Microsoft SQL Serverの TLS 1.2 サポート

適用対象: SQL Server
元の KB 番号: 3135244

概要

この記事では、Windows、SQL Server 2016、SQL Server SQL Server 2014、SQL Server 2012、SQL Server 2008、SQL Server 2008 R2 で TLS 1.2 サポートを有効にするための Microsoft リリースの更新プログラムについて説明します。 この記事では、サポートされているクライアント プロバイダーの一覧も示します。 SQL Server 2016、SQL Server 2017、SQL Server 2019 では、更新プログラムを必要とせずに TLS 1.2 がサポートされます。

Secure Sockets Layer (SSL) および以前のバージョンのトランスポート層セキュリティ (TLS) に対して、いくつかの既知の脆弱性が報告されています。 セキュリティで保護された通信のために TLS 1.2 にアップグレードすることをお勧めします。

この更新プログラムが必要かどうかを確認する方法

次の表を使用して、現在のバージョンのSQL Serverが既に TLS 1.2 をサポートしているかどうか、または TLS 1.2 のサポートを有効にするために更新プログラムをダウンロードする必要があるかどうかを判断します。 表のダウンロード リンクを使用して、環境に適用可能なサーバー更新プログラムを取得します。

クライアント コンポーネントのダウンロード

次の表を使用して、環境に適用可能なクライアント コンポーネントとドライバー更新プログラムをダウンロードします。

SQL SERVERで TLS 1.2 を使用するために必要な追加の修正

次の .NET 修正プログラム ロールアップをインストールして、データベース メールなどのSQL Server機能と、TLS 1.2 を使用するために Web サービス タスクのような TLS 1.2 のサポートを必要とする .NET エンドポイントを使用する特定の SSIS コンポーネントを有効にする必要があります。

よく寄せられる質問

• SQL SERVER 2016 以降のバージョンでは TLS 1.1 がサポートされていますか?

  はい。 SQL Server 2016、SQL Server 2017 on Windows、および Windows バージョンのSQL Server 2019 には、TLS 1.0 から TLS 1.2 のサポートが付属しています。 クライアントとサーバー間の通信に TLS 1.2 のみを使用する場合は、TLS 1.0 と 1.1 を無効にする必要があります。

• SQL Server 2019 では、TLS 1.0 または 1.1、または 1.2 のみを使用した接続が許可されますか?

  SQL Server 2019 では、SQL Server 2016 および SQL Server 2017 と同じレベルのサポートがあり、SQL Server 2019 では以前のバージョンの TLS がサポートされています。 SQL Server 2019 RTM は TLS 1.2 サポートに付属しており、TLS 1.2 のサポートを有効にするために他の更新プログラムや修正プログラムは必要ありません。

• TDS は既知の脆弱性の影響を受けるのですか?

  Microsoft TDS の実装に関する既知の脆弱性は報告されていません。 複数の標準適用組織が暗号化された通信チャネルに TLS 1.2 の使用を義務付けています。Microsoft は、広範なSQL Serverインストール ベースに対する TLS 1.2 のサポートをリリースしています。

• TLS 1.2 更新プログラムはどのようにして顧客に配布されますか?

  この記事では、TLS 1.2 をサポートする適切なサーバーおよびクライアント更新プログラムのダウンロード リンクを示します。

• TLS 1.2 は 2005 SQL Serverをサポートしていますか?

  TLS 1.2 のサポートは、SQL Server 2008 以降のバージョンでのみ提供されます。

• SSL/TLS を使用していないお客様は、サーバーで SSL 3.0 と TLS 1.0 が無効になっている場合に影響を受けますか?

  はい。 SQL Serverは、セキュリティで保護された通信チャネルが使用されていない場合でも、ログイン中にユーザー名とパスワードを暗号化します。 この更新プログラムは、セキュリティで保護された通信を使用せず、TLS 1.2 を除く他のすべてのプロトコルがサーバーで無効になっているすべてのSQL Server インスタンスに必要です。

• TLS 1.2 をサポートする Windows Server のバージョンはどれですか?

  Windows Server 2008 R2 以降のバージョンでは、TLS 1.2 がサポートされています。

• SQL SERVER通信に TLS 1.2 を有効にする正しいレジストリ設定は何ですか?

