دليل نشر دعم بروتوكول TLS 1.2 لمركز النظام 2016

ينطبق على

.NET Framework 4.6.2 System Center 2016 Data Protection Manager System Center 2016 Operations Manager System Center 2016 Virtual Machine Manager System Center Service Management Automation, version 1807 System Center Service Provider Foundation, version 1807

الملخص

توضح هذه المقالة كيفية تمكين بروتوكول أمان طبقة النقل (TLS) الإصدار 1.2 في بيئة Microsoft System Center 2016.

المزيد من المعلومات

لتمكين الإصدار 1.2 من بروتوكول TLS في بيئة System Center، اتبع الخطوات التالية:

تثبيت التحديثات من الإصدار.

ملاحظات
- يجب ترقية أتمتة إدارة الخدمة (SMA) ومؤسسة موفر الخدمة (SPF) إلى أحدث مجموعة تحديثات لأن UR4 لا يحتوي على أي تحديثات لهذه المكونات.
- بالنسبة لأتمتة إدارة الخدمة (SMA)، قم بالترقية إلى تحديث مجموعة التحديثات 1، وقم أيضا بتحديث حزمة إدارة SMA (MP) من صفحة ويب مركز التنزيل من Microsoft هذه.
- بالنسبة ل Service Provider Foundation (SPF)، قم بالترقية إلى Update Rollup 2.
- يجب ترقية مدير الأجهزة الظاهرية بمركز النظام (SCVMM) إلى مجموعة التحديثات 3 على الأقل.
تأكد من أن الإعداد يعمل كما كان قبل تطبيق التحديثات. على سبيل المثال، تحقق مما إذا كان يمكنك بدء تشغيل وحدة التحكم.
قم بتغيير إعدادات التكوين لتمكين TLS 1.2.
تأكد من تشغيل جميع خدمات SQL Server المطلوبة.

تثبيت التحديثات

تحديث النشاط	SCOM¹	SCVMM²	SCDPM³	SCO⁴	SMA⁵	SPF⁶	SM⁷
تأكد من تثبيت جميع تحديثات الأمان الحالية Windows Server 2012 R2 أو Windows Server 2016	نعم	نعم	نعم	نعم	نعم	نعم	نعم
تأكد من تثبيت .NET Framework 4.6 على جميع مكونات System Center	نعم	نعم	نعم	نعم	نعم	نعم	نعم
تثبيت تحديث SQL Server المطلوب الذي يدعم TLS 1.2	نعم	نعم	نعم	نعم	نعم	نعم	نعم
تثبيت تحديثات System Center 2016 المطلوبة	نعم	لا	نعم	نعم	لا	لا	نعم
تأكد من أن الشهادات الموقعة من CA إما SHA1 أو SHA2	نعم	نعم	نعم	نعم	نعم	نعم	نعم

¹ مدير عمليات مركز النظام (SCOM)
² مدير الأجهزة الظاهرية بمركز النظام (SCVMM)
³ System Center Data Protection Manager (SCDPM)
⁴ منسق مركز النظام (SCO)
⁵ أتمتة إدارة الخدمة (SMA)
⁶ Service Provider Foundation (SPF)
⁷ إدارة الخدمات (SM)

تغيير إعدادات التكوين

تحديث التكوين	SCOM¹	SCVMM²	SCDPM³	SCO⁴	SMA⁵	SPF⁶	SM⁷
الإعداد على Windows لاستخدام بروتوكول TLS 1.2 فقط	نعم	نعم	نعم	نعم	نعم	نعم	نعم
الإعداد على System Center لاستخدام بروتوكول TLS 1.2 فقط	نعم	نعم	نعم	نعم	نعم	نعم	نعم
إعدادات إضافية	نعم	لا	نعم	نعم	لا	لا	لا

.NET Framework

تأكد من تثبيت .NET Framework 4.6 على جميع مكونات System Center. للقيام بذلك، اتبع هذه الإرشادات.

دعم TLS 1.2

قم بتثبيت تحديث SQL Server المطلوب الذي يدعم TLS 1.2. للقيام بذلك، راجع المقالة التالية في قاعدة معارف Microsoft:

دعم 3135244 TLS 1.2 ل Microsoft SQL Server

تحديثات مركز النظام المطلوبة 2016

يجب تثبيت SQL Server 2012 Native client 11.0 على جميع مكونات System Center التالية.

مكون	الدور	برنامج تشغيل SQL المطلوب
مدير العمليات	خادم الإدارة ووحدات تحكم الويب	SQL Server 2012 Native client 11.0 أو Microsoft OLE DB Driver 18 for SQL Server (مستحسن). ملاحظه يتم دعم برنامج تشغيل Microsoft OLE DB 18 for SQL Server مع مدير العمليات 2016 UR9 والإصدارات الأحدث.
إدارة الأجهزة الظاهرية	(غير مطلوب)	(غير مطلوب)
منسق	خادم الإدارة	SQL Server 2012 Native client 11.0 أو Microsoft OLE DB Driver 18 for SQL Server (مستحسن). ملاحظه يتم دعم برنامج تشغيل Microsoft OLE DB 18 for SQL Server مع Orchestrator 2016 UR8 والإصدارات الأحدث.
إدارة حماية البيانات	خادم الإدارة	عميل SQL Server 2012 Native 11.0
مدير الخدمة	خادم الإدارة	SQL Server 2012 Native client 11.0 أو Microsoft OLE DB Driver 18 for SQL Server (مستحسن). ملاحظه يتم دعم برنامج تشغيل Microsoft OLE DB 18 for SQL Server مع إدارة الخدمات 2016 UR9 والإصدارات الأحدث.

