SCCM2012 系列课程(6)-基于角色安全管理
西门子SCCM培训-管理和维护Configuration Manager 站点
Logon Information
Virtual machines:
User name: Password:
20703-1A-LON-DC1-B 20703-1A-LON-CFG-B 20703-1A-LON-CL1-B Adatum\Administrator Pa55w.rd
Estimated Time: 20 minutes
Configuration Manager
administrator
站点维护任务
• “站点维护”对话框位于“站点配 置”中“站点”节点中的“管理”工 作区中
• 配置站点维护： 1. 选择网站 2. 单击站点维护按钮
维护Configuration Manager 站点
• 要维护Configuration Manager站点：
实验A：配置基于角色的管理
• 练习1：为多伦多管理员配置新的范围 • 练习2：配置新的管理用户
Logon Information Virtual machines:
User name: Password:
20703-1A-LON-DC1-B 20703-1A-LON-CFG-B Adatum\Administrator Pa55w.rd
• 远程桌面：
• 使用内置的远程桌面服务 • 技术人员自己登录 • 本地用户无法查看会话
• 远程协助：
• 使用内置的远程协助功能 • 允许与本地用户会话进行交互
远程工具设备设置
远程协助和远程桌面
Configuration Manager 控制台
远程协助
客户端不必启动远程协 助请求 访问级别可以集中控制
Estimated Time: 30 minutes
SCCM2012中部署NAP网络访问保护
SCCM2012中部署NAP网络访问保护一、微软的网络访问保护（NAP）是随着Windows Server 2008面世的限制网络访问保护服务。
采用NAP的强制系统符合健康要求，可以使得不符合健康要求的计算机拒绝接入网络，并将不符合的计算机强制修正其状态。
NAP的的三个显著特性健康状态验证当客户端计算机尝试连接网络时，NAP会根据制定的健康要求策略进行检查客户端健康情况，如果不符合健康要求，后续会对计算机进行配置和操作。
健康策略符合性管理员可以设置符合性策略，配合SCCM 2012，NAP检查客户端计算机是否包含了特定的软件更新或者是单独的软件产品，如果不符合，将自动对其进行修复。
受限访问限制不符合健康性要求的客户端计算机，让其自动的去访问修复服务器，然后修正不符合项，使其能正常接入网络。
典型的使用场景验证移动的便携式计算机健康状况验证台式机的健康状况验证来宾的便携式计算机健康状况验证不受管理的计算机健康状况二、SCCM+NAP实验环境介绍本次实验基于虚拟环境，采用SCCM+NAP DHCP强制方式，使用DC、SCCM、Client 三台服务器与客户端，。
各服务器安装角色如下：DC：DC、DNSSCCM：SCCM2012、DHCP、NPSClient：Windows 7.部署步骤1.在SCCM服务器上安装DHCP与NAP服务。
图12.选择NAP角色组件，如图2图23.添加DHCP作用域，这步也可以安装完之后再做。
图34.安装完毕后，打开DHCP服务器，打开配置作用域，在作用域配置中，高级选项，默认用户类下，勾选006 DNS 服务器与015 DNS 域名。
如下图设置：图4 DNS 服务器设置图5 DNS 域名设置5.设置完毕后将用户类改为“默认的网络保护级别”，勾选006 DNS 服务器与015 DNS域名。
其中006设置与上面相同，015 DNS 域名填写为restricted.contoso.msft。
1SCCM2012部署指南(Microsoft)
System Center Configuration Manager 2012部署指南目录一、部署环境介绍： (3)二、部署需求： (4)四、部署SCCM 2012服务器 (6)五、在SCCM服务器上安装相关服务及组件： (6)六、部署Configuration Manager 2012： (29)一、部署环境介绍：本次部署共涉及到2台服务器1.DC：角色：域控制器+DNS+ DHCP操作系统：Windows Server 2008 R2标准版2.SCCM：角色：SCCM 2012+ SQL Server 2008 SP1 + WSUS 3.0 SP2 操作系统：Windows Server 2008 R2 企业版二、部署需求：1.Configuration Manager 20012服务器需求：1)站点系统硬件需求：2)站点系统操作系统需求：a)Windows Server 2008 Standard Edition (no service pack or SP1) 64 bitb)Windows Server 2008 Enterprise Edition (no service pack or SP1) 64 bitc)Windows Server 2008 Data Center Edition (no service pack or SP1) 64 bitd)Windows Server 2008R2 Standard Edition (no service pack or SP1)64 bite)Windows Server 2008R2 Enterprise Edition (no service pack or SP1) 64 bitf)Windows Server 2008R2 Data Center Edition (no service pack or SP1) 64 bit2.Configuration Manager 2012 客户端需求：1)客户端系统硬件需求：3.Configuration Manager 2012 服务器系统组件需求：1)WSUS 3.0 SP22)ReportViewer 2008 (for WSUS 3.0)3)IIS 7.5 (BITS、Active Server Page、WebDAV for Windows Server 2008 R2,远程差分压缩)4).NET.framework 3.5.+ .NET.framework 4.0三、部署SCCM服务器1、安装Windows Server 2008 R2服务器（见附录一），2、并配置计算机名称和IP地址（见附录一）；3、将服务器加入域（见附录一）。
