risques si un ordinateur non autorisé télécharge l’image du système d’exploitation.Because of the inherent security risks involved with PXE boot and multicast, reduce the risks if a rogue computer downloads the OS image.

Restreindre le contenu installé par les variables de séquences de tâchesRestrict content installed by task sequence variables

N’incluez pas d’applications métier ni de logiciels contenant des données sensibles dans les packages d’applications que vous installez à l’aide de variables de séquences de tâches.Don't include line-of-business applications or software that contains sensitive data in packages of applications that you install by using task sequences variables.

Quand vous déployez un logiciel à l’aide de variables de séquences de tâches, il peut être installé sur des ordinateurs et pour des utilisateurs qui ne sont pas autorisés à le recevoir.When you deploy software by using task sequences variables, it might be installed on computers and to users who aren't authorized to receive that software.

Sécuriser le canal de réseau durant la migration d’un état utilisateurSecure the network channel when migrating user state

Quand vous migrez un état utilisateur, sécurisez le canal réseau entre le client et le point de migration d’état à l’aide d’une signature SMB ou d’IPsec.When you migrate user state, secure the network channel between the client and the state migration point by using SMB signing or IPsec.

Après la connexion initiale sur HTTP, les données de migration d'état utilisateur sont transférées à l'aide de SMB.After the initial connection over HTTP, user state migration data is transferred by using SMB. Si vous ne sécurisez pas le canal de réseau, un attaquant peut lire et modifier ces données.If you don't secure the network channel, an attacker can read and modify this data.

Utiliser la dernière version de l’outil USMTUse the latest version of USMT

Utilisez la dernière version de l’outil de migration de l’état utilisateur (USMT) pris en charge par Configuration Manager.Use the latest version of the User State Migration Tool (USMT) that Configuration Manager supports.

La dernière version d'USMT offre des améliorations de sécurité et un meilleur contrôle de la migration des données d'état utilisateur.The latest version of USMT provides security enhancements and greater control for when you migrate user state data.

Supprimer manuellement les dossiers des points de migration d’état après leur mise hors serviceManually delete folders on state migration points when you decommission them

Quand vous supprimez un dossier de point de migration d’état dans la console Configuration Manager sur les propriétés du point de migration d’état, le site ne supprime pas le dossier physique.When you remove a state migration point folder in the Configuration Manager console on the state migration point properties, the site doesn't delete the physical folder. Pour protéger les données de migration d’état utilisateur contre la divulgation d’informations, supprimez manuellement le partage réseau et supprimez le dossier.To protect the user state migration data from information disclosure, manually remove the network share and delete the folder.

Ne pas configurer la stratégie de suppression pour supprimer immédiatement l’état utilisateurDon't configure the deletion policy to immediately delete user state

Si vous configurez la stratégie de suppression sur le point de migration d’état afin de supprimer immédiatement les données marquées pour suppression, et qu’un attaquant parvient à récupérer les données d’état utilisateur avant l’ordinateur valide, le site supprime immédiatement les données d’état utilisateur.If you configure the deletion policy on the state migration point to immediately remove data that's marked for deletion, and if an attacker manages to retrieve the user state data before the valid computer does, the site immediately deletes the user state data. Définissez l'intervalle Supprimer après de sorte qu'il soit suffisamment long pour permettre la vérification de la restauration correcte des données de l'état utilisateur.Set the Delete after interval to be long enough to verify the successful restore of user state data.

Supprimer manuellement les associations d’ordinateursManually delete computer associations

Supprimez manuellement les associations d’ordinateurs quand la restauration des données de migration d’état utilisateur est terminée et vérifiée.Manually delete computer associations when the user state migration data restore is complete and verified.

Configuration Manager ne supprime pas automatiquement les associations d’ordinateurs.Configuration Manager doesn't automatically remove computer associations. Protégez l’identité des données d’état utilisateur en supprimant manuellement les associations d’ordinateurs qui ne sont plus nécessaires.Help to protect the identity of user state data by manually deleting computer associations that are no longer required.

