Autoriser le planificateur Devolutions à lire les chaînes de connexion chiffrées

Utilisation des comptes de connexion SQL Server

Lorsque vous utilisez des comptes de connexion SQL Server, il est primordial que le fichier de configuration du serveur (appsettings.json) soit chiffré, car il contient les chaînes de connexion à la base de données. Celles-ci incluent le nom d'hôte du serveur de base de données, le nom de la base de données (Initial Catalogue) ainsi que les informations d'identification (User ID et Password).

Cependant, étant donné que le chiffrement du fichier appsettings.json nécessite l'utilisation de RsaProtectedConfigurationProvider du .NET Framework, des autorisations supplémentaires sont requises pour accéder au conteneur NetFrameworkConfigurationKey utilisé par le fournisseur RSA.

L'omission d'obtenir ces autorisations empêche le démarrage de DevolutionsSchedulerService et retourne un message d'erreur si l'option Disable connection string encryption est désactivée dans Devolutions Server Console (clic droit sur une instance, puis Edit – IIS – Disable connection string encryption).

L'octroi d'un accès au conteneur NetFrameworkConfigurationKey peut représenter un risque de sécurité ; il est donc recommandé de ne pas accorder cette autorisation à Network Service ou à Local Service.

Nous recommandons d'utiliser un compte dédié pour le service DevolutionsSchedulerService et de configurer le service pour qu'il s'exécute sous ce compte.

Exécutez ensuite la commande suivante à partir d'une invite de commandes avec élévation de privilèges :

"C:\Windows\Microsoft.NET\Framework64\v4.0.30319\aspnet_regiis" -pa "NetFrameworkConfigurationKey" "SchedSvcLocalAccount"

Le résultat devrait être :

Microsoft (R) ASP.NET RegIIS version 4.0.30319.0
Administration utility to install and uninstall ASP.NET on the local machine.
Copyright (C) Microsoft Corporation.  All rights reserved.
Adding ACL for access to the RSA Key container...
Succeeded!

Utilisation des comptes de domaine SQL Server (sécurité intégrée)

Comme avec les comptes de connexion, l'omission d'obtenir les autorisations sur le conteneur NetFrameworkConfigurationKey utilisé par le fournisseur RSA empêche le démarrage de DevolutionsSchedulerService, ce qui retourne probablement cette erreur dans la console des services Windows.

Le compte configuré sur DevolutionsSchedulerService (désigné comme compte VaultDBScheduler dans le Pre-Deployment Account Survey) devra disposer de l'autorisation de lecture sur le conteneur NetFrameworkConfigurationKey.

Pour obtenir ces autorisations, exécutez la commande suivante à partir d'une invite de commandes avec élévation de privilèges :

"C:\"Windows\Microsoft.NET\Framework64\v4.0.30319\aspnet_regiis" -pa "NetFrameworkConfigurationKey" "<YourDomain>\<VaultDBSchedulerAccount>"

Le résultat devrait être :

Microsoft (R) ASP.NET RegIIS version 4.0.30319.0
Administration utility to install and uninstall ASP.NET on the local machine.
Copyright (C) Microsoft Corporation.  All rights reserved.
Adding ACL for access to the RSA Key container...
Succeeded!