Configuration Manager'de güvenlik için planlama

  • Makale

Uygulama hedefi: Configuration Manager (güncel dalı)

Bu makalede, Configuration Manager uygulamanızla güvenlik planlaması yaparken göz önünde bulundurmanız gereken aşağıdaki kavramlar açıklanmaktadır:

  • Sertifikalar (otomatik olarak imzalanan ve PKI)

  • Güvenilen kök anahtar

  • İmzalama ve şifreleme

  • Rol tabanlı yönetim

  • Microsoft Entra ID

  • SMS Sağlayıcısı kimlik doğrulaması

Başlamadan önce, Configuration Manager güvenlikle ilgili temel bilgiler hakkında bilgi sahibi olduğunuzdan emin olun.

Sertifika

Configuration Manager otomatik olarak imzalanan ve ortak anahtar altyapısı (PKI) dijital sertifikalarının bir birleşimini kullanır. Mümkün olduğunda PKI sertifikalarını kullanın. Bazı senaryolarda PKI sertifikaları gerekir. PKI sertifikaları kullanılamadığında site otomatik olarak otomatik olarak imzalanan sertifikalar oluşturur. Bazı senaryolarda her zaman otomatik olarak imzalanan sertifikalar kullanılır.

Daha fazla bilgi için bkz. Sertifikaları planlama.

Güvenilen kök anahtar

Configuration Manager güvenilen kök anahtarı, Configuration Manager istemcilerin site sistemlerinin hiyerarşilerine ait olduğunu doğrulamaları için bir mekanizma sağlar. Her site sunucusu, diğer sitelerle iletişim kurmak için bir site değişim anahtarı oluşturur. Hiyerarşideki en üst düzey siteden site değişim anahtarına güvenilen kök anahtar adı verilir.

Configuration Manager içindeki güvenilen kök anahtarın işlevi, ortak anahtar altyapısındaki kök sertifikaya benzer. Güvenilen kök anahtarın özel anahtarı tarafından imzalanan her şeye hiyerarşinin daha aşağısı için güvenilir. İstemciler, sitenin güvenilen kök anahtarının bir kopyasını WMI ad alanında root\ccm\locationservices depolar.

Örneğin, site yönetim noktasına güvenilen kök anahtarın özel anahtarıyla imzaladığı bir sertifika sağlar. Site, istemcilerle güvenilen kök anahtarının ortak anahtarını paylaşır. Daha sonra istemciler hiyerarşilerindeki yönetim noktalarıyla hiyerarşilerinde olmayan yönetim noktaları arasında ayrım yapabilir.

İstemciler, iki mekanizma kullanarak güvenilen kök anahtarın ortak kopyasını otomatik olarak alır:

  • Configuration Manager için Active Directory şemasını genişletir ve siteyi Active Directory Domain Services yayımlarsınız. Ardından istemciler bu site bilgilerini genel katalog sunucusundan alır. Daha fazla bilgi için bkz. Active Directory'yi site yayımlamaya hazırlama.

  • İstemci gönderme yükleme yöntemini kullanarak istemcileri yüklediğinizde. Daha fazla bilgi için bkz. İstemci anında yükleme.

İstemciler bu mekanizmalardan birini kullanarak güvenilen kök anahtarı alamazsa, iletişim kurdıkları ilk yönetim noktası tarafından sağlanan güvenilir kök anahtara güvenir. Bu senaryoda, istemci bir saldırganın yönetim noktasına yanlış yönlendirilebilir ve burada ilkeyi yanlış yönetim noktasından alabilir. Bu eylem karmaşık bir saldırgan gerektirir. Bu saldırı, istemcinin geçerli bir yönetim noktasından güvenilen kök anahtarı almasından önceki kısa süreyle sınırlıdır. Bir saldırganın istemcileri hatalı bir yönetim noktasına yönlendirme riskini azaltmak için istemcilere güvenilir kök anahtarı önceden sağlayın.

Güvenilen kök anahtarı yönetmeye yönelik daha fazla bilgi ve yordam için bkz. Güvenliği yapılandırma.

İmzalama ve şifreleme

Tüm istemci iletişimleri için PKI sertifikalarını kullandığınızda, istemci veri iletişiminin güvenliğini sağlamaya yardımcı olmak için imzalama ve şifreleme planlamanız gerekmez. IIS çalıştıran herhangi bir site sistemini HTTP istemci bağlantılarına izin verecek şekilde ayarlarsanız, site için istemci iletişiminin güvenliğini sağlamaya nasıl yardımcı olun gerektiğine karar verin.

Önemli

Configuration Manager sürüm 2103'den başlayarak, HTTP istemci iletişimi sağlayan siteler kullanım dışı bırakılmıştır. Siteyi HTTPS veya Gelişmiş HTTP için yapılandırın. Daha fazla bilgi için bkz . Siteyi yalnızca HTTPS veya gelişmiş HTTP için etkinleştirme.

İstemcilerin yönetim noktalarına gönderdiği verilerin korunmasına yardımcı olmak için istemcilerin verileri imzalamasını gerektirebilirsiniz. İmzalama için SHA-256 algoritması da gerekebilir. Bu yapılandırma daha güvenlidir, ancak tüm istemciler desteklemediği sürece SHA-256 gerektirmez. Birçok işletim sistemi bu algoritmayı yerel olarak destekler, ancak eski işletim sistemleri bir güncelleştirme veya düzeltme gerektirebilir.

