Pianificare la sicurezza in Gestione configurazione

Si applica a: Gestione configurazione (Current Branch)

Questo articolo descrive i concetti seguenti da considerare durante la pianificazione della sicurezza con l'implementazione di Gestione configurazione:

• Certificati (autofirmati e PKI)

• La chiave radice attendibile

• Firma e crittografia

• Amministrazione basata su ruoli

• Microsoft Entra ID

• Autenticazione del provider SMS

Prima di iniziare, assicurati di avere familiarità con le nozioni fondamentali della sicurezza in Gestione configurazione.

Certificati

Gestione configurazione utilizza una combinazione di certificati digitali autofirmati e PKI (Public Key Infrastructure). Usare i certificati PKI quando possibile. Alcuni scenari richiedono certificati PKI. Quando i certificati PKI non sono disponibili, il sito genera automaticamente certificati autofirmati. In alcuni scenari vengono sempre usati certificati autofirmati.

Per altre informazioni, vedere Pianificare i certificati.

La chiave radice attendibile

La chiave radice attendibile di Gestione configurazione fornisce ai client di Gestione configurazione un meccanismo per verificare che i sistemi del sito appartengano alla loro gerarchia. Ogni server del sito genera una chiave di scambio del sito per comunicare con altri siti. La chiave di scambio siti del sito principale nella gerarchia è denominata chiave radice attendibile.

La funzione della chiave radice attendibile in Gestione configurazione è simile a un certificato radice in un'infrastruttura a chiave pubblica. Tutto ciò che è firmato dalla chiave privata della chiave radice attendibile è considerato attendibile più in basso nella gerarchia. I client archiviano una copia della chiave radice attendibile del sito nello root\ccm\locationservices spazio dei nomi WMI.

Ad esempio, il sito rilascia un certificato al punto di gestione, che firma con la chiave privata della chiave radice attendibile. Il sito condivide con i client la chiave pubblica della relativa chiave radice attendibile. Quindi i clienti possono distinguere tra punti di gestione che si trovano nella loro gerarchia e punti di gestione che non sono nella loro gerarchia.

I client ottengono automaticamente la copia pubblica della chiave radice attendibile usando due meccanismi:

• Estendere lo schema di Active Directory per Gestione configurazione e pubblicare il sito in Active Directory Domain Services. I client recuperano quindi le informazioni del sito da un server di catalogo globale. Per altre informazioni, vedere Preparare Active Directory per la pubblicazione su siti.

• Quando installi i client utilizzando il metodo di installazione push del client. Per ulteriori informazioni, vedere Installazione push client.

Se i client non riescono a ottenere la chiave radice attendibile usando uno di questi meccanismi, considerano attendibile la chiave radice attendibile fornita dal primo punto di gestione con cui comunicano. In questo scenario, un client potrebbe essere indirizzato in modo errato al punto di gestione di un utente malintenzionato, dove riceverebbe i criteri dal punto di gestione non autorizzato. Questa azione richiede un utente malintenzionato sofisticato. Questo attacco è limitato al breve periodo di tempo prima che il client recuperi la chiave radice attendibile da un punto di gestione valido. Per ridurre il rischio che un utente malintenzionato indirizzi in errore i client verso un punto di gestione non autorizzato, predisporre la chiave radice attendibile per i client.

Per altre informazioni e procedure per gestire la chiave radice attendibile, vedere Configurazione della sicurezza.

Firma e crittografia

Quando si usano certificati PKI per tutte le comunicazioni client, non è necessario pianificare la firma e la crittografia per proteggere la comunicazione dei dati del client. Se si configurano sistemi del sito che eseguono IIS per consentire le connessioni client HTTP, decidere come proteggere le comunicazioni client per il sito.

Per proteggere i dati inviati dai client ai punti di gestione, è possibile richiedere ai client di firmare i dati. È anche possibile richiedere l'algoritmo SHA-256 per la firma. Questa configurazione è più sicura, ma non richiede SHA-256 a meno che tutti i client non la supportino. Molti sistemi operativi supportano questo algoritmo in modo nativo, ma i sistemi operativi meno recenti potrebbero richiedere un aggiornamento o un aggiornamento rapido (hotfix).