لتنزيل Microsoft SQL Server 2012 Native Client 11.0 وتثبيته، راجع صفحة ويب مركز التنزيل لـ Microsoft هذه.

لتنزيل برنامج تشغيل Microsoft OLE DB 18 وتثبيته، راجع صفحة ويب مركز التنزيل لـ Microsoft هذه.

بالنسبة إلى مدير عمليات مركز النظام وإدارة الخدمات، يجب أن يكون ODBC 11.0 أو ODBC 13.0 مثبتا على جميع خوادم الإدارة.

قم بتثبيت تحديثات System Center 2016 المطلوبة من مقالة قاعدة المعارف التالية:

4043305 وصف مجموعة التحديثات 4 ل Microsoft System Center 2016

مكون	2016
مدير العمليات	مجموعة التحديثات 4 ل System Center 2016 مدير العمليات
مدير الخدمة	مجموعة التحديثات 4 ل System Center 2016 إدارة الخدمات
منسق	مجموعة التحديثات 4 ل System Center 2016 Orchestrator
إدارة حماية البيانات	مجموعة التحديثات 4 ل System Center 2016 Data Protection Manager

ملاحظه تأكد من توسيع محتويات الملف وتثبيت ملف MSP على الدور المقابل.

شهادات SHA1 وSHA2

تنشئ مكونات System Center الآن كلا من شهادات SHA1 وSHA2 الموقعة ذاتيا. هذا مطلوب لتمكين TLS 1.2. إذا تم استخدام الشهادات الموقعة من CA، فتأكد من أن الشهادات إما SHA1 أو SHA2.

تعيين Windows لاستخدام TLS 1.2 فقط

استخدم إحدى الطرق التالية لتكوين Windows لاستخدام بروتوكول TLS 1.2 فقط.

الطريقة 1: تعديل السجل يدويا

مهم
اتبع الخطوات المذكورة في هذا المقطع بشكل دقيق. قد تحدث مشاكل خطيرة إذا قمت بتعديل السجل بشكل غير صحيح. قبل تعديله، قم بنسخ السجل احتياطيا للاستعادة في حالة حدوث مشاكل.

استخدم الخطوات التالية لتمكين/تعطيل جميع بروتوكولات SCHANNEL على مستوى النظام. نوصي بتمكين بروتوكول TLS 1.2 للاتصالات الواردة؛ وتمكين بروتوكولات TLS 1.2 وTLS 1.1 وTLS 1.0 لجميع الاتصالات الصادرة.

ملاحظه لا يؤثر إجراء تغييرات السجل هذه على استخدام بروتوكولات Kerberos أو NTLM.

ابدأ تشغيل محرر السجل. للقيام بذلك، انقر بزر الماوس الأيمن فوق بدء، واكتب regedit في المربع تشغيل ، ثم انقر فوق موافق.
حدد موقع مفتاح التسجيل الفرعي التالي:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols
انقر بزر الماوس الأيمن فوق مفتاح البروتوكول ، وأشر إلى جديد، ثم انقر فوق مفتاح.
اكتب SSL 3، ثم اضغط على مفتاح الإدخال Enter.
كرر الخطوات 3 و4 لإنشاء مفاتيح ل TLS 0 وTLS 1.1 وTLS 1.2. تشبه هذه المفاتيح الدلائل.
إنشاء مفتاح عميل ومفتاح خادم ضمن كل من مفاتيح SSL 3وTLS 1.0وTLS 1.1وTLS 1.2 .
لتمكين بروتوكول، قم بإنشاء قيمة DWORD ضمن كل مفتاح عميل وخادم كما يلي:
DisabledByDefault [Value = 0]
تم تمكين [القيمة = 1]
لتعطيل بروتوكول، قم بتغيير قيمة DWORD ضمن كل مفتاح عميل وخادم كما يلي:
DisabledByDefault [Value = 1]
تم تمكين [القيمة = 0]
في القائمة ملف ، انقر فوق إنهاء.

الطريقة 2: تعديل السجل تلقائيا

قم بتشغيل البرنامج النصي Windows PowerShell التالي في وضع المسؤول لتكوين Windows تلقائيا لاستخدام بروتوكول TLS 1.2 فقط:


$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

تعيين مركز النظام لاستخدام TLS 1.2 فقط

قم بتعيين System Center لاستخدام بروتوكول TLS 1.2 فقط. للقيام بذلك، تأكد أولا من استيفاء جميع المتطلبات الأساسية. بعد ذلك، قم بإجراء الإعدادات التالية على مكونات System Center وجميع الخوادم الأخرى التي تم تثبيت العوامل عليها.

