Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Van toepassing op: Configuration Manager (current branch)
Gebruik de informatie in dit artikel bij het instellen van beveiligingsopties voor Configuration Manager. Voordat u begint, moet u zorgen dat u een beveiligingsplan hebt.
Belangrijk
Vanaf Configuration Manager versie 2103 worden sites die HTTP-clientcommunicatie toestaan afgeschaft. Configureer de site voor HTTPS of Enhanced HTTP. Zie De site inschakelen voor alleen HTTPS of uitgebreide HTTP voor meer informatie.
Client-PKI-certificaten
Als u PKI-certificaten (Public Key Infrastructure) wilt gebruiken voor clientverbindingen met sitesystemen die gebruikmaken van IIS (Internet Information Services), gebruikt u de volgende procedure om instellingen voor deze certificaten te configureren.
Ga in de Configuration Manager-console naar de werkruimte Beheer, vouw Siteconfiguratie uit en selecteer het knooppunt Sites. Selecteer de primaire site die u wilt configureren.
Kies Eigenschappen op het lint. Ga vervolgens naar het tabblad Communicatiebeveiliging .
Selecteer de instellingen voor sitesystemen die gebruikmaken van IIS.
Alleen HTTPS: clients die zijn toegewezen aan de site gebruiken altijd een client PKI-certificaat wanneer ze verbinding maken met sitesystemen die gebruikmaken van IIS. Bijvoorbeeld een beheerpunt en een distributiepunt.
HTTPS of HTTP: clients hoeven geen PKI-certificaten te gebruiken.
Door Configuration Manager gegenereerde certificaten gebruiken voor HTTP-sitesystemen: Zie Enhanced HTTP voor meer informatie over deze instelling.
Selecteer de instellingen voor clientcomputers.
Gebruik het client PKI-certificaat (client authentication capability) indien beschikbaar: Als u de instelling HTTPS of HTTP-siteserver hebt gekozen, kiest u deze optie om een client PKI-certificaat te gebruiken voor HTTP-verbindingen. De client gebruikt dit certificaat in plaats van een zelfondertekend certificaat om zichzelf te verifiëren bij sitesystemen. Als u alleen HTTPS kiest, wordt deze optie automatisch gekozen.
Als er meer dan één geldig PKI-clientcertificaat beschikbaar is op een client, selecteert u Wijzigen om de selectiemethoden voor clientcertificaten te configureren. Zie Planning for PKI client certificate selection (PKI-clientcertificaatselectie) voor meer informatie over de methode voor het selecteren van clientcertificaten.
Clients controleren de lijst met certificaatintrekkingsverzoeken (CRL) voor sitesystemen: Schakel deze instelling in zodat clients de CRL van uw organisatie kunnen controleren op ingetrokken certificaten. Zie Planning for PKI certificate revocation (Plannen voor intrekking van PKI-certificaten) voor meer informatie over CRL-controles voor clients.
Als u de certificaten van vertrouwde basiscertificeringsinstanties wilt importeren, weergeven en verwijderen, selecteert u Instellen. Zie Planning voor de vertrouwde PKI-basiscertificaten en de lijst met certificaatuitgevers voor meer informatie.
Herhaal deze procedure voor alle primaire sites in de hiërarchie.
De vertrouwde basissleutel beheren
Gebruik deze procedures om de vertrouwde basissleutel voor een Configuration Manager-client vooraf in te richten en te controleren.
Opmerking
Als clients de vertrouwde basissleutel kunnen ophalen uit Active Directory Domain Services of client push, hoeft u deze niet vooraf in te stellen.
Wanneer clients HTTPS-communicatie met beheerpunten gebruiken, hoeft u de vertrouwde basissleutel niet vooraf in te stellen. Ze brengen vertrouwen tot stand door de PKI-certificaten.
Zie Beveiligingsplan voor meer informatie over de vertrouwde basissleutel.
Vooraf een client inrichten met de vertrouwde basissleutel door een bestand te gebruiken
Blader op de siteserver naar de installatiemap van Configuration Manager. Open in de
\bin\<platform>submap het volgende bestand in een teksteditor:mobileclient.tcfZoek de vermelding,
SMSPublicRootKey. Kopieer de waarde vanaf die regel en sluit het bestand zonder wijzigingen op te slaan.Maak een nieuw tekstbestand en plak de sleutelwaarde die u hebt gekopieerd uit het bestand mobileclient.tcf.
