Υποστήριξη πρωτοκόλλου TLS 1.2 Οδηγός ανάπτυξης για το System Center 2016

Ισχύει για

.NET Framework 4.6.2 System Center 2016 Data Protection Manager System Center 2016 Operations Manager System Center 2016 Virtual Machine Manager System Center Service Management Automation, version 1807 System Center Service Provider Foundation, version 1807

Σύνοψη

Αυτό το άρθρο περιγράφει τον τρόπο ενεργοποίησης του πρωτοκόλλου Transport Layer Security (TLS) έκδοση 1.2 σε περιβάλλον Microsoft System Center 2016.

Περισσότερες πληροφορίες

Για να ενεργοποιήσετε το πρωτόκολλο TLS έκδοση 1.2 στο περιβάλλον του System Center, ακολουθήστε τα εξής βήματα:

Εγκαταστήστε ενημερώσεις από την έκδοση.

Σημειώσεις
- Ο Αυτοματισμός διαχείρισης υπηρεσιών (SMA) και η Υποδομή παροχής υπηρεσιών (SPF) πρέπει να αναβαθμιστούν στην πιο πρόσφατη συνάθροιση ενημερώσεων, επειδή το UR4 δεν διαθέτει ενημερώσεις για αυτά τα στοιχεία.
- Για τον αυτοματισμό διαχείρισης υπηρεσιών (SMA), κάντε αναβάθμιση στη συλλογή ενημερωμένων εκδόσεων 1 και, επίσης, ενημερώστε το πακέτο διαχείρισης SMA (MP) από αυτήν την ιστοσελίδα του Κέντρου λήψης αρχείων της Microsoft.
- Για την υποδομή υπηρεσίας παροχής (SPF), κάντε αναβάθμιση στη Συνάθροιση ενημερώσεων 2.
- Το System Center Virtual Machine Manager (SCVMM) θα πρέπει να αναβαθμιστεί τουλάχιστον στη Συνάθροιση ενημερώσεων 3.
Βεβαιωθείτε ότι το πρόγραμμα εγκατάστασης είναι τόσο λειτουργικό όσο ήταν πριν από την εφαρμογή των ενημερώσεων. Για παράδειγμα, ελέγξτε αν μπορείτε να εκκινήσετε την κονσόλα.
Αλλάξτε τις ρυθμίσεις παραμέτρων για να ενεργοποιήσετε το TLS 1.2.
Βεβαιωθείτε ότι εκτελούνται όλες οι απαιτούμενες υπηρεσίες SQL Server.

Εγκαταστήστε ενημερώσεις

Ενημέρωση δραστηριότητας	SCOM¹	SCVMM²	SCDPM³	ΕΑΚ⁴	ΣΜΔ⁵	SPF⁶	SM⁷
Βεβαιωθείτε ότι όλες οι τρέχουσες ενημερώσεις ασφαλείας έχουν εγκατασταθεί για το Windows Server 2012 R2 ή το Windows Server 2016	Ναι	Ναι	Ναι	Ναι	Ναι	Ναι	Ναι
Βεβαιωθείτε ότι το .NET Framework 4.6 είναι εγκατεστημένο σε όλα τα στοιχεία του System Center	Ναι	Ναι	Ναι	Ναι	Ναι	Ναι	Ναι
Εγκαταστήστε την απαιτούμενη ενημέρωση SQL Server που υποστηρίζει TLS 1.2	Ναι	Ναι	Ναι	Ναι	Ναι	Ναι	Ναι
Εγκαταστήστε τις απαιτούμενες ενημερώσεις του System Center 2016	Ναι	Όχι	Ναι	Ναι	Όχι	Όχι	Ναι
Βεβαιωθείτε ότι τα πιστοποιητικά με υπογραφή CA είναι SHA1 ή SHA2	Ναι	Ναι	Ναι	Ναι	Ναι	Ναι	Ναι

¹ System Center Operations Manager (SCOM)
² System Center Virtual Machine Manager (SCVMM)
³ System Center Data Protection Manager (SCDPM)
⁴ System Center Orchestrator (SCO)
⁵ Αυτοματοποίηση διαχείρισης υπηρεσιών (SMA)
⁶ Υποδομή παροχής υπηρεσιών (SPF)
⁷ Διευθυντής υπηρεσίας (SM)

Αλλαγή ρυθμίσεων παραμέτρων

Ενημέρωση ρύθμισης παραμέτρων	SCOM¹	SCVMM²	SCDPM³	ΕΑΚ⁴	ΣΜΔ⁵	SPF⁶	SM⁷
Ρύθμιση στα Windows για χρήση μόνο του πρωτοκόλλου TLS 1.2	Ναι	Ναι	Ναι	Ναι	Ναι	Ναι	Ναι
Ρύθμιση στο System Center για χρήση μόνο του πρωτοκόλλου TLS 1.2	Ναι	Ναι	Ναι	Ναι	Ναι	Ναι	Ναι
Πρόσθετες ρυθμίσεις	Ναι	Όχι	Ναι	Ναι	Όχι	Όχι	Όχι

.NET Framework

Βεβαιωθείτε ότι το .NET Framework 4.6 είναι εγκατεστημένο σε όλα τα στοιχεία του System Center. Για να το κάνετε αυτό, ακολουθήστε αυτές τις οδηγίες.