استخدم إحدى الطرق التالية.

الطريقة 1: تعديل السجل يدويا

لتمكين التثبيت لدعم بروتوكول TLS 1.2، اتبع الخطوات التالية:

ابدأ تشغيل محرر السجل. للقيام بذلك، انقر بزر الماوس الأيمن فوق بدء، واكتب regedit في المربع تشغيل ، ثم انقر فوق موافق.
حدد موقع مفتاح التسجيل الفرعي التالي:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319
إنشاء قيمة DWORD التالية ضمن هذا المفتاح:
SchUseStrongCrypto [Value = 1]
حدد موقع مفتاح التسجيل الفرعي التالي:
HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319
إنشاء قيمة DWORD التالية ضمن هذا المفتاح:
SchUseStrongCrypto [Value = 1]
أعد تشغيل النظام.

الطريقة 2: تعديل السجل تلقائيا

قم بتشغيل البرنامج النصي Windows PowerShell التالي في وضع المسؤول لتكوين مركز النظام تلقائيا لاستخدام بروتوكول TLS 1.2 فقط:


# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

إعدادات إضافية

مدير العمليات

حزم الإدارة

استيراد حزم الإدارة ل System Center 2016 مدير العمليات. توجد هذه في الدليل التالي بعد تثبيت تحديث الخادم:

\Program Files\Microsoft System Center 2016\مدير العمليات\Server\Management Packs for Update Rollups

إعدادات ACS

بالنسبة لخدمات جمع التدقيق (ACS)، يجب إجراء تغييرات إضافية في السجل. تستخدم ACS DSN لإجراء اتصالات بقاعدة البيانات. يجب تحديث إعدادات DSN لجعلها تعمل ل TLS 1.2.

حدد موقع المفتاح الفرعي التالي ل ODBC في السجل.

ملاحظه الاسم الافتراضي ل DSN هو OpsMgrAC.
في المفتاح الفرعي لمصادر بيانات ODBC ، حدد إدخال اسم DSN، OpsMgrAC. يحتوي هذا على اسم برنامج تشغيل ODBC لاستخدامه لاتصال قاعدة البيانات. إذا كان لديك ODBC 11.0 مثبتا، فقم بتغيير هذا الاسم إلى برنامج تشغيل ODBC 11 SQL Server. أو، إذا كان لديك ODBC 13.0 مثبتا، فقم بتغيير هذا الاسم إلى برنامج تشغيل ODBC 13 SQL Server.
في المفتاح الفرعي OpsMgrAC ، قم بتحديث إدخال برنامج التشغيل لإصدار ODBS المثبت.
- إذا تم تثبيت ODBC 11.0، فقم بتغيير إدخال برنامج التشغيل إلى ٪WINDIR٪\system32\msodbcsql11.dll.
- إذا تم تثبيت ODBC 13.0، فقم بتغيير إدخال برنامج التشغيل إلى ٪WINDIR٪\system32\msodbcsql13.dll.
- بدلا من ذلك، قم بإنشاء ملف .reg التالي وحفظه في المفكرة أو محرر نص آخر. لتشغيل ملف .reg المحفوظ، انقر نقرا مزدوجا فوق الملف.
  
  بالنسبة إلى ODBC 11.0، قم بإنشاء ملف 11.0.REG ODBC التالي:
  [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\مصادر بيانات ODBC] "OpsMgrAC"="ODBC Driver 11 for SQL Server" [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC] [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC] "Driver"="٪WINDIR٪\\system32\\msodbcsql11.dll"
  
  بالنسبة إلى ODBC 13.0، قم بإنشاء ملف 13.0.REG ODBC التالي:
  [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\مصادر بيانات ODBC] "OpsMgrAC"="ODBC Driver 13 for SQL Server" [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC] [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC] "Driver"="٪WINDIR٪\\system32\\msodbcsql13.dll"

تصلب TLS في Linux

اتبع الإرشادات الموجودة على موقع الويب المناسب لتكوين TLS 1.2 على بيئة Red Hat أو Apache .

إدارة حماية البيانات

لتمكين Data Protection Manager من العمل مع TLS 1.2 للنسخ الاحتياطي إلى السحابة، قم بتمكين هذه الخطوات على خادم Data Protection Manager.

منسق

بعد تثبيت تحديثات Orchestrator، أعد تكوين قاعدة بيانات Orchestrator باستخدام قاعدة البيانات الموجودة وفقا لهذه الإرشادات.

إخلاء مسؤولية جهة اتصال تابعة لجهة خارجية

توفر Microsoft معلومات جهة اتصال خارجية لمساعدتك في العثور على معلومات إضافية حول هذا الموضوع. قد تتغير معلومات الاتصال هذه بدون إشعار. لا تضمن Microsoft دقة معلومات جهة الاتصال التابعة لجهة خارجية.