Bereiten Sie Netzwerkverbindungen für MID-Server vor
Bevor Sie den MID-Server installieren, führen Sie die erforderlichen Voraussetzungen aus, um eine Verbindung zu Elementen innerhalb und außerhalb Ihres Netzwerks herzustellen. Dies umfasst Netzwerkberechtigungen und Sicherheitsüberlegungen.
Sicherheitsüberlegungen
Manchmal sind auf Computern oder Geräten zusätzliche Sicherheitsmaßnahmen konfiguriert, und diese Maßnahmen können die Fähigkeit des MID-Servers beeinträchtigen, Befehle oder Abfragen auf diesen Systemen auszuführen.
- Aktualisieren Sie die Konfiguration dieser Computer oder Geräte, damit der gewünschte MID-Server Befehle ausführen oder abfragen kann. Beispielsweise kann ein Netzwerkrouter so konfiguriert werden, dass nur die Netzwerkverwaltungssysteme SNMP abfragen können. Fügen Sie in diesem Fall den MID-Server so hinzu, als wäre es ein anderes Netzwerkverwaltungssystem.
- Installieren Sie einen MID-Server auf einem Computer, der bereits Zugriff auf die Computer oder Netzwerkgeräte mit solchen Einschränkungen hat. Für die Verwendung von Discovery in einer DMZ (in der die Kommunikation von außerhalb der DMZ stark eingeschränkt ist) zum Beispiel, installieren Sie einen MID Server auf einem Computer, der sich bereits in der DMZ befindet.
Anmeldeinformationsspray
Die MID-Server Verwendet die des Hosts Windows SMB-Client (Server Message Block) und Konfiguration für die Verbindung mit anderen Windows Computer. Wenn Windows Ist für die Verwendung von Legacy-Protokollen konfiguriert, ist die Verbindung für man-in-the-Middle-Angriffe angreifbar, die zu schwacher Passwortoffenlegung und Remotecodeausführung führen können.
-
Stellen Sie sicher, dass die SMB-Signatur für konfiguriert ist Erforderlich Auf dem Client MID-Server Um potenzielle Angriffe auf die Integrität zu begrenzen.
-
Stellen Sie sicher, dass die SMB-Signatur für alle SMB-Server in der Umgebung erforderlich ist.
-
Verwenden Sie sichere Passwörter, um Offline-Wörterbuchangriffe zu begrenzen, wenn der Hostcomputer Legacy-Authentifizierungsprotokolle wie NetNTLM unterstützen muss.
-
Verwenden Sie für jeden relevanten Host einen eindeutigen Account, um die Auswirkungen gefährdeter Anmeldeinformationen auf die Endsysteme zu begrenzen.
Externe Verbindungsanforderungen
Diese Anforderungen gelten speziell für die Verwendung von MID-Servern mit ServiceNow® Discovery Und Orchestration Produkte.
< Quell-IP > bis < Beliebig >< Quell-IP > bis < ServiceNow > beliebig eingerichtet< Quell-IP > bis < instance_name.service-now.com > 443
Interne Konnektivitätsanforderungen
- SSH : Für UNIX-ähnliche Computer, Discovery Und Orchestration verwenden das SSH-Protokoll, Version 2, um auf Zielcomputer zuzugreifen. SSH ist ein Netzwerkprotokoll, mit dem Daten über einen sicheren Kanal zwischen zwei Netzwerkgeräten ausgetauscht werden können. SSH kommuniziert über Port 22 innerhalb eines verschlüsselten Datenstroms und erfordert eine Anmeldung, um mit zwei verfügbaren Authentifizierungsmethoden auf die Ziele zuzugreifen: Eine Kombination aus Anwendername und Passwort und Anwendername und freigegebenem privatem Schlüssel. Geben Sie Informationen zur SSH-Authentifizierung an, und geben Sie sie ein Anmeldeinformationen Modul. Wenn mehrere Anmeldeinformationen eingegeben werden, versucht die Plattform nacheinander, bis eine erfolgreiche Verbindung hergestellt wird oder alle letztendlich abgelehnt werden. Um Anwendungsbeziehungen bereitzustellen, muss eine begrenzte Anzahl von SUDO-Befehlen zur Ausführung verfügbar sein. Zusätzliche Details zu diesen Anforderungen finden Sie in UNIX/ Linux Befehle, die Stammberechtigungen erfordern Für Discovery Und Orchestration.
- WMI : Für Windows Computer, Discovery Verwendet Windows Schnittstelle für Verwaltungsinstrumentation (WMI) zum Abfragen von Geräten. Aufgrund von Sicherheitsbeschränkungen für WMI muss die MID-Serveranwendung, die die WMI-Abfragen ausführt, als Domänenanwender mit lokalen Administratorrechten (Ziel-) ausgeführt werden. Wann Discovery Erkennt Aktivität auf Port 135 und startet eine WMI-Abfrage. Die Antwort von Windows Das Gerät wird über einen DCOM-Port (Distributed Component Object Model) gesendet, der für WMI auf konfiguriert ist Windows Computer. Dies kann beliebig sein Port . Stellen Sie aufgrund der eindeutigen Art der WMI-Anforderungen sicher, dass der Host-Computer der MID-Server-Anwendung Zugriff auf die Ziele auf allen Ports hat.
- Windows PowerShell : PowerShell Wird auf erstellt Windows.NET Framework und wurde entwickelt, um die Verwaltung von zu steuern und zu automatisieren Windows Computer und Anwendungen. Orchestration verwendet PowerShell, um Workflow-Aktivitäten für auszuführen Windows Computer. PowerShell muss auf jedem MID-Server installiert werden, der diese Aktivitäten ausführt. MID-Server, die PowerShell verwenden, müssen auf einem unterstützten installiert sein Windows Betriebssystem. ServiceNow Unterstützt PowerShell 3,0 bis 5,1. Orchestration-Aktivitäten für PowerShell erfordern Anmeldeinformationen Typ Von Windows.
