TLS 1.2 Protocol Support Deployment Guide for System Center 2016

Oversigt

I denne artikel beskrives det, hvordan du aktiverer TLS-protokolversion 1.2 (Transport Layer Security) i et Microsoft System Center 2016-miljø.

Flere oplysninger

Hvis du vil aktivere TLS-protokolversion 1.2 i System Center-miljøet, skal du følge disse trin:

1. Installér opdateringer fra udgivelsen.
   
   Noter

   • SMA (Service Management Automation) og SPF (Service Provider Foundation) skal opgraderes til deres seneste opdateringspakke, fordi UR4 ikke har nogen opdateringer til disse komponenter.

   • For Service Management Automation (SMA) skal du opgradere til opdateringspakke 1 og også opdatere SMA Management Pack (MP) fra denne webside i Microsoft Download Center.

   • For SPF (Service Provider Foundation) skal du opgradere til opdateringspakke 2.

   • System Center Virtual Machine Manager (SCVMM) skal opgraderes til mindst opdateringspakke 3.

2. Sørg for, at konfigurationen er lige så funktionel, som den var, før du anvendte opdateringerne. Kontrollér f.eks., om du kan starte konsollen.

3. Skift konfigurationsindstillingerne for at aktivere TLS 1.2.

4. Sørg for, at alle nødvendige SQL Server tjenester kører.

Indstil Windows til kun at bruge TLS 1.2

Brug en af følgende metoder til at konfigurere Windows til kun at bruge TLS 1.2-protokollen.

Metode 1: Rediger registreringsdatabasen manuelt

Vigtigt
Følg omhyggeligt trinnene i dette afsnit. Der kan opstå alvorlige problemer, hvis registreringsdatabasen ikke redigeres korrekt. Før du redigerer den, skal du sikkerhedskopiere registreringsdatabasen for gendannelse, hvis der opstår problemer.

Brug følgende trin til at aktivere/deaktivere alle SCHANNEL-protokoller for hele systemet. Vi anbefaler, at du aktiverer TLS 1.2-protokollen for indgående kommunikation. og aktivér TLS 1.2-, TLS 1.1- og TLS 1.0-protokollerne for al udgående kommunikation.

Bemærk Disse ændringer i registreringsdatabasen påvirker ikke brugen af Kerberos- eller NTLM-protokoller.

1. Start registreringseditoren. Det gør du ved at højreklikke på Start, skrive regedit i feltet Kør og derefter klikke på OK.

2. Find følgende undernøgle i registreringsdatabasen:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

3. Højreklik på protokolnøglen , peg på Ny, og klik derefter på Tast.
   
   

4. Skriv SSL 3, og tryk derefter på Enter.

5. Gentag trin 3 og 4 for at oprette nøgler til TLS 0, TLS 1.1 og TLS 1.2. Disse taster ligner mapper.

6. Opret en klientnøgle og en Server-nøgle under hver af SSL 3-, TLS 1.0-, TLS 1.1- og TLS 1.2-tasterne .

7. Hvis du vil aktivere en protokol, skal du oprette DWORD-værdien under hver Klient- og Server-nøgle på følgende måde:

   DisabledByDefault [Value = 0]
   Enabled [Value = 1]
   Hvis du vil deaktivere en protokol, skal du ændre DWORD-værdien under hver klient- og servernøgle på følgende måde:

   DisabledByDefault [Value = 1]
   Enabled [Value = 0]

8. Klik på Afslut i menuen Filer.

Metode 2: Automatisk ændring af registreringsdatabasen

Kør følgende Windows PowerShell script i administratortilstand for automatisk at konfigurere Windows til kun at bruge TLS 1.2-protokollen:

$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

Indstil System Center til kun at bruge TLS 1.2

Indstil System Center til kun at bruge TLS 1.2-protokollen. For at gøre dette skal du først sørge for, at alle forudsætninger er opfyldt. Foretag derefter følgende indstillinger for System Center-komponenter og alle andre servere, som agenter er installeret på.

Brug en af følgende metoder.

Metode 1: Rediger registreringsdatabasen manuelt

Vigtigt
Følg omhyggeligt trinnene i dette afsnit. Der kan opstå alvorlige problemer, hvis registreringsdatabasen ikke redigeres korrekt. Før du redigerer den, skal du sikkerhedskopiere registreringsdatabasen for gendannelse, hvis der opstår problemer.

Følg disse trin for at aktivere installationen til at understøtte TLS 1.2-protokollen:

1. Start registreringseditoren. Det gør du ved at højreklikke på Start, skrive regedit i feltet Kør og derefter klikke på OK.

2. Find følgende undernøgle i registreringsdatabasen:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319

3. Opret følgende DWORD-værdi under denne nøgle:

   SchUseStrongCrypto [Værdi = 1]

4. Find følgende undernøgle i registreringsdatabasen:

   HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319

5. Opret følgende DWORD-værdi under denne nøgle:

   SchUseStrongCrypto [Værdi = 1]

6. Genstart systemet.

Metode 2: Automatisk ændring af registreringsdatabasen

Kør følgende Windows PowerShell script i administratortilstand for automatisk at konfigurere System Center til kun at bruge TLS 1.2-protokollen:

# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

Yderligere indstillinger

Ansvarsfraskrivelse for kontakter fra tredjepart

Microsoft leverer kontaktoplysninger fra tredjepart for at hjælpe dig med at finde flere oplysninger om dette emne. Disse kontaktoplysninger kan ændres uden varsel. Microsoft garanterer ikke for nøjagtigheden af tredjeparts kontaktoplysninger.