Ръководство за разполагане на поддръжка на протокол TLS 1.2 за System Center 2012 R2

Обобщена информация

Тази статия описва как да разрешите протокол за защита на транспортния слой (TLS), версия 1.2, в среда на Microsoft System Center 2012 R2.

Повече информация

За да разрешите TLS протокол версия 1.2 във вашата среда на System Center, изпълнете следните стъпки:

1. Инсталирайте актуализации от изданието.
   
   Бележки

   • Инсталирайте най-новия сборен пакет за актуализация за всички компоненти на System Center, преди да приложите сборен пакет за актуализация 14.

     • За диспечера за защита на данни и диспечера на виртуална машина инсталирайте Сборен пакет за актуализация 13.

     • За автоматизация на управлението на услугите инсталирайте сборен пакет за актуализация 7.

     • За System Center Orchestrator инсталирайте сборен пакет за актуализация 8.

     • За Service Provider Foundation инсталирайте сборен пакет за актуализация 12.

     • За service Manager инсталирайте сборен пакет за актуализация 9.

2. Уверете се, че настройката работи както преди да приложите актуализациите. Например проверете дали можете да стартирате конзолата.

3. Променете настройките на конфигурацията , за да разрешите TLS 1.2.

4. Уверете се, че се изпълняват всички необходими SQL Server услуги.

Настройване на Windows да използва само TLS 1.2

Използвайте един от следните методи, за да конфигурирате Windows да използва само протокол TLS 1.2.

Метод 1: Ръчно модифициране на системния регистър

Използвайте следните стъпки, за да разрешите/забраните всички протоколи SCHANNEL за цялата система. Препоръчваме ви да разрешите протокола TLS 1.2 за входящи комуникации и да разрешите протоколите TLS 1.2, TLS 1.1 и TLS 1.0 за всички изходящи комуникации.

Забележка Извършването на тези промени в системния регистър не засяга използването на Kerberos или NTLM протоколи.

1. Стартирайте редактора на системния регистър. За да направите това, щракнете с десния бутон върху Старт, въведете regedit в полето Изпълнение и след това изберете OK.

2. Намерете следния подключ от системния регистър:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

3. Щракнете с десния бутон върху протокола , посочете Създай и след това щракнете върху Ключ.
   
   

4. Въведете SSL 3 и след това натиснете Enter.

5. Повторете стъпки 3 и 4, за да създадете ключове за TLS 0, TLS 1.1 и TLS 1.2. Тези клавиши приличат на директории.

6. Създайте клиентски ключ и ключ за сървър под всеки от ключовете SSL 3, TLS 1.0, TLS 1.1 и TLS 1.2 .

7. За да разрешите протокол, създайте DWORD стойност под всеки клиент и сървър ключ както следва:

   DisabledByDefault [Стойност = 0]
   Разрешено [Стойност = 1]
   За да забраните протокол, променете DWORD стойността под всеки клиент и сървър ключ както следва:

   DisabledByDefault [Стойност = 1]
   Разрешено [Стойност = 0]

8. В менюто Файл изберете Изход.

Метод 2: Автоматична промяна на системния регистър

Изпълнете следния скрипт на Windows PowerShell в режим на администратор, за да конфигурирате автоматично Windows да използва само протокола TLS 1.2:

$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

Задаване на System Center да използва само TLS 1.2

Настройте System Center да използва само протокол TLS 1.2. За да направите това, първо се уверете, че всички предварителни условия са изпълнени. След това конфигурирайте следните настройки на компонентите на System Center и всички други сървъри, на които се инсталират агенти.

Използвайте един от следните методи.

Метод 1: Ръчно модифициране на системния регистър

За да разрешите инсталирането да поддържа протокол TLS 1.2, изпълнете следните стъпки:

1. Стартирайте редактора на системния регистър. За да направите това, щракнете с десния бутон върху Старт, въведете regedit в полето Изпълнение и след това изберете OK.

2. Намерете следния подключ от системния регистър:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319

3. Създайте следната DWORD стойност под този ключ:

   SchUseStrongCrypto [Стойност = 1]

4. Намерете следния подключ от системния регистър:

   HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319

5. Създайте следната DWORD стойност под този ключ:

   SchUseStrongCrypto [Стойност = 1]

6. Рестартирайте системата.

Метод 2: Автоматична промяна на системния регистър

Изпълнете следния скрипт на Windows PowerShell в режим на администратор, за да конфигурирате автоматично System Center да използва само протокола TLS 1.2:

# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

"Допълнителни настройки"

Правна забележка за връзка с трети лица

Microsoft предоставя информация за връзка на трети лица, за да ви помогне да намерите допълнителна информация по тази тема. Тази информация за връзка може да се променя без предизвестие. Microsoft не гарантира точността на информацията за връзка на трети лица.