TLS 1.2-Protokollunterstützung – Bereitstellungshandbuch für System Center 2012 R2

Zusammenfassung

In diesem Artikel wird beschrieben, wie Transport Layer Security (TLS)-Protokoll Version 1.2 in einer Microsoft System Center 2012 R2-Umgebung aktiviert wird.

Weitere Informationen

Führen Sie die folgenden Schritte aus, um TLS-Protokoll Version 1.2 in Ihrer System Center-Umgebung zu aktivieren:

1. Installieren Sie Updates aus der Version.
   
   Hinweise

   • Installieren Sie das neueste Updaterollup für alle System Center-Komponenten, bevor Sie updaterollup 14 anwenden.

     • Installieren Sie für Data Protection Manager und Virtual Machine Manager das Updaterollup 13.

     • Installieren Sie für die Dienstverwaltungsautomatisierung das Updaterollup 7.

     • Installieren Sie für System Center Orchestrator das Updaterollup 8.

     • Installieren Sie für Service Provider Foundation das Updaterollup 12.

     • Installieren Sie für Service Manager das Updaterollup 9.

2. Stellen Sie sicher, dass das Setup so funktionsfähig ist, wie es war, bevor Sie die Updates angewendet haben. Überprüfen Sie beispielsweise, ob Sie die Konsole starten können.

3. Ändern Sie die Konfigurationseinstellungen , um TLS 1.2 zu aktivieren.

4. Stellen Sie sicher, dass alle erforderlichen SQL Server Dienste ausgeführt werden.

Festlegen, dass Windows nur TLS 1.2 verwendet

Verwenden Sie eine der folgenden Methoden, um Windows so zu konfigurieren, dass nur das TLS 1.2-Protokoll verwendet wird.

Methode 1: Manuelles Ändern der Registrierung

Führen Sie die folgenden Schritte aus, um alle SCHANNEL-Protokolle systemweit zu aktivieren/deaktivieren. Es wird empfohlen, das TLS 1.2-Protokoll für die eingehende Kommunikation zu aktivieren und die Protokolle TLS 1.2, TLS 1.1 und TLS 1.0 für alle ausgehenden Kommunikationen zu aktivieren.

Hinweis Das Vornehmen dieser Registrierungsänderungen wirkt sich nicht auf die Verwendung von Kerberos- oder NTLM-Protokollen aus.

1. Starten Sie den Registrierungs-Editor. Klicken Sie dazu mit der rechten Maustaste auf "Start", geben Sie " regedit" in das Feld "Ausführen " ein, und wählen Sie dann "OK" aus.

2. Suchen Sie den folgenden Registrierungsunterschlüssel:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

3. Klicken Sie mit der rechten Maustaste auf den Protokollschlüssel , zeigen Sie auf "Neu", und klicken Sie dann auf "Taste".
   
   

4. Geben Sie SSL 3 ein, und drücken Sie dann die EINGABETASTE.

5. Wiederholen Sie die Schritte 3 und 4, um Schlüssel für TLS 0, TLS 1.1 und TLS 1.2 zu erstellen. Diese Schlüssel ähneln Verzeichnissen.

6. Erstellen Sie einen Clientschlüssel und einen Serverschlüssel unter jedem der SSL 3-, TLS 1.0-, TLS 1.1- und TLS 1.2-Schlüssel .

7. Um ein Protokoll zu aktivieren, erstellen Sie den DWORD-Wert unter jedem Client- und Serverschlüssel wie folgt:

   DisabledByDefault [Wert = 0]
   Aktiviert [Wert = 1]
   Um ein Protokoll zu deaktivieren, ändern Sie den DWORD-Wert unter jedem Client- und Serverschlüssel wie folgt:

   DisabledByDefault [Wert = 1]
   Aktiviert [Wert = 0]

8. Wählen Sie im Menü "Datei " die Option "Beenden" aus.

Methode 2: Automatisches Ändern der Registrierung

Führen Sie das folgende Windows PowerShell Skript im Administratormodus aus, um Windows automatisch so zu konfigurieren, dass nur das TLS 1.2-Protokoll verwendet wird:

$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

System Center so festlegen, dass nur TLS 1.2 verwendet wird

Legen Sie System Center so fest, dass nur das TLS 1.2-Protokoll verwendet wird. Stellen Sie hierzu zunächst sicher, dass alle Voraussetzungen erfüllt sind. Konfigurieren Sie dann die folgenden Einstellungen für System Center-Komponenten und alle anderen Server, auf denen Agents installiert sind.

Verwenden Sie eine der folgenden Methoden.

Methode 1: Manuelles Ändern der Registrierung

Führen Sie die folgenden Schritte aus, um die Installation zur Unterstützung des TLS 1.2-Protokolls zu aktivieren:

1. Starten Sie den Registrierungs-Editor. Klicken Sie dazu mit der rechten Maustaste auf "Start", geben Sie "regedit" in das Feld "Ausführen" ein, und wählen Sie dann "OK" aus.

2. Suchen Sie den folgenden Registrierungsunterschlüssel:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319

3. Erstellen Sie den folgenden DWORD-Wert unter diesem Schlüssel:

   SchUseStrongCrypto [Wert = 1]

4. Suchen Sie den folgenden Registrierungsunterschlüssel:

   HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319

5. Erstellen Sie den folgenden DWORD-Wert unter diesem Schlüssel:

   SchUseStrongCrypto [Wert = 1]

6. Starten Sie das System neu.

Methode 2: Automatisches Ändern der Registrierung

Führen Sie das folgende Windows PowerShell Skript im Administratormodus aus, um System Center automatisch so zu konfigurieren, dass nur das TLS 1.2-Protokoll verwendet wird:

# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

Zusätzliche Einstellungen

Haftungsausschluss für Kontaktinformationen von Drittanbietern

Die Kontaktinformationen zu den in diesem Artikel erwähnten Drittanbietern sollen Ihnen helfen, zusätzliche Informationen zu diesem Thema zu finden. Diese Kontaktinformationen können ohne vorherige Ankündigung geändert werden. Sie werden von Microsoft ohne jede Gewähr weitergegeben.