Υποστήριξη TLS 1.2

Εγκαταστήστε την απαιτούμενη ενημέρωση SQL Server που υποστηρίζει TLS 1.2. Για να το κάνετε αυτό, ανατρέξτε στο ακόλουθο άρθρο της Γνωσιακής βάσης της Microsoft:

Υποστήριξη 3135244 TLS 1.2 για το Microsoft SQL Server

Απαιτούμενες ενημερώσεις του System Center 2016

SQL Server 2012 Native client 11.0 θα πρέπει να εγκατασταθεί σε όλα τα ακόλουθα στοιχεία του System Center.

Συστατικό	Ρόλος	Απαιτείται πρόγραμμα οδήγησης SQL
Operations Manager	Διακομιστής διαχείρισης και κονσόλες διαδικτύου	SQL Server 2012 Native client 11.0 ή Microsoft OLE DB Driver 18 για SQL Server (συνιστάται). Σημείωση Το Microsoft OLE DB Driver 18 για SQL Server υποστηρίζεται με το Operations Manager 2016 UR9 και νεότερες εκδόσεις.
Διαχείριση εικονικών μηχανών	(Δεν απαιτείται)	(Δεν απαιτείται)
Ενορχηστρωτής	Διακομιστής διαχείρισης	SQL Server 2012 Native client 11.0 ή Microsoft OLE DB Driver 18 για SQL Server (συνιστάται). Σημείωση Το Microsoft OLE DB Driver 18 για SQL Server υποστηρίζεται με το Orchestrator 2016 UR8 και νεότερες εκδόσεις.
Διαχείριση προστασίας δεδομένων	Διακομιστής διαχείρισης	SQL Server 2012 Native client 11.0
Διαχείριση υπηρεσιών	Διακομιστής διαχείρισης	SQL Server 2012 Native client 11.0 ή Microsoft OLE DB Driver 18 για SQL Server (συνιστάται). Σημείωση Το Microsoft OLE DB Driver 18 για SQL Server υποστηρίζεται με το διαχείριση υπηρεσίας 2016 UR9 και νεότερες εκδόσεις.

Για να κάνετε λήψη και εγκατάσταση του Microsoft SQL Server 2012 Native Client 11.0, ανατρέξτε σε αυτήν την ιστοσελίδα του Κέντρου λήψης αρχείων της Microsoft.

Για να κάνετε λήψη και εγκατάσταση του προγράμματος οδήγησης Microsoft OLE DB 18, ανατρέξτε σε αυτήν την ιστοσελίδα του Κέντρου λήψης αρχείων της Microsoft.

Για τις λειτουργίες του System Center Operations Manager και διαχείριση υπηρεσίας, πρέπει να έχετε εγκατεστημένο το ODBC 11.0 ή το ODBC 13.0 σε όλους τους διακομιστές διαχείρισης.

Εγκαταστήστε τις απαιτούμενες ενημερώσεις του System Center 2016 από το ακόλουθο άρθρο της Γνωσιακής βάσης:

4043305 Περιγραφή της Συλλογής ενημερωμένων εκδόσεων 4 για το Microsoft System Center 2016

Συστατικό	2016
Operations Manager	Συνάθροιση ενημερώσεων 4 για το System Center 2016 Operations Manager
Διαχείριση υπηρεσιών	Συνάθροιση ενημερώσεων 4 για το System Center 2016 διαχείριση υπηρεσίας
Ενορχηστρωτής	Συνάθροιση ενημερώσεων 4 για το System Center 2016 Orchestrator
Διαχείριση προστασίας δεδομένων	Συνάθροιση ενημερώσεων 4 για το System Center 2016 Data Protection Manager

Σημείωση Φροντίστε να αναπτύξετε τα περιεχόμενα του αρχείου και να εγκαταστήσετε το αρχείο MSP στον αντίστοιχο ρόλο.

Πιστοποιητικά SHA1 και SHA2

Τα στοιχεία του System Center δημιουργούν πλέον αυτο-υπογεγραμμένα πιστοποιητικά SHA1 και SHA2. Αυτό απαιτείται για την ενεργοποίηση του TLS 1.2. Εάν χρησιμοποιούνται πιστοποιητικά με υπογραφή CA, βεβαιωθείτε ότι τα πιστοποιητικά είναι είτε SHA1 είτε SHA2.

