Seguridad de objetos de Configuration Manager

Delegar verbo

El verbo delegado en Configuration Manager proporciona a los administradores una manera de permitir a los usuarios asignar a otros usuarios los permisos de instancia a un objeto de una manera muy limitada. Los derechos que un usuario puede asignar (o revocar) a otros usuarios se limitan a los derechos de instancia que se le han concedido explícitamente. Cuando un usuario crea un objeto protegido, se le conceden automáticamente derechos de instancia explícitos para ese objeto (normalmente, leer, modificar y eliminar).

Hasta cierto punto, estos derechos concedidos explícitamente proporcionan al usuario un cierto nivel de propiedad del objeto. Con el derecho de delegado, esta propiedad se extiende al control del grupo predeterminado de derechos de instancia. Para limitar los derechos que puede delegar un usuario, solo se pueden delegar los derechos que se le conceden explícitamente (no los del grupo al que pertenece). Un usuario también puede quitar derechos de instancia de otros usuarios (o grupos) si el usuario tiene permiso delegado y derechos explícitos sobre un objeto (por este motivo, se dice que un usuario es propietario de un objeto si tiene derechos de instancia explícitos). Los usuarios con derechos de administrador siguen teniendo control total de los permisos de administración.

Un escenario común para usar el verbo delegado es cuando un usuario ha creado y delegado derechos para un tipo de objeto y quiere crear un objeto y permitir que los miembros de un grupo de usuarios lo vean. Crean una instancia del objeto y delegan los permisos de lectura de la instancia al grupo de usuarios.

El verbo delegado es aplicable a las siguientes clases de Configuration Manager:

• SMS_Collection

• SMS_Package

• SMS_Advertisement

• SMS_Site

• SMS_Query

• SMS_Report

• SMS_MeteredProductRule

Recurso del sistema (SMS_R_System) como recurso protegido

Los recursos protegidos son recursos (las clases SMS_R_*) que requieren que se vean los derechos de lectura de la colección. Si el usuario tiene derechos de lectura de colección de nivel de clase, el usuario puede ver todas las instancias de un recurso protegido. Si el usuario solo tiene derechos de lectura a nivel de instancia para determinadas colecciones, solo tiene derechos para ver los recursos que son miembros de esas colecciones. SMS_R_User y SMS_R_UserGroup son recursos protegidos en SMS 2.0. En SMS 2003, SMS_R_System (el recurso del sistema) también es un recurso protegido.

Las instancias de inventario (SMS_G_System_*) se protegen de forma similar con el verbo leer recurso. Si un usuario tiene derechos a nivel de clase, ese usuario puede ver los datos de inventario que pertenecen a todos los recursos. Si el usuario no tiene derechos a nivel de clase, solo podrá ver los datos de inventario del inventario que pertenezca a los recursos que son miembros de colecciones en las que el usuario tiene derechos de recurso de lectura a nivel de instancia. Por el contrario, si un usuario tiene derechos de lectura de recursos para una colección, un usuario puede ver los datos de inventario de los miembros de esa colección. Esto no se ha visto afectado por el cambio en la seguridad a SMS_R_System. No se pueden conceder derechos de recurso de lectura a un usuario sin concederlos. Cuando un usuario no tiene los derechos de recopilación de nivel de clase adecuados, la seguridad de los recursos se aplica mediante la limitación de colecciones.

Proteger los envíos de archivos a un servidor de Configuration Manager

La ubicación recomendada para copiar los archivos de registro de detección de datos (DDR) y los archivos de formato de información administrada (MIF) que no están relacionados con los clientes de Configuration Manager existentes está directamente en las bandejas de entrada del servidor del sitio. Esto requiere que se concedan permisos de nivel de administrador en el servidor del sitio a la aplicación que copia estos archivos. Estos se encuentran de la siguiente manera:

Archivos DDR: <SMS>/inboxes/ddm.box

Archivos MITIF: <SMS>/INBOXES/INVENTRY.BOX

Consulta también

Información general sobre objetos:Clases de asociación de Configuration Manager:Propiedades del campo de bits de Configuration Manager:Formatos de fecha y hora de Configuration Manager:Objetos incrustados de Configuration ManagerLenguaje de consulta de WMI extendido de Configuration Manager Propiedadesdiferidas de Configuration Manager Consultasespeciales de Configuration ManagerAcerca de errores