TLS 1.2 Protocol Support Deployment Guide for System Center 2012 R2

Oversigt

I denne artikel beskrives det, hvordan du aktiverer TLS-protokolversion 1.2 (Transport Layer Security) i et Microsoft System Center 2012 R2-miljø.

Flere oplysninger

Hvis du vil aktivere TLS-protokolversion 1.2 i System Center-miljøet, skal du følge disse trin:

1. Installér opdateringer fra udgivelsen.
   
   Noter

   • Installér den seneste opdateringspakke for alle System Center-komponenter, før du anvender opdateringspakke 14.

     • I Data Protection Manager og Virtual Machine Manager skal du installere opdateringspakke 13.

     • For Service Management Automation skal du installere opdateringspakke 7.

     • For System Center Orchestrator skal du installere opdateringspakke 8.

     • For Service Provider Foundation skal du installere opdateringspakke 12.

     • For Service Manager skal du installere opdateringspakke 9.

2. Sørg for, at konfigurationen er lige så funktionel, som den var, før du anvendte opdateringerne. Kontrollér f.eks., om du kan starte konsollen.

3. Skift konfigurationsindstillingerne for at aktivere TLS 1.2.

4. Sørg for, at alle nødvendige SQL Server tjenester kører.

Indstil Windows til kun at bruge TLS 1.2

Brug en af følgende metoder til at konfigurere Windows til kun at bruge TLS 1.2-protokollen.

Metode 1: Rediger registreringsdatabasen manuelt

Brug følgende trin til at aktivere/deaktivere alle SCHANNEL-protokoller for hele systemet. Vi anbefaler, at du aktiverer TLS 1.2-protokollen for indgående kommunikation og aktiverer protokollerne TLS 1.2, TLS 1.1 og TLS 1.0 for al udgående kommunikation.

Bemærk Disse ændringer i registreringsdatabasen påvirker ikke brugen af Kerberos- eller NTLM-protokoller.

1. Start registreringseditoren. Det gør du ved at højreklikke på Start, skrive regedit i feltet Kør og derefter vælge OK.

2. Find følgende undernøgle i registreringsdatabasen:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

3. Højreklik på protokolnøglen , peg på Ny, og klik derefter på Tast.
   
   

4. Skriv SSL 3, og tryk derefter på Enter.

5. Gentag trin 3 og 4 for at oprette nøgler til TLS 0, TLS 1.1 og TLS 1.2. Disse taster ligner mapper.

6. Opret en klientnøgle og en Server-nøgle under hver af SSL 3-, TLS 1.0-, TLS 1.1- og TLS 1.2-tasterne .

7. Hvis du vil aktivere en protokol, skal du oprette DWORD-værdien under hver Klient- og Server-nøgle på følgende måde:

   DisabledByDefault [Value = 0]
   Enabled [Value = 1]
   Hvis du vil deaktivere en protokol, skal du ændre DWORD-værdien under hver klient- og servernøgle på følgende måde:

   DisabledByDefault [Value = 1]
   Enabled [Value = 0]

8. Vælg Afslut i menuen Filer.

Metode 2: Automatisk ændring af registreringsdatabasen

Kør følgende Windows PowerShell script i administratortilstand for automatisk at konfigurere Windows til kun at bruge TLS 1.2-protokollen:

$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

Indstil System Center til kun at bruge TLS 1.2

Indstil System Center til kun at bruge TLS 1.2-protokollen. For at gøre dette skal du først sørge for, at alle forudsætninger er opfyldt. Konfigurer derefter følgende indstillinger for System Center-komponenter og alle andre servere, som agenter er installeret på.

Brug en af følgende metoder.

Metode 1: Rediger registreringsdatabasen manuelt

Følg disse trin for at aktivere installationen til at understøtte TLS 1.2-protokollen:

1. Start registreringseditoren. Det gør du ved at højreklikke på Start, skrive regedit i feltet Kør og derefter vælge OK.

2. Find følgende undernøgle i registreringsdatabasen:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319

3. Opret følgende DWORD-værdi under denne nøgle:

   SchUseStrongCrypto [Værdi = 1]

4. Find følgende undernøgle i registreringsdatabasen:

   HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319

5. Opret følgende DWORD-værdi under denne nøgle:

   SchUseStrongCrypto [Værdi = 1]

6. Genstart systemet.

Metode 2: Automatisk ændring af registreringsdatabasen

Kør følgende Windows PowerShell script i administratortilstand for automatisk at konfigurere System Center til kun at bruge TLS 1.2-protokollen:

# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

Yderligere indstillinger

Ansvarsfraskrivelse for kontakter fra tredjepart

Microsoft leverer kontaktoplysninger fra tredjepart for at hjælpe dig med at finde flere oplysninger om dette emne. Disse kontaktoplysninger kan ændres uden varsel. Microsoft garanterer ikke for nøjagtigheden af tredjeparts kontaktoplysninger.