Segurança e privacidade para gestão de conteúdos no Gestor de Configuração
Aplica-se a: Gestor de Configuração (ramo atual)
Este artigo contém informações de segurança e privacidade para a gestão de conteúdos no Gestor de Configuração.
Diretrizes de segurança
Vantagens e desvantagens de HTTPS ou HTTP para pontos de distribuição intranet
Para pontos de distribuição na intranet, considere as vantagens e desvantagens da utilização https ou HTTP. Na maioria dos cenários, a utilização de contas de acesso HTTP e pacotes de autorização proporciona mais segurança do que usar HTTPS com encriptação, mas sem autorização. No entanto, se o conteúdo incluir dados confidenciais que pretende encriptar durante a transferência, utilize o HTTPS.
Quando utiliza HTTPS para um ponto de distribuição: O Gestor de Configuração não utiliza contas de acesso a pacotes para autorizar o acesso ao conteúdo. O conteúdo é encriptado quando é transferido pela rede.
Quando utilizar HTTP para um ponto de distribuição: Pode utilizar contas de acesso a pacotes para autorização. O conteúdo não é encriptado quando é transferido pela rede.
Considere ativar HTTP melhorado para o site. Esta funcionalidade permite que os clientes utilizem a autenticação Azure Ative Directory (Azure AD) para comunicar de forma segura com um ponto de distribuição HTTP. Para mais informações, consulte HTTP Melhorado.
Importante
A partir da versão 2103 do Gestor de Configuração, os sites que permitem a comunicação do cliente HTTP são preprecados. Configure o site para HTTPS ou HTTP melhorado. Para obter mais informações, consulte Ativar o site apenas para HTTPS ou HTTP melhorado.
Proteja o ficheiro de certificado de autenticação do cliente
Se utilizar um certificado de autenticação de cliente PKI em vez de um certificado autoassinado para o ponto de distribuição, proteja o ficheiro de certificado (.pfx) com uma palavra-passe segura. Se armazenar o ficheiro na rede, proteja o canal de rede quando importar o ficheiro para o Gestor de Configurações.
Quando necessita de uma palavra-passe para importar o certificado de autenticação do cliente que o ponto de distribuição utiliza para comunicar com pontos de gestão, esta configuração ajuda a proteger o certificado de um intruso. Para evitar que um intruso inveiu o ficheiro do certificado, utilize a assinatura do bloco de mensagens do servidor (SMB) ou o IPsec entre a localização da rede e o servidor do site.
Remova a função de ponto de distribuição do servidor do site
Por predefinição, a configuração do Gestor de Configuração instala um ponto de distribuição no servidor do site. Os clientes não têm de comunicar diretamente com o servidor do site. Para reduzir a superfície de ataque, atribua a função de ponto de distribuição a outros sistemas do site e remova-a do servidor do site.
Conteúdo seguro ao nível de acesso ao pacote
A partilha de pontos de distribuição permite o acesso lido a todos os utilizadores. Para restringir os utilizadores que podem aceder ao conteúdo, utilize contas de acesso aos pacotes quando o ponto de distribuição estiver configurado para HTTP. Esta configuração não se aplica a pontos de distribuição em nuvem e gateways de gestão de nuvem ativados por conteúdos, que não suportam contas de acesso a pacotes.
Para mais informações, consulte as contas de acesso ao pacote.
Configure o IIS sobre o papel do ponto de distribuição
Se o Gestor de Configuração instalar o IIS quando adicionar uma função de sistema de sistema de ponto de distribuição, remova scripts e ferramentas de gestão http e IIS quando a instalação do ponto de distribuição estiver concluída. O ponto de distribuição não requer estes componentes. Para reduzir a superfície de ataque, remova estes serviços de função para o papel do servidor web.
Para obter mais informações sobre os serviços de função para a função do servidor web para pontos de distribuição, consulte os pré-requisitos do site e do sistema de site.
Desembale permissões de acesso ao pacote quando criar o pacote
Como as alterações nas contas de acesso nos ficheiros do pacote só se tornam eficazes quando redistribuir o pacote, desave as permissões de acesso ao pacote cuidadosamente quando criar o pacote pela primeira vez. Esta configuração é importante quando o pacote é grande ou distribuído para muitos pontos de distribuição, e quando a capacidade de largura de banda da rede para distribuição de conteúdo é limitada.
Implementar controlos de acesso para proteger os meios de comunicação que contenham conteúdo satisfatório
O conteúdo prestaged é comprimido, mas não encriptado. Um intruso poderia ler e modificar os ficheiros que são descarregados para dispositivos. Os clientes do Gestor de Configuração rejeitam conteúdo adulterado, mas ainda assim descarregam.
