Biztonság és adatvédelem a Configuration Managerben az operációs rendszer telepítéseSecurity and privacy for OS deployment in Configuration Manager

Vonatkozik: A System Center Configuration Manager (aktuális ág)Applies to: System Center Configuration Manager (Current Branch)

Ez a cikk tartalmazza a biztonsági és adatvédelmi információkat az operációs rendszer központi telepítési szolgáltatásának a Configuration Managerben.This article contains security and privacy information for the OS deployment feature in Configuration Manager.

Ajánlott biztonsági eljárások az operációs rendszer telepítéseSecurity best practices for OS deployment

A Configuration Manager operációs rendszerek központi telepítésekor használja az alábbi ajánlott biztonsági eljárásokat:Use the following security best practices for when you deploy operating systems with Configuration Manager:

Alkalmazzon hozzáférés-vezérlést a rendszerindító adathordozók védelméhez.Implement access controls to protect bootable media

Amikor rendszerindító adathordozót hoz létre, mindig használjon jelszót az adathordozó védelméhez.When you create bootable media, always assign a password to help secure the media. Még jelszó használata esetén csak bizalmas információkat tartalmazó fájlokat titkosítja, és minden fájl felülírható.Even with a password, it only encrypts files that contain sensitive information, and all files can be overwritten.

Korlátozza az adathordozó fizikai hozzáférését annak megakadályozásához, hogy a támadók kriptográfiai támadásokkal meg tudják szerezni az ügyfél-hitelesítési tanúsítványt.Control physical access to the media to prevent an attacker from using cryptographic attacks to obtain the client authentication certificate.

A rendszer kivonatot készít a tartalomból, és azt az eredeti házirenddel együtt kell használni, ezzel akadályozható meg, hogy az ügyfelek illetéktelenül módosított tartalmat vagy ügyfélházirendet telepítsenek.To help prevent a client from installing content or client policy that has been tampered with, the content is hashed and must be used with the original policy. Ha a tartalomkivonat meghibásodik, illetve az ellenőrzése, hogy a tartalom megfelel-e a szabályzatot, az ügyfél nem fog használni a rendszerindító adathordozót.If the content hash fails or the check that the content matches the policy, the client won't use the bootable media. Csak a tartalomhoz készül kivonat.Only the content is hashed. A szabályzat nem kivonatolt, de a titkosított és védett, ha megad egy jelszót.The policy isn't hashed, but it's encrypted and secured when you specify a password. Ez a viselkedés megnehezíti a támadók számára a házirend módosítását.This behavior makes it more difficult for an attacker to successfully modify the policy.

Használjon biztonságos helyet az operációsrendszer-lemezképek adathordozó létrehozásakorUse a secure location when you create media for OS images

Ha jogosulatlan felhasználók hozzáférhetnek a helyre, akkor képes illetéktelenül módosítani az Ön által létrehozott fájlokat.If unauthorized users have access to the location, they can tamper with the files that you create. Szolgáltatást is alkalmazhatja az összes rendelkezésre álló lemezterület, hogy a média létrehozása sikertelen lesz.They can also use all the available disk space so that the media creation fails.

Tanúsítvány fájlok védelmeProtect certificate files

Tanúsítványfájlokat (.pfx) erős jelszóval védeni.Protect certificate files (.pfx) with a strong password. Ha tárolja ezeket a hálózaton, a hálózati csatorna biztonságáról, amikor importálja a fájlokat a Configuration ManagerbeIf you store them on the network, secure the network channel when you import them into Configuration Manager

Ha jelszó kell a rendszerindító adathordozóhoz használt ügyfél-hitelesítési tanúsítvány importálásához, ez a konfiguráció segít megvédeni a tanúsítványt a támadóktól.When you require a password to import the client authentication certificate that you use for bootable media, this configuration helps to protect the certificate from an attacker.

A hálózati hely és a helykiszolgáló között használja az SMB-aláírást vagy az IPsec protokollt, hogy megakadályozza a tanúsítványfájl támadók általi illetéktelen módosítását.Use SMB signing or IPsec between the network location and the site server to prevent an attacker from tampering with the certificate file.

Letiltása vagy bármely feltört tanúsítványok visszavonásaBlock or revoke any compromised certificates

Ha az ügyféltanúsítvány biztonsága sérül, blokkolja a tanúsítványt a Configuration Manager alkalmazásból.If the client certificate is compromised, block the certificate from Configuration Manager. Ha PKI-tanúsítványt, visszavonása.If it's a PKI certificate, revoke it.