Sauvegardez manuellement les données de migration d'état utilisateur sur le point de migration d'étatManually back up the user state migration data on the state migration point

La sauvegarde Configuration Manager n’inclut pas les données de migration d’état utilisateur dans la sauvegarde de site.Configuration Manager Backup doesn't include the user state migration data in the site backup.

Instaurez des contrôles d'accès pour protéger les médias préparésImplement access controls to protect the prestaged media

Contrôlez l'accès physique au média pour qu'une personne malveillante ne puisse pas recourir à des attaques par chiffrement afin d'obtenir le certificat d'authentification du client et les données sensibles.Control physical access to the media to prevent an attacker from using cryptographic attacks to obtain the client authentication certificate and sensitive data.

Instaurez des contrôles d'accès pour protéger le processus d'acquisition d'image de l'ordinateur de référenceImplement access controls to protect the reference computer imaging process

Vérifiez que l’ordinateur de référence que vous utilisez pour capturer les images de système d’exploitation se trouve dans un environnement sécurisé.Make sure the reference computer you use to capture OS images is in a secure environment. Utilisez des contrôles d’accès appropriés pour empêcher l’installation de logiciels inattendus ou malveillants et éviter leur inclusion accidentelle dans l’image capturée.Use appropriate access controls so that unexpected or malicious software can't be installed and inadvertently included in the captured image. Quand vous capturez l’image, vérifiez que l’emplacement réseau de destination est sécurisé.When you capture the image, make sure the destination network location is secure. Ce processus rend impossible toute falsification de l’image une fois celle-ci capturée.This process helps make sure the image can't be tampered with after you capture it.

Installez systématiquement les mises à jour de sécurité les plus récentes sur l'ordinateur de référenceAlways install the most recent security updates on the reference computer

Lorsque l'ordinateur de référence contient des mises à jour de sécurité, il permet de réduire la fenêtre de vulnérabilité des nouveaux ordinateurs lors de leur premier démarrage.When the reference computer has current security updates, it helps to reduce the window of vulnerability for new computers when they first start up.

Implémenter des contrôles d’accès durant le déploiement d’un système d’exploitation sur un ordinateur inconnuImplement access controls when deploying an OS to an unknown computer

Si vous devez déployer un système d’exploitation sur un ordinateur inconnu, implémentez des contrôles d’accès pour empêcher les ordinateurs non autorisés de se connecter au réseau.If you must deploy an OS to an unknown computer, implement access controls to prevent unauthorized computers from connecting to the network.

Le provisionnement d’ordinateurs inconnus constitue une méthode pratique pour déployer de nouveaux ordinateurs à la demande.Provisioning unknown computers provides a convenient method to deploy new computers on demand. Toutefois, elle peut également permettre à un attaquant de devenir un client approuvé sur votre réseau.But it can also allow an attacker to efficiently become a trusted client on your network. Limitez l'accès physique au réseau et contrôlez les clients afin de détecter les ordinateurs non autorisés.Restrict physical access to the network, and monitor clients to detect unauthorized computers.

Sur les ordinateurs qui répondent à un déploiement de système d’exploitation lancé par PXE, toutes les données peuvent être détruites au cours du processus.Computers responding to a PXE-initiated OS deployment might have all data destroyed during the process. Ce comportement peut entraîner une perte de la disponibilité des systèmes qui sont reformatés par inadvertance.This behavior could result in a loss of availability of systems that are inadvertently reformatted.

Activez le chiffrement de packages de multidiffusionEnable encryption for multicast packages

Pour chaque package de déploiement de système d’exploitation, vous pouvez activer le chiffrement quand Configuration Manager transfère le package par multidiffusion.For every OS deployment package, you can enable encryption when Configuration Manager transfers the package by using multicast. Cette configuration empêche les ordinateurs non autorisés de rejoindre la session de multidiffusion.This configuration helps prevent rogue computers from joining the multicast session. Elle empêche également les attaquants de falsifier la transmission.It also helps prevent attackers from tampering with the transmission.