MicrosoftSCCM概述精品PPT课件
改善的打包缓存控制 二进制文件差异比较复制 客户端标识 网络唤醒
主要升级到操作系统部署功能
在SMS 2003操作系统部署上的特征包 来自ADS的服务器部署
ConfigMgr 2007集成的部分 用于Vista/LH升级的简化的规划 统一客户端和服务器部署 使用Vista/LH工具 增强的安全性
导入驱动器到此节点 在驱动器上设置属性 给驱动器分配驱动器包
“驱动器包”节点
Configuration Manager包被复制到分发点 将相关的驱动器包集成到一个包里
不采用VPN技术客户端管理
团体(销售团队，顾问) 销售终端(酒店，零售商店，加油站) 员工的家用电脑 智能漫游
融合技术标准
用于证书管理的PKI SSL/TLS 用于安全HTTP通信 防火墙用于SSL终端
方案
端到端部署 完全自动化
清盘升级 使用PXE进行裸机部署
同步
完全离线部署
综合的Vista升级规划
完全服务器部署 安全 灵活性和自定义程度
Vista/LH兼容程度
设备驱动器管理
SMS 2003 OSD FP Yes Yes Yes
带RIS勉强集成
BDD 脚本 No No No
好
好
好
No
ConfigMgr OSD Yes Yes Yes
持续的一致性 • 自动执行已定义的公司安全策略的更改，确保持续的策略一致性
下载更新到站点服务器
Microsoft Update
部署更新到分发点 主站点
安装必须的更新
DP MP 下载新策略
在活动目录里发布新的 策略
`
健康的客户
受保护的网络
AD 检索健康状况策略
51CTO学院-SCCM 2012 管理实战教程
SCCM 2012 管理实战教程适用人群中级IT从业人员课程简介本课程力图使用全新的视角为大家介绍SCCM 2012 产品和技术，尽力为大家揭示SCCM 2012 的本质，将SCCM 2012 结合到企业的实际需求，贯穿运维的的整个生命周期，完成操作系统，应用程序的部署，补丁更新，病毒防护的变更，软件，硬件清单和报表。
1课程开篇[免费观看]13分钟在这一节，我们将为大家介绍整个课程章节的安排，并且介绍课程中SCCM 2012 的运作和演示环境，最后将为大家从零开始构建起SCCM 2012 运行环境中最基础的环境，完成域的新建和数据库服务器的准备。
2SCCM 2012 主线18分钟在这一节，我们将为大家介绍SCCM 2012 管理的主线，当我们理解好了管理的主线后，那么我们就能够更轻松更有效的使用SCCM 2012 去管理我们网络中的系统和对象。
通过对SCCM 2012 管理主线的介绍，使我们对于SCCM 2012 提供的功能和特性有一个全局性的把握。
3部署SCCM 2012 站点36分钟在这一节，我们将为大家介绍SCCM 2012 中不同的站点类型，部署和运行的先决条件，并且依次完成中心管理站点，主站点和辅助站点的部署，获得第一个SCCM 2012 的运行环境。
4发现和边界19分钟在这一节，我们将为大家介绍通过SCCM 2012 提供的不同的发现方法，发现网络当中的用户和计算机等资源，从而将这些资源添加到SCCM 2012 系统中，最后我们将己经添加好的资源通过创建边界的方式，关联到最近的SCCM 服务器，获得最佳的用户体验。
5客户端部署29分钟在这一节中，我们将为大家介绍不同类型的SCCM 2012 客户端部署方式，并且说明如何执行客户端请求安装来完成SCCM 2012 客户端的部署，说明如何在SCCM 2012 管理控制台中使用配置客户端设置来启用SCCM 2012 客户端不同的特性和功能。
SCCM 2012 SP1系列(十一)配置Endpoint Protection-1
SCCM 2012 SP1系列（十一）配置Endpoint Protection-1在SCCM2012中集成了微软的企业级防病毒软件System Center 2012 Endpoint Protection。
Endpoint Protection原名是Forefront Endpoint Protection 2012，可以对桌面进行管理与保护，以降低IT 管理与运营成本。
System Center 2012 Endpoint Protection以Configuration Manager为基础构建而来，针对端点保护技术的部署与管理提供了单一解决方案。
System Center2012 Endpoint Protection使用了与Microsoft Security Essentials相同的业界领先的反恶意软件引擎，可保护您的员工防范最新恶意软件与Rootkit。
System Center 2012 Endpoint Protection与Configuration Manager集成，即可通过反恶意软件、补丁、清单，以及使用信息等机制提供有关客户端系统合规性与安全性的单一视图。
同时还可对网络通讯进行深入的协议分析，以找出并阻止针对含有漏洞系统的攻击，直到响应的软件更新成功安装。
