計画と査定 : Windows Server Update Services (WSUS) を使用する
手順 8k: セキュリティを強化する
ここでは、WSUS サーバーのセキュリティをさらに強化する 3 つの手段について説明します。
| • | WSUS を実行している Windows Server 2003 を強化するための推奨設定 |
| • | Active Directory 環境のチェーン化された WSUS サーバー間に認証を追加するための推奨設定 |
| • | WSUS に Secure Sockets Layer プロトコルを実装するための推奨設定 |
WSUS を実行している Windows Server 2003 を強化するWSUS サーバーを強化するための推奨設定については、「付録 D: セキュリティ設定」を参照してください。このような推奨設定には、IIS 6.0 や SQL Server 2000 だけでなく、多くの Windows Server コンポーネントを強化する方法が含まれています。Windows Server 2003 を実行していない場合、または SQL Server 2000 を WSUS のデータベース ソフトウェアとして使用していない場合は、すべての推奨設定を使用できるとは限りません。 Active Directory 環境のチェーン化された WSUS サーバー間に認証を追加するサーバー間の同期の認証を追加できます。 認証を有効にするには、いくつかの制限があります。認証が必要な WSUS サーバーは Active Directory 環境に配置されている必要があります。また、WSUS サーバーが別のフォレストに属する場合は、この認証方法を正常に機能させるために、フォレスト間に信頼が作成されている必要があります。 認証を有効にするプロセスは 2 つの手順で構成されます。最初に、この WSUS サーバーを認証できるダウンストリーム WSUS サーバーの一覧を作成し、WSUS の最初のインストール時に作成されたテキスト ファイルにその一覧を追加します。次に、IIS で、WSUS サーバーへの匿名アクセスを無効にします。この 2 つの手順を完了したら、一覧に含めたダウンストリーム コンピュータのみを WSUS サーバーと同期させることができます。以下に、各手順について詳しく説明します。 手順 1: 認証一覧を作成するWSUS セットアップを実行すると、WSUS にアクセスできるコンピュータの明示的な一覧を追加できるようにする構成ファイルが作成されます。このファイルは、次の場所にある WSUS サーバーのファイル システムに作成されます。 %Program Files%\Update Services\WebServices\Serversyncwebservice\Web.config <authorization> 要素を使用して、認証一覧を定義します。<authorization> 要素は、<configuration> 要素と <system.web> 要素の下に追加する必要があります。 次に例を示します。 <configuration> <system.web> <authorization> <allow users="domain\computer_name,domain\computer_name" /> <deny users="*" /> </authorization> </system.web> </configuration> 認証の開始タグと終了タグの間に、Web サービスへの接続を許可するコンピュータの一覧を指定します。これらのコンピュータは <ドメイン>\<コンピュータ名> の形式で入力する必要があります。複数のコンピュータを指定する場合は、コンマを使用してコンピュータ名を区切ります。アクセスを拒否するコンピュータの明示的な一覧も指定できます。この場合は、ユーザーに適用される最初の項目で評価が終了するため、一覧内の順序が重要になります。 この一覧の XML スキーマについては、MSDN の Web サイト (http://msdn.microsoft.com/library/ja/?url=/library/ja/cpgenref/html/gngrfauthorizationsection.asp) を参照してください。 手順 2: IIS を構成する次の手順では、ServerSyncWebService 仮想ディレクトリへの匿名アクセスを無効にし、統合 Windows 認証を有効にするように IIS を構成します。 WSUS ServerSynchWebService への匿名アクセスを無効にして統合 Windows 認証を有効にするように IIS を構成するには