Contrôlez les points de distribution de multidiffusion activéeMonitor for unauthorized multicast-enabled distribution points

Si des attaquants peuvent accéder à votre réseau, ils peuvent configurer des serveurs de multidiffusion non autorisés de manière à usurper l’identité d’un déploiement de système d’exploitation.If attackers can gain access to your network, they can configure rogue multicast servers to spoof OS deployment.

Lorsque vous exportez des séquences de tâches vers un emplacement réseau, sécurisez l'emplacement et le canal de réseauWhen you export task sequences to a network location, secure the location and secure the network channel

Veillez à restreindre l'accès au dossier réseau.Restrict who can access the network folder.

Utilisez la signature SMB ou IPsec entre l'emplacement réseau et le serveur de site pour empêcher une personne malveillante de falsifier la séquence de tâches exportée.Use SMB signing or IPsec between the network location and the site server to prevent an attacker from tampering with the exported task sequence.

Adopter des mesures de sécurité supplémentaire en cas d’utilisation du compte d’identification de séquence de tâchesIf you use the task sequence run as account, take additional security precautions

Si vous utilisez le compte d’identification de séquence de tâches, prenez les précautions suivantes :If you use the task sequence run as account, take the following precautionary steps:

  • Utilisez un compte doté du moindre nombre d'autorisations possible.Use an account with the least possible permissions.

  • N’utilisez pas le compte d’accès réseau pour ce compte.Don't use the network access account for this account.

  • Ne configurez en aucun cas le compte en tant qu'administrateur de domaine.Never make the account a domain administrator.

  • Ne configurez jamais de profils itinérants pour ce compte.Never configure roaming profiles for this account. Quand la séquence de tâches s’exécute, elle télécharge le profil itinérant pour le compte, ce qui le rend vulnérable aux accès sur l’ordinateur local.When the task sequence runs, it downloads the roaming profile for the account, which leaves the profile vulnerable to access on the local computer.

  • Limitez la portée du compte.Limit the scope of the account. Par exemple, créez un compte d’identification différent pour chaque séquence de tâches.For example, create different task sequence run as accounts for each task sequence. Si un compte est compromis, seuls les ordinateurs clients auxquels ce compte a accès sont compromis.If one account is compromised, only the client computers to which that account has access are compromised. Si la ligne de commande nécessite un accès administratif sur l’ordinateur, songez à créer un compte administrateur local réservé au compte d’identification de séquence de tâches.If the command line requires administrative access on the computer, consider creating a local administrator account solely for the task sequence run as account. Créez ce compte local sur tous les ordinateurs qui exécutent la séquence de tâches et supprimez-le dès qu’il n’est plus nécessaire.Create this local account on all computers that run the task sequence, and delete the account as soon as it's no longer required.

Limiter et superviser les utilisateurs administratifs bénéficiant du rôle de sécurité Gestionnaire de déploiement de système d’exploitationRestrict and monitor the administrative users who are granted the OS deployment manager security role

Les utilisateurs administratifs qui se voient accorder le rôle de sécurité Gestionnaire de déploiement de système d’exploitation peuvent créer des certificats auto-signés.Administrative users who are granted the OS deployment manager security role can create self-signed certificates. Ces certificats peuvent ensuite être utilisés pour emprunter l’identité d’un client et obtenir la stratégie client auprès de Configuration Manager.These certificates can then be used to impersonate a client and obtain client policy from Configuration Manager.