Az operációs rendszer telepítése rendszerindító adathordozó és PXE-rendszerindítás használatával, egy ügyfél-hitelesítési tanúsítvány és titkos kulccsal kell rendelkeznie.To deploy an OS by using bootable media and PXE boot, you must have a client authentication certificate with a private key. Ha a tanúsítvány biztonsága sérül, blokkolja a tanúsítványt a Felügyelet munkaterület Biztonság csomópontjában található Tanúsítványok csomópontban.If that certificate is compromised, block the certificate in the Certificates node in the Administration workspace, Security node.

A kommunikációs csatornát a helykiszolgáló és az SMS-szolgáltató közöttSecure the communication channel between the site server and the SMS Provider

Amikor az SMS-szolgáltató a helykiszolgálótól távol, a kommunikációs csatornát védeni a rendszerindító lemezképeket.When the SMS Provider is remote from the site server, secure the communication channel to protect boot images.

Ha módosítja a rendszerindító lemezképeket, és az SMS-szolgáltató olyan kiszolgálóra, amely a helykiszolgáló nem fut, a rendszerindító lemezképek ki téve a támadásokkal szemben.When you modify boot images and the SMS Provider is running on a server that isn't the site server, the boot images are vulnerable to attack. SMB-aláírás vagy az IPsec protokoll használatával védheti az ilyen számítógépek közötti hálózati csatornát.Protect the network channel between these computers by using SMB signing or IPsec.

A terjesztési pontokon csak a biztonságos hálózati szegmensekben engedélyezze a PXE-ügyfélkommunikációt.Enable distribution points for PXE client communication only on secure network segments

Amikor egy ügyfél PXE-rendszerindítási kérelmet küld, hogy nem lehet, győződjön meg arról, hogy a kérelem egy érvényes PXE-képes terjesztési pont szolgálja-e.When a client sends a PXE boot request, you have no way to make sure that the request is serviced by a valid PXE-enabled distribution point. Ez a helyzet a következő biztonsági kockázatokat vonja maga után:This scenario has the following security risks:

  • A PXE-kérelmekre válaszoló támadó szándékú terjesztési pont illetéktelenül módosított lemezképet küldhet az ügyfeleknek.A rogue distribution point that responds to PXE requests could provide a tampered image to clients.

  • Egy támadó el tudják indítani a man-in-the-middle támadások ellen a PXE által használt TFTP protokollt.An attacker could launch a man-in-the-middle attack against the TFTP protocol that is used by PXE. A támadás sikerült rosszindulatú kódot küldhetnek az operációs rendszer fájljai.This attack could send malicious code with the OS files. A támadó is létrehozhat egy támadó ügyfelet TFTP-kérelmeket közvetlenül a terjesztési pontra.The attacker could also create a rogue client to make TFTP requests directly to the distribution point.

  • A támadók rosszindulatú ügyfél használatával szolgáltatásmegtagadási támadást indíthatnak a terjesztési pont ellen.An attacker could use a malicious client to launch a denial of service attack against the distribution point.

Használjon mélységi a hálózati szegmensek védelméhez, ahol az ügyfelek érhetik el a PXE-képes terjesztési pontokon.Use defense in depth to protect the network segments where clients access PXE-enabled distribution points.

Figyelmeztetés

A felsorolt biztonsági kockázatok miatt nem engedélyezi a terjesztési pont a PXE-kommunikációt amikor nem megbízható hálózathoz, például szegélyhálózatban.Because of these security risks, don't enable a distribution point for PXE communication when it's in an untrusted network, such as a perimeter network.

A PXE használatára beállított terjesztési pontokat konfigurálja úgy, hogy csak a megadott hálózati felületeken válaszoljanak a PXE-kérelmekre.Configure PXE-enabled distribution points to respond to PXE requests only on specified network interfaces

Ha a terjesztési pontot úgy állítja be, hogy minden hálózati felületen válaszoljon a PXE-kérelmekre, ezzel veszélyeztetheti a PXE szolgáltatást a nem megbízható hálózatokbanIf you allow the distribution point to respond to PXE requests on all network interfaces, this configuration might expose the PXE service to untrusted networks

Állítson be jelszót a PXE-rendszerindításhoz.Require a password to PXE boot

Amikor PXE-rendszerindításhoz szükséges jelszó, ezt a konfigurációt ad hozzá egy biztonsági szintet a PXE rendszerindítási folyamatának.When you require a password for PXE boot, this configuration adds an extra level of security to the PXE boot process. Ez a konfiguráció segít védelmet biztosít a támadó ügyfelek csatlakozzanak a Configuration Manager-hierarchiában.This configuration helps safeguard against rogue clients joining the Configuration Manager hierarchy.

