Wymaganie zaszyfrowanego połączenia z przestrzenią nazw

Możesz wymagać, aby skrypty klienta i aplikacje ustanowiły szyfrowane połączenie do uwierzytelniania, dodając kwalifikator RequiresEncryption do pliku MOF (Managed Object Format), który tworzy przestrzeń nazw.

Zaszyfrowane połączenie z przestrzenią nazw usługi WMI określa RPC_C_AUTHN_LEVEL_PKT_PRIVACY (lub PktPrivacy w skrypcie) jako zabezpieczenie dla uwierzytelniania. Kwalifikator WymagaSzyfrowania powoduje, że usługa WMI odrzuca wszelkie przychodzące żądania danych, chyba że jawnie używają uwierzytelnienia przez szyfrowanie. Aby uzyskać więcej informacji, zobacz Ustawianie domyślnego poziomu zabezpieczeń procesu za pomocą VBScript lub Ustawianie uwierzytelniania za pomocą C++.

Możesz również zmodyfikować istniejącą przestrzeń nazw, dodając ten atrybut, a następnie ponownie skompilując plik MOF. RequiresEncryption jest używana w MOF z instrukcją preprocesora pragma przestrzeni nazw.

Poniższa procedura ustawia przestrzeń nazw, aby wymagać zaszyfrowanego połączenia.

Aby ustawić wymagane szyfrowanie

1. Utwórz plik MOF (Managed Object Format) lub zmodyfikuj istniejący plik MOF definiujący przestrzeń nazw.

   Poniższy przykład kodu pokazuje przestrzeń nazw, która zostanie zmodyfikowana, jest root\MyNamespace, a plik ma nazwę MyNamespace_security.mof. WymagaSzyfrowanie ma typ danych logicznych, dlatego musi mieć ustawioną wartość true lub False.

   #pragma namespace("\\\\.\\Root\\MyNamespace") 
   
   [RequiresEncryption(TRUE)] 
   instance of __systemSecurity { };
   

2. Uruchom mofcomp.exe, aby skompilować plik MOF.

   c:\mofcomp MyNamespace_security.mof

   W języku C++użyj metod IMoFCompiler.

Usługa WMI odrzuca klienta korzystającego z domyślnego poziomu uwierzytelniania, ponieważ DCOM uzgadnia poziom bezpieczeństwa wymagany przez proces SVCHOST, w którym jest uruchomiona usługa WMI. Aby uzyskać więcej informacji na temat hostów usług, zobacz Provider Hosting and Security. Aby uzyskać więcej informacji na temat ustawiania poziomów uwierzytelniania podczas nawiązywania połączenia z przestrzeniami nazw usługi WMI, zobacz Ustawianie domyślnego poziomu zabezpieczeń procesu przy użyciujęzyka C++, ustawienie uwierzytelniania przy użyciujęzyka C++ lub Ustawienie domyślnego poziomu zabezpieczeń procesu przy użyciuVBScript.

Podczas zwracania danych w asynchronicznym połączeniu wywołania zwrotnego usługa WMI zwraca komunikat o odmowie dostępu do komputera żądającego. Usługa WMI tworzy również wpis w dzienniku zdarzeń NT komputera z zaszyfrowaną przestrzenią nazw, informując, że nie można ustanowić bezpiecznego połączenia z klientem.

Począwszy od systemu Windows Vista, plik WbemCore.log już nie istnieje. Możesz sprawdzić dziennik zdarzeń NT pod kątem wpisów wskazujących odrzucone przychodzące żądania danych do przestrzeni nazw, które wymagają szyfrowania.

Tematy pokrewne

konfigurowanie deskryptorów zabezpieczeń przestrzeni nazw

WbemAuthenticationLevelEnum

zabezpieczanie zdalnego połączenia WMI