Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Van toepassing op: Configuration Manager (current branch)
In dit artikel worden de volgende concepten beschreven waarmee u rekening moet houden bij het plannen van beveiliging met uw Configuration Manager-implementatie:
Certificaten (zelfondertekend en PKI)
De vertrouwde basissleutel
Ondertekening en versleuteling
Beheer op basis van rollen
Microsoft Entra ID
Authenticatie sms-provider
Voordat u begint, moet u bekend zijn met de basisprincipes van beveiliging in Configuration Manager.
Certificaten
Configuration Manager gebruikt een combinatie van zelfondertekende digitale certificaten en PKI-digitale certificaten (Public Key Infrastructure). Gebruik waar mogelijk PKI-certificaten. In sommige scenario's zijn PKI-certificaten vereist. Wanneer PKI-certificaten niet beschikbaar zijn, genereert de site automatisch zelfondertekende certificaten. In sommige scenario's worden altijd zelfondertekende certificaten gebruikt.
Zie Certificaten plannen voor meer informatie.
De vertrouwde basissleutel
De vertrouwde basissleutel van Configuration Manager biedt Configuration Manager-clients een mechanisme om te controleren of sitesystemen tot de hiërarchie van de betreffende systemen behoren. Elke siteserver genereert een site exchange-sleutel om te communiceren met andere sites. De site-uitwisselingssleutel van de site op het hoogste niveau in de hiërarchie wordt de vertrouwde basissleutel genoemd.
De functie van de vertrouwde basissleutel in Configuration Manager lijkt op een basiscertificaat in een openbare-sleutelinfrastructuur. Alles wat door de privésleutel van de vertrouwde basissleutel wordt ondertekend, wordt verderop in de hiërarchie vertrouwd. Clients slaan een kopie van de vertrouwde hoofdsleutel van de site op in de root\ccm\locationservices WMI-naamruimte.
De site geeft bijvoorbeeld een certificaat uit aan het beheerpunt, dat wordt ondertekend met de persoonlijke sleutel van de vertrouwde basissleutel. De site deelt met clients de openbare sleutel van de vertrouwde basissleutel. Klanten kunnen dan het onderscheid maken tussen beheerpunten die wel in hun hiërarchie staan en beheerpunten die niet in de hiërarchie voorkomen.
Clients krijgen automatisch de openbare kopie van de vertrouwde basissleutel door twee mechanismen te gebruiken:
U breidt het Active Directory-schema voor Configuration Manager uit en publiceert de site naar Active Directory Domain Services. Vervolgens halen clients deze site-informatie op van een GCV-server. Zie Active Directory voorbereiden voor sitepublicatie voor meer informatie.
Wanneer u clients installeert met behulp van de client-pushinstallatiemethode. Zie Installatie op clientpush voor meer informatie.
Als clients de vertrouwde basissleutel niet kunnen ophalen met behulp van een van deze mechanismen, vertrouwen ze de vertrouwde basissleutel die wordt verstrekt door het eerste beheerpunt waarmee ze communiceren. In dit scenario kan een client ten onrechte worden doorgestuurd naar het beheerpunt van een aanvaller, waar deze beleid zou ontvangen van het malafide beheerpunt. Deze actie vereist een geavanceerde aanvaller. Deze aanval is beperkt tot de korte tijd voordat de client de vertrouwde basissleutel ophaalt van een geldig beheerpunt. Om het risico te verkleinen dat een aanvaller clients naar een malafide beheerpunt leidt, moet u de clients vooraf voorzien van de vertrouwde basissleutel.
Zie Beveiliging configureren voor meer informatie en procedures voor het beheren van de vertrouwde basissleutel.
Ondertekening en versleuteling
Wanneer u PKI-certificaten gebruikt voor alle communicatie met de client, hoeft u geen plannen te maken voor ondertekening en versleuteling om de gegevenscommunicatie van de client te beveiligen. Als u een sitesysteem met IIS zodanig instelt dat HTTP-clientverbindingen zijn toegestaan, moet u bepalen hoe u de clientcommunicatie voor de site kunt beveiligen.
Belangrijk
Vanaf Configuration Manager versie 2103 worden sites die HTTP-clientcommunicatie toestaan afgeschaft. Configureer de site voor HTTPS of Enhanced HTTP. Zie De site inschakelen voor alleen HTTPS of uitgebreide HTTP voor meer informatie.