Importação de conteúdo satisfatório com ExtractContent
Apenas importar conteúdo prestaged utilizando a ferramenta de linha de comando ExtractContent.exe. Para evitar adulteração e elevação de privilégios, utilize apenas a ferramenta de linha de comando autorizada que vem com o Gestor de Configuração.
Para obter mais informações, consulte Implementar e gerir conteúdos.
Proteja o canal de comunicação entre o servidor do site e a localização da fonte do pacote
Utilize a assinatura IPsec ou SMB entre o servidor do site e a localização da fonte do pacote quando criar aplicações, pacotes e outros objetos com conteúdo. Esta configuração ajuda a evitar que um intruso adulterar os ficheiros de origem.
Remova os diretórios virtuais predefinidos para o website personalizado com a função de ponto de distribuição
Se alterar a opção de configuração do site para usar um website personalizado em vez do website predefinido depois de instalar uma função de ponto de distribuição, remova os diretórios virtuais predefinidos. Quando muda do website predefinido para um website personalizado, o Gestor de Configuração não remove os antigos diretórios virtuais. Remova os seguintes diretórios virtuais que o Gestor de Configuração criou originalmente no site padrão:
SMS_DP_SMSPKG$SMS_DP_SMSSIG$NOCERT_SMS_DP_SMSPKG$NOCERT_SMS_DP_SMSSIG$
Para obter mais informações sobre a utilização de um website personalizado, consulte Websites para servidores do sistema de sites.
Para pontos de distribuição em nuvem, proteja os seus dados e certificados de subscrição Azure
Quando utilizar pontos de distribuição em nuvem e gateways de gestão de nuvem ativados por conteúdos, proteja os seguintes itens de alto valor:
- O nome de utilizador e a palavra-passe para a sua subscrição Azure
- O certificado de serviço de ponto de distribuição de nuvem
Guarde os certificados com segurança. Se navegar por eles através da rede quando configurar o ponto de distribuição da nuvem, utilize a assinatura IPsec ou SMB entre o servidor do sistema de site e a localização da fonte.
Para a continuidade do serviço, monitorize a data de validade dos certificados de ponto de distribuição na nuvem
O Gestor de Configuração não o avisa quando os certificados importados para o ponto de distribuição da nuvem estão prestes a expirar. Monitorize as datas de validade independentemente do Gestor de Configuração. Certifique-se de renovar e, em seguida, importar os novos certificados antes da data de validade. Esta ação é importante se adquirir um certificado de autenticação do servidor a um fornecedor público externo, porque poderá precisar de mais tempo para adquirir um certificado renovado.
Se um certificado expirar, o gestor de serviços na nuvem do Gestor de Configuração gera uma mensagem de estado com iD 9425. O ficheiro .log CloudMgr contém uma entrada que indica que o certificado está em estado de expiração, com a data de validade também registada na UTC.
Considerações de segurança
Os clientes não validam o conteúdo até depois de serem descarregados. Os clientes do Configuration Manager só validam o hash no conteúdo depois de ser transferido para a cache do cliente. Se um intruso adulterar a lista de ficheiros para descarregar ou com o próprio conteúdo, o processo de descarregamento pode ocupar uma largura de banda considerável. Em seguida, o cliente descarta o conteúdo quando encontra o hash inválido.
Quando utilizar pontos de distribuição em nuvem ou gateways de gestão de nuvem ativados por conteúdos:
Restringe automaticamente o acesso ao conteúdo à sua organização. Não é possível restringi-lo ainda mais a utilizadores ou grupos selecionados.
O ponto de gestão primeiro autentica o cliente. Em seguida, o cliente usa um token De Gestor de Configuração para aceder ao armazenamento na nuvem. O símbolo é válido por oito horas. Este comportamento significa que se bloquear um cliente porque já não é de confiança, pode continuar a descarregar conteúdo do armazenamento na nuvem até que este token expire. O ponto de gestão não vai emitir outro símbolo para o cliente porque está bloqueado.
Para evitar que um cliente bloqueado descarregue conteúdo dentro desta janela de oito horas, pare o serviço de cloud. Na consola 'Gestor de Configuração', vá ao espaço de trabalho da Administração, expanda os Serviços cloud e selecione o nó pontos de distribuição da nuvem.
Privacy information (Informações de privacidade)
O Gestor de Configuração não inclui quaisquer dados do utilizador em ficheiros de conteúdo, embora um utilizador administrativo possa optar por fazer esta ação.