Průvodce nasazením podpory protokolu TLS 1.2 pro System Center 2016

Shrnutí

Tento článek popisuje, jak povolit protokol TLS (Transport Layer Security) verze 1.2 v prostředí Microsoft System Center 2016.

Další informace

Pokud chcete ve svém prostředí System Center povolit protokol TLS verze 1.2, postupujte takto:

1. Nainstalujte aktualizace z verze.
   
   Poznámky

   • Služby Service Management Automation (SMA) a Service Provider Foundation (SPF) musí být upgradovány na nejnovější kumulativní aktualizaci, protože ur4 nemá žádné aktualizace těchto součástí.

   • V případě služby Service Management Automation (SMA) upgradujte na kumulativní aktualizaci 1 a aktualizujte sadu SMA Management Pack (MP) z této webové stránky služby Stažení softwaru.

   • V případě služby Service Provider Foundation (SPF) upgradujte na kumulativní aktualizaci 2.

   • System Center Virtual Machine Manager (SCVMM) by se měl upgradovat na alespoň kumulativní aktualizaci 3.

2. Ujistěte se, že je nastavení stejně funkční jako před instalací aktualizací. Zkontrolujte například, jestli můžete spustit konzolu.

3. Změňte nastavení konfigurace tak, aby povolte protokol TLS 1.2.

4. Ujistěte se, že jsou spuštěné všechny požadované SQL Server služby.

Nastavení systému Windows tak, aby používal pouze protokol TLS 1.2

Pomocí jedné z následujících metod nakonfigurujte Windows tak, aby používal pouze protokol TLS 1.2.

Metoda 1: Ruční úprava registru

Důležité
Postupujte podle pokynů v této části pečlivě. V případě nesprávné úpravy registru by mohly nastat závažné problémy. Než ho upravíte, zálohujte registr pro případ, že by došlo k problémům.

Pomocí následujících kroků povolte nebo zakažte všechny protokoly SCHANNEL na úrovni celého systému. Doporučujeme povolit protokol TLS 1.2 pro příchozí komunikaci. a povolte protokoly TLS 1.2, TLS 1.1 a TLS 1.0 pro veškerou odchozí komunikaci.

Poznámka Provedení těchto změn registru nemá vliv na použití protokolů Kerberos nebo NTLM.

1. Spusťte Editor registru. Provedete to tak, že kliknete pravým tlačítkem na Start, do pole Spustit zadáte příkaz regedit a potom kliknete na tlačítko OK.

2. Vyhledejte následující podklíč registru:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

3. Klepněte pravým tlačítkem myši na klíč protokolu , přejděte na příkaz Nový a klepněte na tlačítko Klíč.
   
   

4. Zadejte SSL 3 a stiskněte Enter.

5. Opakováním kroků 3 a 4 vytvořte klíče pro tls 0, TLS 1.1 a TLS 1.2. Tyto klíče připomínají adresáře.

6. Vytvořte klíč klienta a klíč serveru pod každým klíčem SSL 3, TLS 1.0, TLS 1.1 a TLS 1.2 .

7. Pokud chcete povolit protokol, vytvořte hodnotu DWORD pod každým klíčem klienta a serveru následujícím způsobem:

   DisabledByDefault [Hodnota = 0]
   Povoleno [Hodnota = 1]
   Pokud chcete zakázat protokol, změňte hodnotu DWORD pod každým klíčem klienta a serveru následujícím způsobem:

   DisabledByDefault [Hodnota = 1]
   Povoleno [Hodnota = 0]

8. V nabídce Soubor klepněte na tlačítko Konec.

Metoda 2: Automaticky upravit registr

Spuštěním následujícího skriptu Windows PowerShell v režimu správce automaticky nakonfigurujte Systém Windows tak, aby používal pouze protokol TLS 1.2:

$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

Nastavení system center tak, aby používal pouze protokol TLS 1.2

Nastavte System Center tak, aby používal pouze protokol TLS 1.2. Nejdřív se ujistěte, že jsou splněné všechny požadavky. Potom proveďte následující nastavení pro součásti produktu System Center a všechny ostatní servery, na kterých jsou agenti nainstalováni.

Použijte jednu z následujících metod.

Metoda 1: Ruční úprava registru

Důležité
Postupujte podle pokynů v této části pečlivě. V případě nesprávné úpravy registru by mohly nastat závažné problémy. Než ho upravíte, zálohujte registr pro případ, že by došlo k problémům.

Chcete-li povolit instalaci pro podporu protokolu TLS 1.2, postupujte takto:

1. Spusťte Editor registru. Provedete to tak, že kliknete pravým tlačítkem na Start, do pole Spustit zadáte příkaz regedit a potom kliknete na tlačítko OK.

2. Vyhledejte následující podklíč registru:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319

3. V tomto klíči vytvořte následující hodnotu DWORD:

   SchUseStrongCrypto [Hodnota = 1]

4. Vyhledejte následující podklíč registru:

   HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319

5. V tomto klíči vytvořte následující hodnotu DWORD:

   SchUseStrongCrypto [Hodnota = 1]

6. Restartujte systém.

Metoda 2: Automaticky upravit registr

Spuštěním následujícího skriptu Windows PowerShell v režimu správce automaticky nakonfigurujte system center tak, aby používal pouze protokol TLS 1.2:

# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

Další nastavení

Právní omezení pro kontaktování třetích stran

Společnost Microsoft poskytuje kontaktní informace třetích stran, které vám pomůžou najít další informace o tomto tématu. Tyto informace se mohou změnit bez předchozího upozornění. Společnost Microsoft nezaručuje přesnost kontaktních údajů třetích stran.