只要系统状态保持为最新，漏洞防护功能就会自动关闭。
具体参考：/zh-cn/server-cloud/system-center/endpoint-protection-2012.aspx下面来看SCCM2012中Endpoint Protection的具体配置。
1、站点配置在“管理”选项卡-“站点配置”-“站点”中，右键点击右侧栏的站点服务器，选择“添加站点系统角色”。
点击“下一步”点击“下一步”勾选“Endpoint Protection 点”，弹出提示，点击确定点击“下一步”点击“下一步”选择是否加入MAPS，并点击“下一步”确认摘要信息，点击“下一步”添加成功后点击“关闭”2、配置默认客户端配置在“管理”选项卡中选择“站点配置”-“客户端设置”，在右侧选择默认客户端设置，右键点击属性点击Endpoint Protection选项，并在右侧把在客户端计算机上管理Endpoint Protection客户端选择成“真”，其他设置可根据需要配置。
1SCCM2012部署指南（Microsoft）
1SCCM2012部署指南（Microsoft）System Center Configuration Manager 2012部署指南⽬录⼀、部署环境介绍： (3)⼆、部署需求： (4)四、部署SCCM 2012服务器 (6)五、在SCCM服务器上安装相关服务及组件： (6)六、部署Configuration Manager 2012： (29)⼀、部署环境介绍：本次部署共涉及到2台服务器1.DC：⾓⾊：域控制器+DNS+ DHCP操作系统：Windows Server 2008 R2标准版2.SCCM：⾓⾊：SCCM 2012+ SQL Server 2008 SP1 + WSUS 3.0 SP2 操作系统：Windows Server 2008 R2 企业版⼆、部署需求：1.Configuration Manager 20012服务器需求：1)站点系统硬件需求：2)站点系统操作系统需求：a)Windows Server 2008 Standard Edition (no service pack or SP1) 64 bitb)Windows Server 2008 Enterprise Edition (no service pack or SP1) 64 bitc)Windows Server 2008 Data Center Edition (no service pack or SP1) 64 bitd)Windows Server 2008R2 Standard Edition (no service pack or SP1)64 bite)Windows Server 2008R2 Enterprise Edition (no service pack or SP1) 64 bitf)Windows Server 2008R2 Data Center Edition (no service pack or SP1) 64 bit2.Configuration Manager 2012 客户端需求：1)客户端系统硬件需求：3.Configuration Manager 2012 服务器系统组件需求：1)WSUS 3.0 SP22)ReportViewer 2008 (for WSUS 3.0)3)IIS 7.5 (BITS、Active Server Page、WebDAV for Windows Server 2008 R2,远程差分压缩)4).NET.framework 3.5.+ .NET.framework 4.0三、部署SCCM服务器1、安装Windows Server 2008 R2服务器（见附录⼀），2、并配置计算机名称和IP地址（见附录⼀）；3、将服务器加⼊域（见附录⼀）。
2024版网络信息安全管理员培训
•网络信息安全概述•密码学基础及应用•身份认证与访问控制策略•网络安全设备配置与管理•数据保护与恢复策略•应用系统安全防护措施•网络安全意识培养与团队建设目录01网络信息安全概述信息安全定义与重要性信息安全的定义信息安全的重要性常见网络攻击手段及防范策略常见网络攻击手段防范策略法律法规与合规性要求法律法规合规性要求02密码学基础及应用密码学基本概念加密原理解密原理030201密码学原理简介常见加密算法及其特点对称加密算法非对称加密算法混合加密算法密码管理最佳实践01020304密钥管理密码策略多因素认证定期审计和监控03身份认证与访问控制策略用户名/密码认证动态口令认证数字证书认证生物特征认证身份认证方法和技术访问控制模型及实现方式自主访问控制（DAC）强制访问控制（MAC）基于角色的访问控制（RBAC）基于属性的访问控制（ABAC）单点登录（SSO）技术应用跨域单点登录允许用户在多个相关但不同的系统中使用同一套用户名和密码进行登录。
OAuth授权一种开放标准，允许用户授权第三方应用访问其存储在另一服务提供者的信息，而无需将用户名和密码提供给第三方应用。
联合身份验证通过与其他身份提供商合作，实现用户在多个网站和应用中的单点登录体验。
无密码身份验证采用生物特征、硬件设备等方式替代传统密码进行身份验证，提高了用户体验和安全性。
04网络安全设备配置与管理防火墙配置策略及优化建议防火墙基本配置包括接口配置、安全区域划分、地址转换等。
访问控制策略根据业务需求制定精细化的访问控制策略，如基于IP地址、端口、协议等进行访问限制。
防火墙优化建议定期更新防火墙规则库，及时修补安全漏洞；对防火墙日志进行监控和分析，发现潜在威胁。
1 2 3IDS/IPS基本原理设备部署与配置运维管理入侵检测系统（IDS/IPS）部署和运维VPN 配置方法掌握主流VPN 设备的配置方法，如Cisco 、Juniper 等。