İmzalama, verilerin kurcalanmaya karşı korunmasına yardımcı olurken, şifreleme de verilerin bilgilerin açığa çıkmasına karşı korunmasına yardımcı olur. İstemcilerin sitedeki yönetim noktalarına gönderdiği envanter verileri ve durum iletileri için şifrelemeyi etkinleştirebilirsiniz. Bu seçeneği desteklemek için istemcilere güncelleştirme yüklemeniz gerekmez. İstemciler ve yönetim noktaları şifreleme ve şifre çözme için daha fazla CPU kullanımı gerektirir.

Not

İstemci, verileri şifrelemek için yönetim noktasının şifreleme sertifikasının ortak anahtarını kullanır. Yalnızca yönetim noktası ilgili özel anahtara sahip olduğundan verilerin şifresini yalnızca çözebilir.

İstemci bu sertifikayı yönetim noktasının imzalama sertifikasıyla önyükler ve bu sertifikayı sitenin güvenilen kök anahtarıyla önyükler. İstemcilerde güvenilir kök anahtarı güvenli bir şekilde sağladığından emin olun. Daha fazla bilgi için bkz . Güvenilen kök anahtar.

İmzalama ve şifreleme ayarlarını yapılandırma hakkında daha fazla bilgi için bkz. İmzalama ve şifrelemeyi yapılandırma.

İmzalama ve şifreleme için kullanılan şifreleme algoritmaları hakkında daha fazla bilgi için bkz . Şifreleme denetimleri teknik başvurusu.

Rol tabanlı yönetim

Configuration Manager ile, yönetici kullanıcıların Configuration Manager kullanması gereken erişimin güvenliğini sağlamak için rol tabanlı yönetim kullanırsınız. Ayrıca koleksiyonlar, dağıtımlar ve siteler gibi yönettiğiniz nesnelere erişimin güvenliğini de sağlarsınız.

Güvenlik rolleri, güvenlik kapsamları ve koleksiyonların birleşimiyle, kuruluşunuzun gereksinimlerini karşılayan yönetim atamalarını ayırırsınız. Birlikte kullanıldığında, kullanıcının yönetim kapsamını tanımlar. Bu yönetim kapsamı, yönetici kullanıcının Configuration Manager konsolunda görüntülediği nesneleri denetler ve bir kullanıcının bu nesneler üzerinde sahip olduğu izinleri denetler.

Daha fazla bilgi için bkz. Rol tabanlı yönetimin temelleri.

Microsoft Entra ID

Configuration Manager, sitenin ve istemcilerin modern kimlik doğrulamasını kullanmasını sağlamak için Microsoft Entra kimliğiyle tümleşir.

Microsoft Entra kimliği hakkında daha fazla bilgi için Microsoft Entra belgelerine bakın.

Sitenizi Microsoft Entra kimliğiyle eklemek aşağıdaki Configuration Manager senaryolarını destekler:

İstemci senaryoları

Sunucu senaryoları

SMS Sağlayıcısı kimlik doğrulaması

Yöneticilerin Configuration Manager sitelere erişmesi için en düşük kimlik doğrulama düzeyini belirtebilirsiniz. Bu özellik, yöneticilerin Configuration Manager erişebilmeleri için gerekli düzeyle Windows'ta oturum açmalarını zorunlu kılabilir. SMS Sağlayıcısına erişen tüm bileşenler için geçerlidir. Örneğin, Configuration Manager konsolu, SDK yöntemleri ve Windows PowerShell cmdlet'leri.

Configuration Manager aşağıdaki kimlik doğrulama düzeylerini destekler:

  • Windows kimlik doğrulaması: Active Directory etki alanı kimlik bilgileriyle kimlik doğrulaması gerektirir. Bu ayar önceki davranıştır ve geçerli varsayılan ayardır.

  • Sertifika kimlik doğrulaması: Güvenilir bir PKI sertifika yetkilisi tarafından verilen geçerli bir sertifikayla kimlik doğrulaması gerektirir. Bu sertifikayı Configuration Manager'da yapılandırmazsınız. Configuration Manager, yöneticinin PKI kullanarak Windows'ta oturum açmasını gerektirir.

  • İş İçin Windows Hello kimlik doğrulaması: Bir cihaza bağlı ve biyometri veya PIN kullanan güçlü iki faktörlü kimlik doğrulaması ile kimlik doğrulaması gerektirir. Daha fazla bilgi için bkz. İş İçin Windows Hello.

    Önemli

    Bu ayarı seçtiğinizde SMS Sağlayıcısı ve yönetim hizmeti, kullanıcının kimlik doğrulama belirtecinin İş İçin Windows Hello çok faktörlü kimlik doğrulaması (MFA) talebi içermesini gerektirir. Başka bir deyişle, konsol, SDK, PowerShell veya yönetim hizmeti kullanıcısının İş İçin Windows Hello PIN'i veya biyometrik ile Windows'ta kimlik doğrulaması gerçekleştirmesi gerekir. Aksi takdirde site kullanıcının eylemini reddeder.

    Bu davranış Windows Hello değil İş İçin Windows Hello içindir.

Bu ayarı yapılandırma hakkında daha fazla bilgi için bkz. SMS Sağlayıcısı kimlik doğrulamasını yapılandırma.

Sonraki adımlar