  正しいレジストリ設定は次のとおりです。

  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]
  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001

  これらの設定は、サーバー コンピューターとクライアント コンピューターの両方に必要です。 および Enabled のDisabledByDefault設定は、Windows 7 クライアントと Windows Server 2008 R2 サーバーで作成する必要があります。 Windows 8以降のバージョンのクライアント オペレーティング システムまたはサーバー Windows Server 2012 以降のバージョンのサーバー オペレーティング システムでは、TLS 1.2 が既に有効になっている必要があります。 OS リリースに依存しない必要がある Windows レジストリの展開ポリシーを実装する場合は、前述のレジストリ キーをポリシーに追加することをお勧めします。 さらに、SQL Serverでデータベース メールを使用している場合は、次の .NET レジストリ キーも設定する必要があります。

  • [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001

既知の問題

• 問題 1

  SQL Server Management Studio (SSMS)、レポート サーバー、およびレポート マネージャーは、SQL Server 2008、2008 R2、2012、または 2014 の修正プログラムを適用した後、データベース エンジンに接続しません。 レポート サーバーとレポート マネージャーが失敗し、次のエラー メッセージが返されます。

  レポート サーバーは、レポート サーバー データベースへの接続を開くことができません。 すべての要求と処理には、データベースへの接続が必要です。 (rsReportServerDatabaseUnavailable)

  この問題は、SSMS、レポート マネージャー、Reporting Services Configuration Manager ADO.NET を使用しており、TLS 1.2 の ADO.NET サポートは.NET Framework 4.6 でのみ使用できるために発生します。 以前のバージョンの.NET Frameworkでは、ADO.NET がクライアントの TLS 1.2 通信をサポートできるように Windows 更新プログラムを適用する必要があります。 以前のバージョンの .NET フレームワークで TLS 1.2 サポートを有効にする Windows 更新プログラムは、「この更新プログラムが必要かどうかを確認する方法 」セクションの表に一覧表示されています。

• 問題 2

  Reporting Services Configuration Managerは、クライアント プロバイダーが TLS 1.2 をサポートするバージョンに更新された後でも、次のエラー メッセージを報告します。

  サーバーに接続できませんでした: サーバーへの接続が正常に確立されましたが、ログイン前ハンドシェイク中にエラーが発生しました。

  

  この問題を解決するには、Reporting Services Configuration Managerをホストするシステムに次のレジストリ キーを手動で作成します。

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client: "Enabled"=dword:00000001

• 問題 3

  TLS 1.2 を使用する暗号化されたエンドポイント通信は、SQL Serverで可用性グループ、データベース ミラーリング、または Service Broker に暗号化された通信を使用すると失敗します。 次のようなエラー メッセージが SQL エラー ログに記録されます。

  Connection handshake failed. An OS call failed: (80090331) 0x80090331(The client and server cannot communicate, because they do not possess a common algorithm.). State 56.
  

  この問題の詳細については、「FIX: SQL Serverを使用すると TLS 1.2 との暗号化されたエンドポイント通信が失敗する」を参照してください。

• 問題 4

  TLS 1.2 が有効になっているサーバーに SQL Server 2012 または SQL Server 2014 をインストールしようとすると、さまざまなエラーが発生します。

  詳細については、「FIX: TLS 1.2 が有効になっているサーバーに SQL Server 2012 または SQL Server 2014 をインストールするときにエラーが発生する」を参照してください。

• 問題 5

  TLS 1.2 以外のすべてのプロトコルを無効にした後で証明書を使用する場合、データベース ミラーリングまたは可用性グループとの暗号化された接続は機能しません。 次のようなエラー メッセージが、SQL Server エラー ログに記録されます。

  TLS 1.2 以外のすべてのプロトコルを無効にした後で証明書を使用する場合、データベース ミラーリングまたは可用性グループとの暗号化された接続は機能しません。 次のいずれかの現象が発生する場合があります。

  • 症状 1:

    次のようなエラー メッセージが、SQL Server エラー ログに記録されます。

    Connection handshake failed. An OS call failed: (80090331) 0x80090331(The client and server cannot communicate, because they do not possess a common algorithm.). State 58.'
    