Utiliser le protocole HTTP amélioré pour éviter de recourir à un compte d’accès réseauUse Enhanced HTTP to reduce the need for a network access account

À compter de la version 1806, quand vous activez HTTP amélioré, les scénarios suivants de déploiement de système d’exploitation ne nécessitent pas un compte d’accès réseau pour télécharger du contenu à partir d’un point de distribution.Starting in version 1806, when you enable Enhanced HTTP, several OS deployment scenarios don't require a network access account to download content from a distribution point. Pour plus d’informations, consultez Séquences de tâches et compte d’accès réseau.For more information, see Task sequences and the network access account.

Problèmes de sécurité pour le déploiement de système d’exploitationSecurity issues for OS deployment

Bien que le déploiement de système d’exploitation puisse être un moyen pratique de déployer les systèmes d’exploitation et les configurations les plus sécurisés sur les ordinateurs de votre réseau, il comporte les risques de sécurité suivants :Although OS deployment can be a convenient way to deploy the most secure operating systems and configurations for computers on your network, it does have the following security risks:

Divulgation d'informations et déni de serviceInformation disclosure and denial of service

Si un attaquant parvient à prendre le contrôle de votre infrastructure Configuration Manager, il peut exécuter n’importe quelle séquence de tâches.If an attacker can obtain control of your Configuration Manager infrastructure, they could run any task sequences. Ce processus peut inclure le formatage des disques durs de tous les ordinateurs clients.This process might include formatting the hard drives of all client computers. Des séquences de tâches peuvent être configurées pour contenir des informations sensibles, telles que les comptes autorisés à rejoindre le domaine et les clés de licence en volume.Task sequences can be configured to contain sensitive information, such as accounts that have permissions to join the domain and volume licensing keys.

Emprunt d'identité et élévation de privilègesImpersonation and elevation of privileges

Des séquences de tâches peuvent joindre un ordinateur au domaine, qui peut fournir l'accès réseau authentifié à un ordinateur non autorisé.Task sequences can join a computer to domain, which can provide a rogue computer with authenticated network access.

Protégez le certificat d’authentification client utilisé pour le média de la séquence de tâches démarrable et pour le déploiement du démarrage PXE.Protect the client authentication certificate that's used for bootable task sequence media and for PXE boot deployment. Quand vous capturez un certificat d’authentification client, un attaquant peut en profiter pour obtenir la clé privée dans le certificat.When you capture a client authentication certificate, this process gives an attacker an opportunity to obtain the private key in the certificate. Ce certificat lui permet ensuite d’emprunter l’identité d’un client valide sur le réseau.This certificate lets them impersonate a valid client on the network. Dans ce scénario, l'ordinateur non autorisé peut télécharger une stratégie, qui peut contenir des données sensibles.In this scenario, the rogue computer can download policy, which can contain sensitive data.

Si les clients utilisent le compte d’accès réseau pour accéder aux données stockées sur le point de migration d’état, ces clients partagent effectivement la même identité.If clients use the network access account to access data stored on the state migration point, these clients effectively share the same identity. Ils peuvent accéder aux données de migration d’état à partir d’un autre client qui utilise le compte d’accès réseau.They could access state migration data from another client that uses the network access account. Les données sont chiffrées et seul le client d'origine peut donc les lire, mais elles peuvent être falsifiées ou supprimées.The data is encrypted so only the original client can read it, but the data could be tampered with or deleted.

L’authentification des clients auprès du point de migration d’état s’effectue à l’aide d’un jeton Configuration Manager émis par le point de gestion.Client authentication to the state migration point is achieved by using a Configuration Manager token that is issued by the management point.

Configuration Manager ne limite pas et ne gère pas la quantité de données stockées sur le point de migration d’état.Configuration Manager doesn't limit or manage the amount of data that's stored on the state migration point. Un attaquant peut remplir l’espace disque disponible et provoquer un déni de service.An attacker could fill up the available disk space and cause a denial of service.

