Zabezpečení monitorování

Stejně jako úložiště trvalosti sehrává v architektuře Windows Server AppFabric klíčovou roli i úložiště monitorování. Úložiště monitorování obsahuje data rozhraní .NET Framework, pomocí kterých můžete diagnostikovat problémy s aplikací a také sledovat její stav. Technologie AppFabric nabízí nástroj, kterým lze zobrazovat sledovaná data monitorování. Správcům, kteří budou používat nástroje pro správu technologie AppFabric, je nutné poskytnout oprávnění k úložišti monitorování – a také je poskytnout aplikacím a systémovým službám v době běhu, aby mohly do tohoto datového úložiště zapisovat a číst z něj. V tomto tématu je popsán způsob, jak zabezpečit data monitorování a nástroje správy, pomocí kterých se k datům přistupuje.

Použití úložiště monitorování spadá do oboru aplikace i oboru správy a musí být zabezpečeno v každém oboru jiným způsobem. Konkrétní oprávnění jsou určována zahrnutím do různých skupin zabezpečení. Obor zabezpečení aplikace má vliv na oprávnění, která má aplikace za běhu, a je mapován na konceptuální roli Uživatelé aplikačního serveru. Obor zabezpečení správy má vliv na nástroje a související operace, které správce a systémové služby mohou provádět. Tato oprávnění jsou mapována na konceptuální role Správci aplikačního serveru a Operátoři aplikačního serveru.

Zabezpečení dat monitorování

Monitorování shromažďuje záznamy sledování, události a další data generovaná službami WCF a WF a ukládá je do databáze. Aplikace často shromažďují a přenášejí identifikovatelné osobní údaje nebo jiná důvěrná data. Po zahrnutí do záznamu sledování jsou data uložena do úložiště monitorování. Obsah zpráv a proměnných lze uložit do úložiště s ohledem na použitý profil sledování. Jedno úložiště monitorování může sdílet více serverů, webů a aplikací. Data monitorování jsou záměrně agregována ze serverů a webů, které sdílejí úložiště, což umožňuje snáze monitorovat aktivitu až tisíců instancí služby v rozsáhlém prostředí. Po uložení dat do úložiště monitorování je mohou zobrazovat členové skupin AS_Administrators a všichni členové rolí sysadmin a dbo systému SQL Server. Členové skupiny AS_Observers patří do skupiny ASMonitoringDBReader a mohou číst data monitorování pomocí veřejných zobrazení v databázi monitorování. U dat sledování může docházet k neúmyslnému nebo cílenému prozrazení, avšak toto riziko můžete určitým postupem snížit.

Služba Služba Shromažďování událostí usnadňuje zabezpečení dat monitorování. Tato služba shromažďuje události z relace Trasování událostí pro Windows a zapisuje je do databáze monitorování. Do této relace shromažďování mohou zapisovat události pouze aplikace s oprávněním "Zapisovat" do relace Trasování událostí pro Windows spouštěné službou Služba Shromažďování událostí. Služba Služba Shromažďování událostí standardně běží jako NT_AUTHORITY\LOCAL SERVICE. Identifikátor SID specifický pro službu Služba Shromažďování událostí (NT SERVICE\AppFabricEventCollectionService) je přidán do skupiny AS_Administrators. Službě to umožní přistupovat k databázi monitorování s oprávněním ke čtení a zápisu, protože skupina AS_Administrators je součástí databázové role ASMonitoringDBAdmin. Pokud vytvoříte databázi monitorování pomocí skriptů rutin technologie AppFabric, budou všechny tyto role a skupiny vytvořeny a inicializovány správně. Chcete-li spustit službu Služba Shromažďování událostí jako jiný uživatel, přejděte k tématu Zabezpečení služby Shromažďování událostí, kde najdete informace o tomto postupu.

Data uložená v úložišti monitorování můžete zabezpečit těmito způsoby:

• Použít různá úložiště monitorování. Můžete vytvořit a nakonfigurovat alternativní úložiště monitorování na stejném nebo jiném serveru pomocí rutin technologie AppFabric, a vytvořit tak úložiště a na stránce Konfigurace databáze monitorování je nakonfigurovat. Poté můžete nakonfigurovat určité aplikace, aby používaly pouze toto úložiště. To poskytne určeným aplikacím soukromé úložiště dat monitorování, do kterého nemají přístup žádné jiné aplikace.

• Manipulovat s funkcemi monitorování. Pomocí rozšíření přidaných do Správce služby IIS technologií AppFabric můžete povolovat a zakazovat funkce monitorování pro všechny služby pracovních postupů v aplikaci, pro všechny aplikace na webu nebo pro všechny weby na serveru. Můžete definovat zásady monitorování na vyšší úrovni, aby všechny nižší úrovně v hierarchii služeb IIS a WAS dědily nastavení zásad.

Zabezpečení relace Trasování událostí pro Windows

Služba Služba Shromažďování událostí shromažďuje události monitorování z relace Trasování událostí pro Windows a ukládá je do úložiště monitorování. Přidělením bezpečnostních oprávnění identitě fondu aplikací můžete řídit, které aplikace budou zapisovat události do relace Trasování událostí pro Windows služby Služba Shromažďování událostí. Můžete například povolit fondu aplikací, aby běžel pod identitou s nízkým oprávněním, jako je MACHINE\MyUser, a zapisoval události do relace trasování. Chcete-li to provést, přidělte identitě MACHINE\MyUser oprávnění události TRACELOG_LOG_EVENT. Oprávnění můžete přidělit těmito způsoby:

• Aby mohla identita zapisovat do relace Trasování událostí pro Windows, můžete její oprávnění změnit pomocí rozhraní Win32 API EventAccessControl (https://go.microsoft.com/fwlink/?LinkId=179742).

• Pomocí nástroje Sledování výkonu (PERFMON.EXE) můžete řídit, které aplikace budou moci zapisovat události do relace Trasování událostí pro Windows tak, že přidělíte bezpečnostní oprávnění určitým identitám. Můžete například povolit fondu aplikací, aby běžel pod identitou MACHINE\MyUser a zapisoval události do relace trasování, pokud relace běží v režimu SECURE. Chcete-li to provést, povolte identitě MACHINE\MyUser oprávnění události TRACELOG_LOG_EVENT – v nástroji Sledování výkonu na kartě Zabezpečení v nastavení Relace kolektoru událostí technologie AppFabric.

Před každou úpravou oprávnění pro skupiny nebo uživatele na kartě Zabezpečení v nastavení Relace kolektoru událostí technologie AppFabric nejdříve danou relaci zastavte. Pokud tak neučiníte, změněná nastavení nebudou zachována.

V této části

• Zabezpečení služby Shromažďování událostí

  2011-12-05