  • 症状 2:

    次のようなエラー メッセージが Windows イベント ログに記録されます。

    Log Name:      System
    Source:        Schannel
    Date:          <Date Time>
    Event ID:      36888
    Task Category: None
    Level:         Error
    Keywords:     
    User:          SYSTEM
    Computer:      ------------
    Description:
    A fatal alert was generated and sent to the remote endpoint. This may result in termination of the connection. The TLS protocol defined fatal error code is 40. The Windows SChannel error state is 1205.
    
    Log Name:      System
    Source:        Schannel
    Date:          <Date Time>
    Event ID:      36874
    Task Category: None
    Level:         Error
    Keywords:     
    User:          SYSTEM
    Computer:      -----------
    Description:
    An TLS 1.2 connection request was received from a remote client application, but none of the cipher suites supported by the client application are supported by the server. The SSL connection request has failed.
    

    この問題は、可用性グループとデータベース ミラーリングには、MD5 などの固定長ハッシュ アルゴリズムを使用しない証明書が必要であるために発生します。 固定長ハッシュ アルゴリズムは、TLS 1.2 ではサポートされていません。

  詳細については、「FIX: MD5 ハッシュ アルゴリズムを使用した通信が失敗するSQL Server TLS 1.2 を使用する場合」を参照してください。

• 問題 6

  次のSQL Serverデータベース エンジンのバージョンは、サポート技術情報の記事3146034で報告されている断続的なサービス終了の問題の影響を受けます。 お客様がサービス終了の問題から身を守るために、次の表にSQL Serverバージョンが記載されている場合は、この記事で説明されているSQL Serverの TLS 1.2 更新プログラムをインストールすることをお勧めします。

  リリースSQL Server	影響を受けるバージョン
  SQL Server 2008 R2 SP3 (x86 および x64)	10.50.6537.0
  SQL Server 2008 R2 SP2 GDR (IA-64 のみ)	10.50.4046.0
  SQL Server 2008 R2 SP2 (IA-64 のみ)	10.50.4343.0
  SQL Server 2008 SP4 (x86 および x64)	10.0.6543.0
  SQL Server 2008 SP3 GDR (IA-64 のみ)	10.0.5544.0
  SQL Server 2008 SP3 (IA-64 のみ)	10.0.5894.0

• 問題 7

  データベース メールは TLS 1.2 では機能しません。 データベース メール次のエラーで失敗します。

  Microsoft.SqlServer.Management.SqlIMail.Server.Common.BaseException: メール構成情報をデータベースから読み取れませんでした。 メール セッションを開始できません。

  詳細については、「SQL Serverで TLS 1 を使用するために必要なその他の修正プログラム」を参照してください。

クライアントまたはサーバーで TLS 1.2 更新プログラムが見つからない場合に発生する可能性がある一般的なエラー

問題 1

SQL Serverで TLS 1.2 プロトコルが有効になった後、System Center Configuration Manager (SCCM) はSQL Serverに接続できません。 この状況では、次のエラー メッセージが表示されます。

TCP プロバイダー: リモート ホストによって既存の接続が強制的に閉じられた

この問題は、修正プログラムがないSQL Server Native Client ドライバーを使用SCCM場合に発生する可能性があります。 この問題を解決するには、「クライアント コンポーネントのダウンロード」セクションに記載されているクライアント修正プログラムを ダウンロードしてインストール します。 たとえば、Microsoft® SQL Server ® 2012 ネイティブ クライアント - QFE などです。

次の例に示すように、SCCM ログを表示することで、SQL Serverに接続するために使用しているドライバー SCCMを確認できます。

[SQL Server Native Client 11.0]TCP Provider: An existing connection was forcibly closed by the remote host.~~  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** [08001][10054][Microsoft][SQL Server Native Client 11.0]Client unable to establish connection  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** Failed to connect to the SQL Server, connection type: SMS ACCESS.  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 INFO: SQL Connection failed. Connection: SMS ACCESS, Type: Secure  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>Native Client 11.0]TCP Provider: An existing connection was forcibly closed by the remote host.~~  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** [08001][10054][Microsoft][SQL Server Native Client 11.0]Client unable to establish connection  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** Failed to connect to the SQL Server, connection type: SMS ACCESS.  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 INFO: SQL Connection failed. Connection: SMS ACCESS, Type: Secure  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>