Az operációsrendszer-lemezképek a PXE vagy csoportos küldés használt tartalom korlátozásaRestrict content in OS images used for PXE boot or multicast

Nem tartalmazza az üzletági alkalmazásokat és szoftvereket. a képet, amely a PXE vagy csoportos küldést használ a bizalmas adatokat tartalmazó.Don't include line-of-business applications or software that contains sensitive data in an image that you use for PXE boot or multicast.

A kapcsolódó biztonsági kockázatok PXE-rendszerindításhoz és a csoportos küldés, miatt csökkentse annak egy engedélyezetlen számítógép az operációsrendszer-képet tölti le.Because of the inherent security risks involved with PXE boot and multicast, reduce the risks if a rogue computer downloads the OS image.

Feladatütemezési változók által telepített tartalom korlátozásaRestrict content installed by task sequence variables

Nem – üzletági alkalmazások vagy a szoftverfrissítési csomagokat, amelyeket a feladat segítségével telepítse a bizalmas adatokat tartalmazó változókat feladatütemezések.Don't include line-of-business applications or software that contains sensitive data in packages of applications that you install by using task sequences variables.

Amikor szoftvert telepít központilag a feladatütemezési változók használatával, akkor előfordulhat, hogy telepítve a számítógépeken és a felhasználók számára nem engedélyezett az adott szoftver.When you deploy software by using task sequences variables, it might be installed on computers and to users who aren't authorized to receive that software.

A hálózati csatorna biztonságáról, ha a felhasználói állapot áttelepítéseSecure the network channel when migrating user state

Felhasználói állapot áttelepítésekor SMB-aláírást vagy IPsec használatával gondoskodhat az ügyfél és az állapotáttelepítési pont közötti hálózati csatornát.When you migrate user state, secure the network channel between the client and the state migration point by using SMB signing or IPsec.

A kezdeti HTTP-csatlakozás után a felhasználói állapot áttelepítéséhez szükséges adatok átvitele az SMB protokoll használatával történik.After the initial connection over HTTP, user state migration data is transferred by using SMB. Ha nem védi a hálózati csatornát, a támadó olvashatják és módosíthatják ezeket az adatokat.If you don't secure the network channel, an attacker can read and modify this data.

A legújabb verzióját használja, az USMTUse the latest version of USMT

Az a felhasználói állapot áttelepítési eszköz (USMT), amely támogatja a Configuration Manager legújabb verzióját használja.Use the latest version of the User State Migration Tool (USMT) that Configuration Manager supports.

A Felhasználóiállapot-áttelepítő eszköz legújabb verziója biztonsági javításokat tartalmaz, és több beállítási lehetőséget kínál a felhasználói állapot adatainak áttelepítésekor.The latest version of USMT provides security enhancements and greater control for when you migrate user state data.

Törölje kézzel mappákat az állapotáttelepítési pontok őket leszerelésekorManually delete folders on state migration points when you decommission them

Egy mappa állapot áttelepítése a Configuration Manager konzolján az állapotáttelepítési pont tulajdonságainál eltávolításakor a hely a fizikai mappa nem törli.When you remove a state migration point folder in the Configuration Manager console on the state migration point properties, the site doesn't delete the physical folder. A felhasználói állapot áttelepítési adatait védeni az információfelfedés ellen, manuálisan távolítsa el a hálózati megosztást, és törölje a mappát.To protect the user state migration data from information disclosure, manually remove the network share and delete the folder.

Ne konfigurálja a törlési házirendet, azonnal törli a felhasználói állapotDon't configure the deletion policy to immediately delete user state

Ha a törlési házirendet törlésre jelölt adatok azonnal eltávolítja az állapotáttelepítési ponton konfigurálja, és ha egy támadó a felhasználói állapotadatok lekéréséhez, mielőtt a érvényes számítógép, a hely azonnal törli a felhasználói állapot adatait.If you configure the deletion policy on the state migration point to immediately remove data that's marked for deletion, and if an attacker manages to retrieve the user state data before the valid computer does, the site immediately deletes the user state data. A Törlés időtartamot állítsa olyan hosszúságúra, hogy biztosítani tudja a felhasználói állapot adatainak sikeres helyreállítását.Set the Delete after interval to be long enough to verify the successful restore of user state data.