VPN 基本原理了解VPN 的工作原理、隧道技术、加密技术等相关知识。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
集合（Collections）
在配置基于角色的安全管理之前，检查是否需要创建 新的集合： 功能
地理
单位
其他的安全需求和商业目的
安全作用域（Security Scopes）
定义可视+管理范围，安全对象的分组 • •
所有安全对象必须分配给一个或多个安全作用域 两个内置安全作用域： All Default
包含的安全对象
Applications，Packages，Boot images，Sites，Custom client settings，Distribution points and distribution point groups，Software update groups
不包含的对象
安全作用域的使用
当需要支持实例级别的安全控制时
当想要确保某些安全对象只能被某些特定用户可见
及管理时
与基于角色的安全管理相关的配置步骤
获取更多 TechNet 资源
• 访问 TechNet 的官方网站
/zh-cn/
• TechNet 中文网络广播
SCCM2012基于角色的安全管理
冯亮 系统工程师 盛大网络 电子邮箱： jr_fly@
议程
SCCM2012基于角色的安全管理简介 达成基于角色的安全管理的三个方面
• 安全角色 • 集合 • 安全作用域
Role-Based Administration Example
作为 ConfigMgr Admin Jamie拥 有所有的权限
安全角色
• 一组权限定义了管理员可以控制的范围
• 例如：Read application+ Deploy application+ Read
collection= Software distribution管理员
• 可以指定用户拥有何种角色
ConfigMgr 提供预定义的各种角色 支持自定义角色
作为 ConfigMgr Admin Jamie拥 有所有的权限 Jamie 给Meg以Application Manager 角色 Meg 负责定义及部署应用程 序 Meg 只能看见她权限范围内 的部分
Role-Based Administration Example
作为 ConfigMgr Admin Jamie拥 有所有的权限
Role-Based Administration Example
作为 ConfigMgr Admin Jamie拥 有所有的权限 Jamie 给Meg以Application Manager 角色 Meg 负责定义及部署应用程 序 Meg 只能看见她权限范围内的 部分
安全角色（Security Roles）
Administrative users，Security roles，Security scopes，Default client settings， Boundaries，Exchange Server connector，Site addresses，Active Directory forests， Site system roles
Jamie 给Meg以Application Manager 角色 Meg 负责定义及部署应用程 序 Meg 只能看见她权限范围内 的部分
Role-Based Administration Example
作为 ConfigMgr Admin Jamie拥 有所有的权限 Jamie 给Meg以Application Manager 角色 Meg 负责定义及部署应用程 序 Meg 只能看见她权限范围内 的部分
Role-Based Administration Example
作为 ConfigMgr Admin Jamie拥 有所有的权限 Jamie 给Meg以Application Manager 角色 Meg 负责定义及部署应用程 序 Meg 只能看见她权限范围内 的部分
Role-Based Administration Example
• 成为 TechNet 的订户
/zh-cn/subscriptions/
Question & Answer
如需提出问题，请在此区域输入文字，并单击 “问题和解答”右上方的“提问”按钮即可。
作为 ConfigMgr Admin Jamie拥 有所有的权限
Role-Based Administration Example
作为 ConfigMgr Admin Jamie拥 有所有的权限
Role-Based Administration Example
作为 ConfigMgr Admin Jamie拥 有所有的权限
安全角色的设置规划
将想要分配给用户的工作任务一一列出
将管理任务与一个或者多个内置安全角色对应起来
如果用户承担多项管理任务，（建议）可以将多个安
全角色分配给他，而不是新建一个自定义安全角色
如果上述过程（预定义安全角色）仍不能满足要求再
新建自定义角色
最佳实践：
• 启用多个独立帐号对应管理任务
Role-Based Administration Example
作为 ConfigMgr Admin Jamie拥 有所有的权限
Role-Based Administration Example
作为 ConfigMgr Admin Jamie拥 有所有的权限
Hale Waihona Puke Role-Based Administration Example
/zh-cn/dd547417.aspx
• TechNet 视频中心
/zh-cn/ee803754.aspx
• 加入到中文在线论坛
/Forums/zh-CN/categories