Als u de gegevens die klanten naar beheerpunten verzenden, wilt beschermen, kunt u klanten verplichten de gegevens te ondertekenen. U kunt ook het SHA-256-algoritme vereisen voor ondertekening. Deze configuratie is veiliger, maar vereist geen SHA-256 tenzij alle clients dit ondersteunen. Veel besturingssystemen ondersteunen dit algoritme systeemeigen
Ondertekening helpt de gegevens te beschermen tegen manipulatie, maar versleuteling helpt de gegevens te beschermen tegen vrijgeven van informatie. U kunt versleuteling inschakelen voor de voorraadgegevens en statusberichten die klanten naar beheerpunten op de site sturen. U hoeft geen updates op clients te installeren om deze optie te ondersteunen. Clients en beheerpunten vereisen meer CPU-gebruik voor versleuteling en ontsleuteling.
Opmerking
Voor het versleutelen van de gegevens gebruikt de client de openbare sleutel van het versleutelingscertificaat van het beheerpunt. Alleen het beheerpunt beschikt over de bijbehorende privésleutel, dus alleen dit kan de gegevens ontsleutelen.
De client start dit certificaat op met het handtekeningcertificaat van het beheerpunt, dat wordt opgestart met de vertrouwde basissleutel van de site. Zorg ervoor dat u de vertrouwde basissleutel op clients veilig inricht. Zie De vertrouwde basissleutel voor meer informatie.
Zie Ondertekening en versleuteling configureren voor meer informatie over het configureren van de instellingen voor ondertekening en versleuteling.
Zie de technische referentie voor cryptografische besturingselementen voor meer informatie over de cryptografische algoritmen die worden gebruikt voor ondertekening en versleuteling.
Beheer op basis van rollen
Met Configuration Manager gebruikt u op rollen gebaseerd beheer om de toegang te beveiligen die gebruikers met beheerdersrechten nodig hebben om Configuration Manager te gebruiken. U beveiligt ook de toegang tot de objecten die u beheert, zoals verzamelingen, implementaties en sites.
Met de combinatie van beveiligingsrollen, beveiligingsbereiken en verzamelingen scheidt u de beheertaken die voldoen aan de vereisten van uw organisatie. Als ze samen worden gebruikt, definiëren ze het administratieve bereik van een gebruiker. Dit beheerbereik bepaalt de objecten die een gebruiker met beheerdersrechten bekijkt in de Configuration Manager-console en bepaalt de machtigingen die een gebruiker voor die objecten heeft.
Zie Fundamentals of role-based administration.
Microsoft Entra ID
Configuration Manager kan worden geïntegreerd met Microsoft Entra ID zodat de site en clients moderne verificatie kunnen gebruiken.
Zie de documentatie van Microsoft Entra voor meer informatie over Microsoft Entra ID.
Bij het onboarden van uw site met Microsoft Entra ID kunt u de volgende Configuration Manager scenario's gebruiken:
Clientscenario's
Server scenario's
Authenticatie sms-provider
U kunt het minimale verificatieniveau opgeven voor beheerders voor toegang tot Configuration Manager-sites. Met deze functie moeten beheerders zich met het vereiste niveau aanmelden bij Windows voordat ze toegang hebben tot Configuration Manager. Het is van toepassing op alle componenten die toegang hebben tot de SMS-provider. Bijvoorbeeld de Configuration Manager-console, SDK-methoden en Windows PowerShell-cmdlets.
Configuration Manager ondersteunt de volgende verificatieniveaus:
Windows-verificatie: Verificatie vereisen met Active Directory-domeinreferenties. Deze instelling is het vorige gedrag en de huidige standaardinstelling.
Certificaatverificatie: Vereis verificatie met een geldig certificaat dat is uitgegeven door een vertrouwde PKI-certificeringsinstantie. Dit certificaat configureert u niet in Configuration Manager. Voor Configuration Manager moet de beheerder bij Windows zijn aangemeld met behulp van PKI.
Verificatie van Windows Hello voor Bedrijven: Vereis verificatie met sterke tweeledige verificatie die is gekoppeld aan een apparaat en waarbij gebruik wordt gemaakt van biometrie of een pincode. Zie Windows Hello voor Bedrijven voor meer informatie.
Belangrijk
Als u deze instelling selecteert, vereisen de sms-provider en beheerservice dat het verificatietoken van de gebruiker een claim voor meervoudige verificatie (MFA) van Windows Hello voor Bedrijven bevat. Met andere woorden, een gebruiker van de console, SDK, PowerShell of beheerservice moet zich bij Windows verifiëren met zijn of haar pincode of biometrische code voor Windows Hello voor Bedrijven. Anders wordt de actie van de gebruiker op de site afgewezen.
Dit gedrag is bedoeld voor Windows Hello voor Bedrijven, niet voor Windows Hello.
Zie Authenticatie sms-provider configureren voor meer informatie over het configureren van deze instelling.