Törölje kézzel a számítógép-társításokManually delete computer associations

Manuálisan törölje a számítógép-társításokról, ha a felhasználói állapot adatainak helyreállítása befejeződött és ellenőrzött.Manually delete computer associations when the user state migration data restore is complete and verified.

A Configuration Manager automatikusan nem távolítja el számítógép-hozzárendeléseket.Configuration Manager doesn't automatically remove computer associations. Súgó az identitás a felhasználóiállapot-adatok védelméhez kézzel törölje a számítógép-társításokról, amelyek már nem szükséges.Help to protect the identity of user state data by manually deleting computer associations that are no longer required.

Kézzel készítsen biztonsági mentést a felhasználói állapot áttelepítési adatairól az állapotáttelepítési ponton.Manually back up the user state migration data on the state migration point

A Configuration Manager biztonsági mentése az a hely biztonsági mentése nem tartalmazza a felhasználói állapot áttelepítési adatait.Configuration Manager Backup doesn't include the user state migration data in the site backup.

Alkalmazzon hozzáférés-vezérlést az előkészített adathordozók védelméhez.Implement access controls to protect the prestaged media

Korlátozza az adathordozó fizikai hozzáférését annak megakadályozásához, hogy a támadók kriptográfiai támadásokkal meg tudják szerezni az ügyfél-hitelesítési tanúsítványt és a bizalmas adatokat.Control physical access to the media to prevent an attacker from using cryptographic attacks to obtain the client authentication certificate and sensitive data.

Alkalmazzon hozzáférés-vezérlést a referencia-számítógépek lemezkép-készítési folyamatának védelméhez.Implement access controls to protect the reference computer imaging process

Ellenőrizze, hogy az operációsrendszer-lemezképek elkészítéséhez használt referencia-számítógép biztonságos környezetben.Make sure the reference computer you use to capture OS images is in a secure environment. Használja a megfelelő hozzáférés-vezérlést, így nem várt vagy rosszindulatú szoftvereket lehessen telepíteni, és bekerüljenek a rögzített lemezkép.Use appropriate access controls so that unexpected or malicious software can't be installed and inadvertently included in the captured image. Ha rögzíti a lemezképet, győződjön meg arról, a cél hálózati helye biztonságos.When you capture the image, make sure the destination network location is secure. Ez az eljárás biztosítja, hogy ellenőrizze, hogy a lemezképet ne lehessen illetéktelenül után rögzítené azt.This process helps make sure the image can't be tampered with after you capture it.

Mindig telepítse a legújabb biztonsági frissítéseket a referencia-számítógépre.Always install the most recent security updates on the reference computer

Ha a referencia-számítógépen naprakészek a biztonsági frissítések, csökken az első alkalommal elindított új számítógépek sebezhetőségének mértéke.When the reference computer has current security updates, it helps to reduce the window of vulnerability for new computers when they first start up.

Alkalmazzon hozzáférés-vezérlést az operációs rendszer egy ismeretlen számítógépre telepítésekorImplement access controls when deploying an OS to an unknown computer

Ha az operációs rendszer egy ismeretlen számítógépre kell telepítenie, megvalósítása a hozzáférés-vezérlést, hogy jogosulatlan számítógépek csatlakozzanak a hálózathoz.If you must deploy an OS to an unknown computer, implement access controls to prevent unauthorized computers from connecting to the network.

Ismeretlen számítógépek kiépítése kényelmes megoldásként új számítógépek igény szerinti üzembe helyezéséhez.Provisioning unknown computers provides a convenient method to deploy new computers on demand. De azt is lehetővé teszi egy támadó hatékonyan válhat a hálózaton egy megbízható ügyfélről.But it can also allow an attacker to efficiently become a trusted client on your network. Korlátozza a hálózat fizikai hozzáférését, és figyelje az ügyfeleket a jogosulatlan számítógépek felismeréséhez.Restrict physical access to the network, and monitor clients to detect unauthorized computers.

Válaszol a PXE környezetből kezdeményezett operációsrendszer-telepítés a számítógépekkel előfordulhatnak a folyamat során az összes adat.Computers responding to a PXE-initiated OS deployment might have all data destroyed during the process. Ez a viselkedés a rendszerek, amelyek véletlenül újraformázása elérhetőségének megszűnését eredményezheti.This behavior could result in a loss of availability of systems that are inadvertently reformatted.