Secure Sockets Layer で WSUS をセキュリティで保護するSecure Sockets Layer (SSL) プロトコルを使用して、WSUS の展開をセキュリティで保護できます。WSUS は、SSL を使用して、クライアント コンピュータとダウンストリーム WSUS サーバーが WSUS サーバーを認証できるようにします。また、クライアントとダウンロード WSUS サーバーの間で渡されるメタデータの暗号化にも SSL を使用します。WSUS は、メタデータには SSL だけを使用することに注意してください。これは、Microsoft Update が更新プログラムを配布する方法でもあります。 前述のとおり、更新プログラムは 2 つの部分で構成されます。1 つは更新プログラムが何に有用なのかを示すメタデータ、もう 1 つはコンピュータに更新プログラムをインストールするためのファイルです。Microsoft は、それぞれの更新プログラムに署名することで、暗号化されていないチャネルを介して更新ファイルを送信するリスクを軽減します。各更新プログラムへの署名に加え、"ハッシュ" も計算されて各更新プログラムのメタデータと共に送信されます。デジタル署名とハッシュは、更新プログラムがダウンロードされるときに WSUS によって確認されます。更新プログラムが改ざんされていた場合は、インストールされません。 WSUS の SSL 展開に関する制限事項WSUS の SSL 展開を検討している管理者は、次の 2 つの制限事項を知っておく必要があります。 SSL を使用して WSUS の展開をセキュリティで保護すると、サーバーの負荷が増加します。回線上で送信されるすべてのメタデータを暗号化する際に追加のコストがかかるため、パフォーマンスが約 10% 低下することを考慮して計画する必要があります。 リモート SQL を使用している場合、WSUS サーバーとデータベースを実行しているサーバー間の接続は、SSL によってセキュリティで保護されません。データベース接続をセキュリティで保護する必要がある場合は、次のような構成をお勧めします。
環境に IPsec を展開する方法に関するガイダンスについては、Microsoft Web サイトの「Windows Server 2003 IPSec Concepts」 (英語) を参照してください。 WSUS サーバーで SSL を構成するSSL を使用するように WSUS サーバーを構成する場合に最も重要な注意事項は、この構成では 2 つのポートが必要だということです。1 つは HTTPS を使用したメタデータの暗号化用、もう 1 つは非暗号化 HTTP 用です。証明書を使用するように IIS を構成する場合は、次の点に留意してください。
WSUS 管理コンソールにアクセスするためのサンプル SSL URLここでは、SSL を使用するように WSUS を構成した場合に WSUS 管理コンソールへのアクセスに使用するサンプル URL を示します。 業界標準の SSL ポート割り当てを使用して WSUS 管理コンソールにアクセスする https://<WSUS サーバー名>/WSUSAdmin/
カスタムの SSL ポート割り当てを使用して WSUS 管理コンソールにアクセスする https://<WSUS サーバー名>:8531/WSUSAdmin/
クライアント コンピュータで SSL を構成するクライアント コンピュータを構成する場合、2 つの重要な注意事項があります。
自動更新を WSUS に関連付けるためのサンプル SSL URLここでは、SSL を使用するように WSUS を構成した場合に、自動更新を WSUS に関連付けるためのサンプル URL を示します。 業界標準の SSL ポート割り当てを使用して自動更新を WSUS に関連付ける https://<WSUS サーバー名> カスタムの SSL ポート割り当てを使用して自動更新を WSUS に関連付ける https://<WSUS サーバー名>:8531 ダウンストリーム WSUS サーバー用に SSL を構成するSSL を使用しているアップストリーム サーバーと同期するようにダウンストリーム サーバーを構成する手順は次のとおりです。 SSL を使用するようにセットアップされているアップストリームサーバーにダウンストリームサーバーを接続するには
SSL の関連情報証明機関 (CA) をセットアップする、WSUS Web サイトに証明書をバインドする、WSUS Web サイト上の証明書を信頼するようにクライアント コンピュータを起動するなどは、複雑な管理タスクです。各タスクの詳細な手順はこのガイドには含まれていません。 ただし、セットアップに関する記事がいくつかあります。証明書のインストールおよび環境のセットアップの詳細と手順については、Microsoft Web サイトにある次のページを参照してください。
|
目次
|