Si vous utilisez des variables de regroupement, les administrateurs locaux peuvent lire des informations potentiellement sensibles.If you use collection variables, local administrators can read potentially sensitive information

Même si les variables de regroupement offrent une méthode flexible pour le déploiement de systèmes d’exploitation, elles peuvent entraîner une divulgation d’informations.Although collection variables offer a flexible method to deploy operating systems, this feature might result in information disclosure.

Informations de confidentialité pour le déploiement de système d’exploitationPrivacy information for OS deployment

Configuration Manager permet non seulement de déployer un système d’exploitation sur un ordinateur dépourvu de système d’exploitation, mais aussi de migrer les fichiers et paramètres des utilisateurs d’un ordinateur à un autre.In addition to deploying an OS to computers without one, Configuration Manager can be used to migrate users' files and settings from one computer to another. L'administrateur configure les informations à transférer, notamment les fichiers de données personnelles, les paramètres de configuration et les cookies du navigateur.The administrator configures which information to transfer, including personal data files, configuration settings, and browser cookies.

Configuration Manager stocke les informations sur un point de migration d’état qu’il chiffre durant la transmission et le stockage.Configuration Manager stores the information on a state migration point, and encrypts it during transmission and storage. Seul le nouvel ordinateur associé aux informations d’état peut récupérer les informations stockées.Only the new computer associated with the state information can retrieve the stored information. Si le nouvel ordinateur perd la clé permettant d’extraire les informations, un administrateur Configuration Manager bénéficiant de l’autorisation Afficher les informations de récupération sur les objets d’instance d’association d’ordinateurs peut accéder aux informations et les associer au nouvel ordinateur.If the new computer loses the key to retrieve the information, a Configuration Manager administrator with the View Recovery Information right on computer association instance objects can access the information and associate it with a new computer. Une fois que le nouvel ordinateur a restauré les informations d’état, il supprime par défaut les données après une journée.After the new computer restores the state information, it deletes the data after one day, by default. Vous pouvez configurer le moment auquel le point de migration de l'état supprime les données marquées pour suppression.You can configure when the state migration point removes data marked for deletion. Configuration Manager ne stocke pas les informations de migration d’état dans la base de données de site et ne les envoie pas à Microsoft.Configuration Manager doesn't store the state migration information in the site database, and doesn't send it to Microsoft.

Si vous utilisez un média de démarrage pour déployer des images de système d’exploitation, utilisez systématiquement l’option par défaut pour protéger par mot de passe le média de démarrage.If you use boot media to deploy OS images, always use the default option to password-protect the boot media. Le mot de passe chiffre les variables stockées dans la séquence de tâches, mais les informations non stockées dans une variable peuvent être facilement divulguées.The password encrypts any variables stored in the task sequence, but any information not stored in a variable might be vulnerable to disclosure.

Le déploiement du système d’exploitation peut utiliser des séquences de tâches pour effectuer un grand nombre de tâches durant le processus de déploiement, notamment l’installation d’applications et de mises à jour logicielles.OS deployment can use task sequences to perform many different tasks during the deployment process, which includes installing applications and software updates. Lorsque vous configurez des séquences de tâches, vous devez également être conscient des conséquences de l'installation de logiciels en termes de confidentialité.When you configure task sequences, you should also be aware of the privacy implications of installing software.

Configuration Manager n’implémente pas le déploiement de système d’exploitation par défaut.Configuration Manager doesn't implement OS deployment by default. Vous devez effectuer plusieurs étapes de configuration avant de pouvoir collecter des informations d’état utilisateur ou créer des séquences de tâches ou des images de démarrage.It requires several configuration steps before you collect user state information or create task sequences or boot images.

Avant de configurer le déploiement de système d’exploitation, prenez en compte vos impératifs en matière de confidentialité.Before you configure OS deployment, consider your privacy requirements.

Voir aussiSee also

Données de diagnostic et d’utilisationDiagnostics and usage data

Sécurité et confidentialité pour Configuration ManagerSecurity and privacy for Configuration Manager