Engedélyezze a csoportos küldésű csomagok titkosítását.Enable encryption for multicast packages

Minden operációs rendszer központi telepítési csomagot engedélyezheti a titkosítás, amikor a Configuration Manager továbbítja a csomagot csoportos küldéssel.For every OS deployment package, you can enable encryption when Configuration Manager transfers the package by using multicast. Ez a konfiguráció segít megakadályozza, hogy a támadó számítógépek csatlakozzanak a csoportos küldési munkamenethez.This configuration helps prevent rogue computers from joining the multicast session. Segítségével is megakadályozza, hogy a támadók illetéktelenül módosítsák az átvitel.It also helps prevent attackers from tampering with the transmission.

Figyelje a csoportos küldésre beállított jogosulatlan terjesztési pontokat.Monitor for unauthorized multicast-enabled distribution points

Ha a támadók hozzáférhetnek a hálózathoz, azokat konfigurálhatja támadó meghamisíthatja az operációs rendszer telepítése csoportos küldésű kiszolgálókat.If attackers can gain access to your network, they can configure rogue multicast servers to spoof OS deployment.

Amikor feladatütemezéseket exportál egy hálózati helyre, gondoskodjon a hely és a hálózati csatorna biztonságáról.When you export task sequences to a network location, secure the location and secure the network channel

Korlátozza a hálózati mappához hozzáférő felhasználók körét.Restrict who can access the network folder.

A hálózati hely és a helykiszolgáló között használja az SMB-aláírást vagy az IPsec protokollt, hogy megakadályozza az exportált feladatütemezés támadók általi illetéktelen módosítását.Use SMB signing or IPsec between the network location and the site server to prevent an attacker from tampering with the exported task sequence.

Ha a feladatütemezést futtató fiókot használja, további biztonsági intézkedésekreIf you use the task sequence run as account, take additional security precautions

Ha használja a feladatütemezés a futtató fiók, az alábbi óvintézkedéseket lépéseket:If you use the task sequence run as account, take the following precautionary steps:

  • Használjon olyan fiókot, amelyhez csak a minimálisan szükséges engedélyek vannak megadva.Use an account with the least possible permissions.

  • Ne használja a hálózatelérési fiókot ehhez a fiókhoz.Don't use the network access account for this account.

  • Ne tegye soha a fiókot tartományi rendszergazdává.Never make the account a domain administrator.

  • Ehhez a fiókhoz ne konfiguráljon soha barangolási profilt.Never configure roaming profiles for this account. A feladatütemezés futtatásakor a letölti a fiók, amely a profilt a helyi számítógépen való hozzáféréshez sebezhetőnek hagyja barangolási profilját.When the task sequence runs, it downloads the roaming profile for the account, which leaves the profile vulnerable to access on the local computer.

  • Korlátozza a fiók hatókörét.Limit the scope of the account. Hozzon létre például a futtató fiókok az egyes feladatütemezésekhez másik feladatütemezést.For example, create different task sequence run as accounts for each task sequence. Ha az egyik fiók biztonsága sérül, csak, amelyhez az adott fiók által elérhető ügyfélszámítógépek kerülnek veszélybe.If one account is compromised, only the client computers to which that account has access are compromised. Ha a parancssornak a számítógépen rendszergazdai hozzáférésre van szüksége, fontolja meg, kizárólag a feladatütemezést futtató fiókot a helyi rendszergazdai fiók létrehozása.If the command line requires administrative access on the computer, consider creating a local administrator account solely for the task sequence run as account. Az összes, a feladatütemezést futtató számítógépen a helyi fiók létrehozásához, és törölje ezt a fiókot, amint azt már nincs rá szükség.Create this local account on all computers that run the task sequence, and delete the account as soon as it's no longer required.

Korlátozza és figyelje a rendszergazda felhasználók, akik megkapják az operációs rendszer központi telepítési telepítője biztonsági szerepkörrelRestrict and monitor the administrative users who are granted the OS deployment manager security role

Rendszergazda felhasználók, akik megkapják a operációs rendszer központi telepítője biztonsági szerepkört hozhat létre önaláírt tanúsítványokat.Administrative users who are granted the OS deployment manager security role can create self-signed certificates. Ezek a tanúsítványok ezután használható ügyfél megszemélyesítése, és megszerezhetik az ügyfélházirendet a Configuration Manager alkalmazásból.These certificates can then be used to impersonate a client and obtain client policy from Configuration Manager.