Mentre la firma aiuta a proteggere i dati da manomissioni, la crittografia aiuta a proteggere i dati dalla divulgazione di informazioni. È possibile abilitare la crittografia per i dati di inventario e i messaggi di stato inviati dai client ai punti di gestione nel sito. Non è necessario installare alcun aggiornamento nei client per supportare questa opzione. I client e i punti di gestione richiedono un maggiore utilizzo della CPU per la crittografia e la decrittografia.

Per ulteriori informazioni su come configurare le impostazioni per la firma e la crittografia, vedere Configurare la firma e la crittografia.

Per ulteriori informazioni sugli algoritmi di crittografia utilizzati per la firma e la crittografia, vedere Documentazione tecnica sui controlli di crittografia.

Amministrazione basata su ruoli

Con Gestione configurazione, si usa l'amministrazione basata sui ruoli per proteggere l'accesso necessario agli utenti amministratori per usare Gestione configurazione. È inoltre possibile proteggere l'accesso agli oggetti che si gestiscono, ad esempio raccolte, distribuzioni e siti.

Con la combinazione di ruoli di sicurezza, ambiti di sicurezza e raccolte, è possibile separare le assegnazioni amministrative che soddisfano i requisiti dell'organizzazione. Usati insieme, definiscono l'ambito amministrativo di un utente. Questo ambito amministrativo controlla gli oggetti visualizzati da un utente di amministrazione nella console di Gestione configurazione e controlla le autorizzazioni di cui un utente dispone per tali oggetti.

Per altre informazioni, vedere Nozioni fondamentali sull'amministrazione basata su ruoli.

Microsoft Entra ID

Gestione configurazione si integra con Microsoft Entra ID per consentire al sito e ai client di utilizzare l'autenticazione moderna.

Per ulteriori informazioni su Microsoft Entra ID, vedere la documentazione di Microsoft Entra.

L'onboarding del sito con Microsoft Entra ID supporta gli scenari di Gestione configurazione seguenti:

Scenari client

• Gestire i client su Internet tramite il gateway di gestione cloud

• Gestire i dispositivi aggiunti a un dominio cloud

• Co-gestione

• Distribuire app disponibili per l'utente

• App online di Microsoft Store per le aziende

• Gestire Microsoft 365 Apps for enterprise

Scenari server

• Connessione tenant

• Analisi degli endpoint

• Analisi dei log di Azure

• Hub della community

• Individuazione degli utenti

Autenticazione del provider SMS

È possibile specificare il livello di autenticazione minimo per gli amministratori per accedere ai siti di Gestione configurazione. Questa funzionalità impone agli amministratori di accedere a Windows con il livello richiesto prima di poter accedere a Gestione configurazione. Si applica a tutti i componenti che accedono al provider SMS. Ad esempio, la console di Gestione configurazione, i metodi SDK e i cmdlet di Windows PowerShell.

Gestione configurazione supporta i livelli di autenticazione seguenti:

• Autenticazione di Windows: richiedere l'autenticazione con le credenziali di dominio di Active Directory. Questa è il comportamento precedente e l'impostazione predefinita corrente.

• Autenticazione del certificato: richiedere l'autenticazione con un certificato valido emesso da un'autorità di certificazione PKI attendibile. Questo certificato non viene configurato in Gestione configurazione. Gestione configurazione richiede che l'amministratore sia connesso a Windows tramite PKI.

• Autenticazione di Windows Hello for Business: richiedi l'autenticazione con l'autenticazione avanzata a due fattori associata a un dispositivo e che usa la biometria o un PIN. Per ulteriori informazioni, vedere Windows Hello for Business.

  Importante

  Quando si seleziona questa impostazione, il provider SMS e il servizio di amministrazione richiedono che il token di autenticazione dell'utente contenga un'attestazione di autenticazione a più fattori (MFA) da Windows Hello for Business. In altre parole, un utente della console, dell'SDK, di PowerShell o del servizio di amministrazione deve eseguire l'autenticazione in Windows con il PIN o la biometria di Windows Hello for Business. In caso contrario, il sito rifiuta l'azione dell'utente.

  Questo comportamento è per Windows Hello for Business, non per Windows Hello.

Per altre informazioni su come configurare questa impostazione, vedere Configurare l'autenticazione del provider SMS.

Passaggi successivi

• Certificati in Gestione configurazione

• Piano per i certificati PKI

• Configurare la sicurezza

• Informazioni di riferimento tecniche sui controlli crittografici