Sla het bestand op op een locatie waar het voor alle computers toegankelijk is, maar waar het bestand beveiligd is tegen manipulatie.
Installeer de client met behulp van een installatiemethode die client.msi eigenschappen accepteert. Geef de volgende eigenschap op:
SMSROOTKEYPATH=<full path and file name>Belangrijk
Wanneer u de vertrouwde basissleutel opgeeft tijdens de installatie van de client, moet u ook de sitecode opgeven. Gebruik de volgende eigenschap client.msi:
SMSSITECODE=<site code>
Vooraf een client inrichten met de vertrouwde basissleutel zonder een bestand te gebruiken
Blader op de siteserver naar de installatiemap van Configuration Manager. Open in de
\bin\<platform>submap het volgende bestand in een teksteditor:mobileclient.tcfZoek de vermelding,
SMSPublicRootKey. Kopieer de waarde vanaf die regel en sluit het bestand zonder wijzigingen op te slaan.Installeer de client met behulp van een installatiemethode die client.msi eigenschappen accepteert. Geef de volgende client.msi eigenschap op:
SMSPublicRootKey=<key>waar<key>is de tekenreeks die u hebt gekopieerd uit mobileclient.tcf.Belangrijk
Wanneer u de vertrouwde basissleutel opgeeft tijdens de installatie van de client, moet u ook de sitecode opgeven. Gebruik de volgende eigenschap client.msi:
SMSSITECODE=<site code>
De vertrouwde basissleutel op een client controleren
Open een Windows PowerShell-console als administrator.
Voer de volgende opdracht uit:
(Get-WmiObject -Namespace root\ccm\locationservices -Class TrustedRootKey).TrustedRootKey
De geretourneerde tekenreeks is de vertrouwde basissleutel. Controleer of deze overeenkomt met de SMSPublicRootKey-waarde in het bestand mobileclient.tcf op de siteserver.
De vertrouwde basissleutel verwijderen of vervangen
Verwijder de vertrouwde basissleutel van een client door de eigenschap client.msi te gebruiken. RESETKEYINFORMATION = TRUE
Als u de vertrouwde basissleutel wilt vervangen, installeert u de client opnieuw samen met de nieuwe vertrouwde basissleutel. Gebruik bijvoorbeeld clientpush of geef de client.msi eigenschap SMSPublicRootKey op.
Zie Parameters en eigenschappen van clientinstallatie voor meer informatie over deze installatie-eigenschappen.
Ondertekening en versleuteling
Configureer de veiligste instellingen voor ondertekening en versleuteling voor sitesystemen die door alle clients op de site kunnen worden ondersteund. Deze instellingen zijn met name belangrijk wanneer u clients laat communiceren met sitesystemen door middel van zelfondertekende certificaten via HTTP.
Ga in de Configuration Manager-console naar de werkruimte Beheer, vouw Siteconfiguratie uit en selecteer het knooppunt Sites. Selecteer de primaire site die u wilt configureren.
Selecteer Eigenschappen op het lint en ga naar het tabblad Ondertekenen en versleutelen .
Dit tabblad is alleen beschikbaar op een primaire site. Als u het tabblad Ondertekenen en versleutelen niet ziet, controleert u of u niet verbonden bent met een centrale beheersite of een secundaire site.
Configureer de opties voor ondertekening en versleuteling zodat clients met de site kunnen communiceren.
Ondertekening vereisen: Klanten ondertekenen gegevens voordat ze naar het beheerpunt worden verzonden.
Require SHA-256: Clients gebruiken het SHA-256-algoritme bij het ondertekenen van gegevens.
Waarschuwing
Vereist geen SHA-256 zonder eerst te bevestigen dat alle clients dit hash-algoritme ondersteunen. Onder deze clients bevinden zich klanten die mogelijk in de toekomst aan de site worden toegewezen.
Als u deze optie kiest en clients met zelfondertekende certificaten SHA-256 niet kunnen ondersteunen, worden deze geweigerd door Configuration Manager. Het onderdeel SMS_MP_CONTROL_MANAGER logt de bericht-id 5443.
Gebruik versleuteling: clients versleutelen clientvoorraadgegevens en statusberichten voordat ze naar het beheerpunt worden verzonden.
Herhaal deze procedure voor alle primaire sites in de hiërarchie.