Továbbfejlesztett HTTP használata csökkentése érdekében a hálózati hozzáférési fiókUse Enhanced HTTP to reduce the need for a network access account

Verzió 1806 kezdődően engedélyezésekor fokozott HTTP, számos operációs rendszer központi telepítési forgatókönyv nem igénylik a hálózatelérési fiók letölteni a tartalmat egy terjesztési pontról.Starting in version 1806, when you enable Enhanced HTTP, several OS deployment scenarios don't require a network access account to download content from a distribution point. További információkért lásd: feladatütemezések és a hálózati hozzáférési fiók.For more information, see Task sequences and the network access account.

Az operációs rendszer telepítése biztonsági problémáiSecurity issues for OS deployment

Bár az operációs rendszer telepítése lehet egy kényelmes megoldás üzembe helyezéséhez a legbiztonságosabb operációs rendszerek és konfigurációk a hálózaton lévő számítógépekre, számolni kell a következő biztonsági kockázatokkal:Although OS deployment can be a convenient way to deploy the most secure operating systems and configurations for computers on your network, it does have the following security risks:

Információfelfedés és szolgáltatásmegtagadásInformation disclosure and denial of service

Ha egy támadó szerezheti be a Configuration Manager infrastruktúrájának irányítását, azok a feladatütemezések futtatására sikerült.If an attacker can obtain control of your Configuration Manager infrastructure, they could run any task sequences. Ez a folyamat tartalmazhat, az összes ügyfélszámítógép merevlemezének formázását.This process might include formatting the hard drives of all client computers. A konfigurált feladatütemezések tartalmazhatnak bizalmas adatokat, például a tartományhoz valós csatlakozáshoz szükséges fiókokat és mennyiségi licenckulcsokat.Task sequences can be configured to contain sensitive information, such as accounts that have permissions to join the domain and volume licensing keys.

Megszemélyesítés és a jogosultsági szint megemeléseImpersonation and elevation of privileges

A feladatütemezések tartományhoz csatlakoztathatják a számítógépet, ami hitelesített hálózati hozzáféréshez juttathatja a támadó számítógépeket.Task sequences can join a computer to domain, which can provide a rogue computer with authenticated network access.

A rendszerindító adathordozóval és PXE rendszerindítás során használt ügyfél-hitelesítési tanúsítvány védelme.Protect the client authentication certificate that's used for bootable task sequence media and for PXE boot deployment. Ügyfél-hitelesítési tanúsítvány rögzíti, amikor ez a folyamat lehetővé a támadó a tanúsítványban lévő titkos kulcs beszerzése.When you capture a client authentication certificate, this process gives an attacker an opportunity to obtain the private key in the certificate. Ez a tanúsítvány lehetővé teszi, hogy azok érvényes ügyfelet személyesíthetnek meg a hálózaton.This certificate lets them impersonate a valid client on the network. Ez esetben a támadó gép bizalmas adatokat tartalmazó házirendeket is letölthet.In this scenario, the rogue computer can download policy, which can contain sensitive data.

Ha az ügyfelek használják a hálózatelérési fiók az állapotáttelepítési ponton tárolt adatok elérését, ezek az ügyfelek hatékonyan megosztani ugyanazzal az identitással.If clients use the network access account to access data stored on the state migration point, these clients effectively share the same identity. Ezek hozzáférnek az állapot áttelepítési adatait egy másik ügyféltől, amely a hálózati elérésre szolgáló fiókot használja.They could access state migration data from another client that uses the network access account. Az adatok titkosítása csak az eredeti kliensgép számára teszi lehetővé az olvasásukat, viszont illetéktelenek is hozzáférhetnek az adatokhoz, vagy törölhetik azokat.The data is encrypted so only the original client can read it, but the data could be tampered with or deleted.

Ügyfél-hitelesítést az állapotáttelepítési ponthoz a felügyeleti pont által kiadott egy Configuration Manager-token használatával érhető el.Client authentication to the state migration point is achieved by using a Configuration Manager token that is issued by the management point.

