Devolutions Scheduler das Lesen verschlüsselter Verbindungszeichenfolgen erlauben
Verwendung von SQL Server-Anmeldekonten
Bei der Verwendung von SQL Server-Anmeldekonten ist es äußerst wichtig, dass die Serverkonfigurationsdatei (appsettings.json) verschlüsselt wird, da sie die Datenbank-Verbindungszeichenfolgen speichert. Diese enthalten den HostName des Datenbankservers, den Namen der Datenbank (Initial Catalogue) und die Anmeldeinformationen (User ID und Password).
Da die Verschlüsselung der Datei appsettings.json jedoch die Verwendung von RsaProtectedConfigurationProvider aus dem .NET Framework erfordert, sind zusätzliche Berechtigungen für den Zugriff auf den vom RSA Provider verwendeten Container NetFrameworkConfigurationKey erforderlich.
Werden diese Berechtigungen nicht erteilt, kann der DevolutionsSchedulerService nicht gestartet werden und es wird eine Fehlermeldung zurückgegeben, wenn die Option Disable connection string encryption in der Devolutions Server Console deaktiviert ist (Rechtsklick auf eine Instanz, dann Edit – IIS – Disable connection string encryption).
Die Erteilung des Zugriffs auf den Container NetFrameworkConfigurationKey könnte ein Sicherheitsrisiko darstellen. Daher wird empfohlen, diese Berechtigung nicht an Network Service oder Local Service zu erteilen.
Wir empfehlen, ein dediziertes Konto für den Dienst DevolutionsSchedulerService zu verwenden und den Dienst so einzurichten, dass er unter diesem Konto ausgeführt wird.
Führen Sie dann den folgenden Befehl in einer Eingabeaufforderung mit erhöhten Rechten aus:
"C:\Windows\Microsoft.NET\Framework64\v4.0.30319\aspnet_regiis" -pa "NetFrameworkConfigurationKey" "SchedSvcLocalAccount"Dies sollte Folgendes zurückgeben:
Microsoft (R) ASP.NET RegIIS version 4.0.30319.0
Administration utility to install and uninstall ASP.NET on the local machine.
Copyright (C) Microsoft Corporation. All rights reserved.
Adding ACL for access to the RSA Key container...
Succeeded!Verwendung von SQL Server-Domänenkonten (integrierte Sicherheit)
Wie bei Anmeldekonten verhindert das Fehlen der Berechtigungen für den vom RSA Provider verwendeten Container NetFrameworkConfigurationKey, dass der DevolutionsSchedulerService gestartet werden kann, wobei wahrscheinlich dieser Fehler von der Windows-Dienstekonsole zurückgegeben wird.
Das für den DevolutionsSchedulerService festgelegte Konto (im Pre-Deployment Account Survey als VaultDBScheduler-Konto bezeichnet) benötigt die Berechtigung, den Container NetFrameworkConfigurationKey zu lesen.
Führen Sie dazu den folgenden Befehl in einer Eingabeaufforderung mit erhöhten Rechten aus:
Dies sollte Folgendes zurückgeben:
Zuletzt aktualisiert
War das hilfreich?