Beheer op basis van rollen
Bij beheer op basis van rollen worden beveiligingsrollen, beveiligingsbereiken en toegewezen collecties gecombineerd om het administratieve bereik voor elke gebruiker met beheerdersrechten te definiëren. Een scope omvat de objecten die een gebruiker in de console kan bekijken en de taken die zijn gerelateerd aan die objecten waarvoor hij of zij gemachtigd is. Op rollen gebaseerde beheerconfiguraties worden toegepast op elke site in een hiërarchie.
Zie Beheer op basis van rollen configureren voor meer informatie. In dit artikel worden de volgende acties beschreven:
Aangepaste beveiligingsrollen maken
Beveiligingsrollen configureren
Beveiligingsbereiken voor een object configureren
Verzamelingen configureren voor beveiligingsbeheer
Een nieuwe gebruiker met beheerdersrechten maken
Het administratieve bereik van een gebruiker met beheerdersrechten wijzigen
Belangrijk
Uw eigen beheerbereik bepaalt welke objecten en instellingen u kunt toewijzen wanneer u op rollen gebaseerd beheer configureert voor een andere gebruiker met beheerdersrechten. Zie Fundamentals of role-based administration (Basisprincipes van beheer op basis van rollen) voor meer informatie over het plannen van een op rollen gebaseerd beheer.
Accounts beheren
Configuration Manager ondersteunt Windows-accounts voor veel verschillende taken en toepassingen. Voer de volgende procedure uit als u accounts wilt weergeven die voor verschillende taken zijn geconfigureerd en om het wachtwoord te beheren dat in Configuration Manager voor elk account wordt gebruikt:
Ga in de Configuration Manager-console naar de werkruimte Beheer, vouw Beveiliging uit en kies vervolgens het knooppunt Accounts.
Als u het wachtwoord voor een account wilt wijzigen, selecteert u het account in de lijst. Kies vervolgens Eigenschappen op het lint.
Kies Instellen om het dialoogvenster Windows-gebruikersaccount te openen. Geef het nieuwe wachtwoord op dat in Configuration Manager moet worden gebruikt voor dit account.
Opmerking
Het wachtwoord dat u opgeeft, moet overeenkomen met het wachtwoord van dit account in Active Directory.
Zie Accounts die worden gebruikt in Configuration Manager voor meer informatie.
Microsoft Entra ID
Integreer Configuration Manager met Microsoft Entra ID om uw omgeving te vereenvoudigen en geschikt te maken voor de cloud. De site en clients inschakelen voor verificatie met behulp van Microsoft Entra ID.
Zie de Cloudbeheerservice in Azure-services configureren voor meer informatie.
Authenticatie sms-provider
U kunt het minimale verificatieniveau opgeven voor beheerders voor toegang tot Configuration Manager-sites. Met deze functie moeten beheerders zich met het vereiste niveau aanmelden bij Windows voordat ze toegang hebben tot Configuration Manager. Zie Verificatieplannen voor sms-provider voor meer informatie.
Belangrijk
Deze configuratie is voor de hele hiërarchie ingesteld. Voordat u deze instelling wijzigt, moet u ervoor zorgen dat alle beheerders van Configuration Manager zich bij Windows kunnen aanmelden met het vereiste verificatieniveau.
Voer de volgende stappen uit om deze instelling te configureren:
Meld u eerst aan bij Windows met het beoogde verificatieniveau.
Ga in de Configuration Manager-console naar de werkruimte Beheer, vouw Siteconfiguratie uit en selecteer het knooppunt Sites.
Selecteer Hiërarchie-instellingen op het lint.
Naar het tabblad Verificatie gaan. Selecteer het gewenste verificatieniveau en selecteer vervolgens OK.
- Selecteer alleen wanneer dat nodig is Toevoegen om specifieke gebruikers of groepen uit te sluiten. Zie Uitsluitingen voor meer informatie.
Uitsluitingen
Via het tabblad Verificatie van Hiërarchie-instellingen kunt u ook bepaalde gebruikers of groepen uitsluiten. Gebruik deze optie niet te vaak. Bijvoorbeeld wanneer specifieke gebruikers toegang tot de Configuration Manager-console nodig hebben, maar niet op het vereiste niveau kunnen worden geverifieerd bij Windows. Het kan ook nodig zijn voor automatisering of services die worden uitgevoerd in de context van een systeemaccount.