- SNMP: Netzwerk : Für Netzwerkgeräte, Discovery Verwendet einen SNMP-Scan, um gerätespezifische MIBs und OIDs abzurufen. SNMP ist ein gängiges Protokoll, das auf den meisten Routern, Switches, Druckern, Lastenausgleichsmodule und verschiedenen anderen netzwerkfähigen Geräten verwendet wird. Verwenden Sie einen community-Zeichenfolge (Passwort) für die Authentifizierung beim Scannen eines Geräts über SNMP. Viele Geräte haben eine Standard-Community-Zeichenfolge von Öffentlich Welche Discovery Wird standardmäßig beim Abfragen eines Ziels verwendet. Definieren Sie zusätzliche Community-Zeichenfolgen in SNMP-Anmeldeinformationen Formular, das nacheinander versucht wird, zusammen mit Öffentlich , Bis eine erfolgreiche Abfrage zurückgegeben wird. Zusätzlich zu den Anmeldeinformationen erfordert die Plattform auch die Möglichkeit, SNMP-Anforderungen für Port 161 vom MID-Server an das Ziel zu stellen. Wenn Zugriffssteuerungslisten (ACLs) vorhanden sind, um die IP-Adressen zu steuern, die diese Abfragen durchführen können, stellen Sie sicher, dass sich die IP-Adresse des MID-Servers in der ACL befindet. Discovery Unterstützt SNMP-Versionen 1, 2c und 3.
- WBEM: Webbasiertes Unternehmensmanagement (WBEM) definiert eine bestimmte Implementierung des Common Information Model (CIM), einschließlich Protokollen für die Erkennung und den Zugriff auf jede CIM-Implementierung. WBEM erfordert entweder zwei Ports, 5989 oder 5988, und verwendet das HTTP-Transportprotokoll. WBEM unterstützt SSL-Verschlüsselung und verwendet Anmeldeinformationen für CIM-Anwendernamen/Passwort. Discovery Startet eine WBEM-Portprobe, um Aktivitäten auf den Zielports zu erkennen und gesammelte Daten an eine Klassifizierungsprobe anzuhängen, die CIM-Server untersucht.
Konfigurieren Sie die Netzwerkkonnektivität des MID-Servers
Bereiten Sie das Netzwerk für MID-Server vor, um eine Verbindung mit der Instanz herzustellen und auf die Download-Site zuzugreifen. Das Netzwerk muss vor der Installation oder Konfiguration des MID-Servers vorbereitet werden. Wenn Computer oder Geräte über zusätzliche Sicherheitsmaßnahmen verfügen, kann diese Sicherheit MID-Server auf diesen Systemen beeinträchtigen.
Vorbereitungen
Stellen Sie sicher, dass der Hostcomputer die in angegebenen Anforderungen erfüllt Systemanforderungen des MID-Servers.
Warum und wann dieser Vorgang ausgeführt wird
Der MID-Server-Hostcomputer muss Zugriff auf die ServiceNow-Download-Website unter haben install.service-now.com Um automatisch ein Upgrade durchzuführen. Wenn Sie über eine selbst gehostete ServiceNow-Umgebung verfügen, die den Zugriff auf die Download-Website blockiert, müssen Sie das MID-Server-Installationspaket manuell in Ihre MID-Server-Hosts importieren. Anweisungen finden Sie unter KB0760123 In der selbst gehosteten Knowledge Base.
Firewalls und Proxy-Konfigurationen können Aufrufe an die OCSP Entrust- und DigiCert-Server blockieren, wodurch der MID-Server nicht funktioniert. Möglicherweise müssen Sie Ihre Firewall-Berechtigungen ändern, damit der OCSP-Datenverkehr durchläuft. Weitere Informationen und Lösungen finden Sie im HI-Knowledge Base-artikel [KB1216223] .
- Firewall-Zugriff: Konfigurieren Sie alle Firewalls zwischen dem MID-Server und den Zielgeräten, um eine Verbindung zuzulassen. Wenn Ihr Netzwerk eine DMZ verwendet und Ihre Netzwerksicherheitsprotokolle den Portzugriff von innerhalb des Netzwerks auf die DMZ beschränken, müssen Sie möglicherweise einen MID-Server auf einem Computer innerhalb der DMZ bereitstellen, um die dortigen Geräte zu testen.
- Netzwerkzugriff: Konfigurieren Sie Zielgeräte, damit die MID-Server-Probe eine Verbindung herstellen kann. Wenn die Netzwerksicherheit verhindert, dass Sie neue Computer konfigurieren, die eine Verbindung zu den Zielen herstellen können, installieren Sie den MID-Server auf einem vorhandenen Computer mit Verbindungsberechtigungen.
- Netzwerkaccount: Installieren Sie den MID-Server mit dem richtigen Account, entweder lokaler Administrator oder Domänenadministrator.
- Netzwerkzugriff auf ServiceNow Instanz: Konfigurieren Sie das Netzwerk, das der MID-Server verwendet, um Datenverkehr über TCP-Port 443 zuzulassen.
- Ein MID-Anwender: Erstellen Sie einen ServiceNow Anwenderdatensatz für den zu verwendenden MID-Server. Dieser Anwenderdatensatz muss die Rollen „Mid_Server“ und „Import_admin“ haben.
Prozedur
Nächste Maßnahme
Nachdem das Netzwerk vorbereitet wurde, fahren Sie mit fort MID-Server wird installiert.