A Configuration Manager nem korlátozza, vagy az állapotáttelepítési ponton tárolt adatok mennyiségének kezelése.Configuration Manager doesn't limit or manage the amount of data that's stored on the state migration point. A támadó töltse fel a rendelkezésre álló lemezterület és szolgáltatásmegtagadást okozhat.An attacker could fill up the available disk space and cause a denial of service.

Gyűjteményváltozók használata esetén a helyi rendszergazdák bizalmas adatokhoz férhetnek hozzá.If you use collection variables, local administrators can read potentially sensitive information

Bár a gyűjteményváltozók rugalmas megoldást kínálnak az operációs rendszerek központi telepítéséhez, ez a funkció az adatokhoz való illetéktelen hozzáférést eredményezhet.Although collection variables offer a flexible method to deploy operating systems, this feature might result in information disclosure.

Adatvédelmi információ az operációs rendszer telepítésePrivacy information for OS deployment

Az operációs rendszer telepítése nélkül számítógépekre, mellett a Configuration Manager használható felhasználói fájlok és beállítások áttelepítéséhez az egyik számítógépről a másikra.In addition to deploying an OS to computers without one, Configuration Manager can be used to migrate users' files and settings from one computer to another. A rendszergazda adja meg az átvinni kívánt adatokat, köztük a személyes adatfájlokat, beállításokat és a böngésző által használt cookie-kat.The administrator configures which information to transfer, including personal data files, configuration settings, and browser cookies.

A Configuration Manager egy állapotáttelepítési ponton tárolja, és az átvitel és tárolás közben titkosítja azokat.Configuration Manager stores the information on a state migration point, and encrypts it during transmission and storage. Csak az új számítógép az állapotadatokat is lekérheti a tárolt adatokat.Only the new computer associated with the state information can retrieve the stored information. Ha az új számítógép elveszíti a kulcsot, és lekéri az információkat egy Configuration Manager rendszergazdát, a helyreállítási információk megtekintése közvetlenül a számítógép-társítási objektumpéldányokon hozzáférhetnek az adatokat, és társítsa azt az új számítógép.If the new computer loses the key to retrieve the information, a Configuration Manager administrator with the View Recovery Information right on computer association instance objects can access the information and associate it with a new computer. Az új számítógép helyreállította az állapotadatokat, miután törli az adatokat egy nap elteltével alapértelmezés szerint.After the new computer restores the state information, it deletes the data after one day, by default. Tetszés szerint beállíthatja, hogy az állapotáttelepítési pont mikor távolítja el a törlésre megjelölt adatokat.You can configure when the state migration point removes data marked for deletion. A Configuration Manager nem tárolja az állapotáttelepítési adatokat a hely adatbázisában, és nem azokat elküldi a Microsoftnak.Configuration Manager doesn't store the state migration information in the site database, and doesn't send it to Microsoft.

Ha a rendszerindító adathordozó használatával operációsrendszer-lemezképek üzembe helyezése, mindig használja az alapértelmezett beállítás a rendszerindító adathordozó jelszavas védelme.If you use boot media to deploy OS images, always use the default option to password-protect the boot media. A jelszó titkosítja a feladatütemezésben található összes változót, viszont a változókon kívül tárolt adatok sebezhetőek maradhatnak.The password encrypts any variables stored in the task sequence, but any information not stored in a variable might be vulnerable to disclosure.

Az operációs rendszer telepítése feladatütemezések használatával számos különböző feladat elvégzésére a telepítési folyamat, amely tartalmazza az alkalmazások és szoftverfrissítések telepítése során.OS deployment can use task sequences to perform many different tasks during the deployment process, which includes installing applications and software updates. A feladatütemezés konfigurálása során a szoftvertelepítés adatvédelmi vonatkozásaival is tisztában kell lennie.When you configure task sequences, you should also be aware of the privacy implications of installing software.

A Configuration Manager alapértelmezés szerint nem valósítja meg az operációs rendszer telepítése.Configuration Manager doesn't implement OS deployment by default. Több konfigurációs lépést igényel, mielőtt felhasználói állapotadatokat gyűjthet, vagy a feladatütemezések létrehozása vagy rendszerindító lemezképeket.It requires several configuration steps before you collect user state information or create task sequences or boot images.

Az operációs rendszer telepítése, konfigurálása előtt gondolja át az adatvédelmi követelményeit.Before you configure OS deployment, consider your privacy requirements.

További információSee also

Diagnosztikai és használati adatokDiagnostics and usage data

Biztonság és adatvédelem a Configuration ManagerbenSecurity and privacy for Configuration Manager