Ρύθμιση των Windows ώστε να χρησιμοποιούν μόνο TLS 1.2

Χρησιμοποιήστε μία από τις παρακάτω μεθόδους για να ρυθμίσετε τα Windows ώστε να χρησιμοποιούν μόνο το πρωτόκολλο TLS 1.2.

Μέθοδος 1: Μη αυτόματη τροποποίηση του μητρώου

Σημαντικό
Ακολουθήστε τα βήματα σε αυτή την ενότητα προσεκτικά. Εάν τροποποιήσετε εσφαλμένα το μητρώο, ενδέχεται να προκύψουν σοβαρά προβλήματα. Πριν το τροποποιήσετε, δημιουργήστε αντίγραφο ασφαλείας του μητρώου για επαναφορά , σε περίπτωση που προκύψουν προβλήματα.

Χρησιμοποιήστε τα παρακάτω βήματα για να ενεργοποιήσετε/απενεργοποιήσετε όλα τα πρωτόκολλα SCHANNEL σε όλο το σύστημα. Συνιστάται να ενεργοποιήσετε το πρωτόκολλο TLS 1.2 για τις εισερχόμενες επικοινωνίες. και ενεργοποιήστε τα πρωτόκολλα TLS 1.2, TLS 1.1 και TLS 1.0 για όλες τις εξερχόμενες επικοινωνίες.

Σημείωση Αυτές οι αλλαγές στο μητρώο δεν επηρεάζουν τη χρήση των πρωτοκόλλων Kerberos ή NTLM.

Εκκινήστε τον Επεξεργαστή Μητρώου. Για να το κάνετε αυτό, κάντε δεξιό κλικ στο κουμπί Έναρξη, πληκτρολογήστε regedit στο πλαίσιο εκτέλεση και, στη συνέχεια, κάντε κλικ στο κουμπί OK.
Εντοπίστε το ακόλουθο δευτερεύον κλειδί μητρώου:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols
Κάντε δεξιό κλικ στο κλειδί πρωτοκόλλου , τοποθετήστε το δείκτη του ποντικιού στην εντολή Δημιουργία (New) και, στη συνέχεια, κάντε κλικ στην εντολή Κλειδί (Key).
Πληκτρολογήστε SSL 3 και, στη συνέχεια, πατήστε Enter.
Επαναλάβετε τα βήματα 3 και 4 για να δημιουργήσετε κλειδιά για τα TLS 0, TLS 1.1 και TLS 1.2. Αυτά τα κλειδιά μοιάζουν με καταλόγους.
Δημιουργήστε ένα κλειδί υπολογιστή-πελάτη και ένα κλειδί διακομιστή κάτω από κάθε ένα από τα κλειδιά SSL 3, TLS 1.0, TLS 1.1 και TLS 1.2 .
Για να ενεργοποιήσετε ένα πρωτόκολλο, δημιουργήστε την τιμή DWORD κάτω από κάθε κλειδί υπολογιστή-πελάτη και διακομιστή ως εξής:
DisabledByDefault [Τιμή = 0]
Ενεργοποιημένο [Τιμή = 1]
Για να απενεργοποιήσετε ένα πρωτόκολλο, αλλάξτε την τιμή DWORD κάτω από κάθε κλειδί υπολογιστή-πελάτη και διακομιστή ως εξής:
DisabledByDefault [Τιμή = 1]
Ενεργοποιημένο [τιμή = 0]
Στο μενού Αρχείο (File ), κάντε κλικ στην εντολή Έξοδος (Exit).

Μέθοδος 2: Αυτόματη τροποποίηση του μητρώου

Εκτελέστε την ακόλουθη δέσμη ενεργειών Windows PowerShell σε κατάσταση λειτουργίας διαχειριστή για να ρυθμίσετε αυτόματα τα Windows ώστε να χρησιμοποιούν μόνο το πρωτόκολλο TLS 1.2:


$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

Ρύθμιση του System Center ώστε να χρησιμοποιεί μόνο το TLS 1.2

Ρυθμίστε το System Center ώστε να χρησιμοποιεί μόνο το πρωτόκολλο TLS 1.2. Για να το κάνετε αυτό, βεβαιωθείτε πρώτα ότι πληρούνται όλες οι προϋποθέσεις. Στη συνέχεια, κάντε τις ακόλουθες ρυθμίσεις στα στοιχεία του System Center και σε όλους τους άλλους διακομιστές στους οποίους είναι εγκατεστημένοι παράγοντες.

Χρησιμοποιήστε μία από τις παρακάτω μεθόδους.

Μέθοδος 1: Μη αυτόματη τροποποίηση του μητρώου

Για να ενεργοποιήσετε την εγκατάσταση ώστε να υποστηρίζει το πρωτόκολλο TLS 1.2, ακολουθήστε τα εξής βήματα:

Εκκινήστε τον Επεξεργαστή Μητρώου. Για να το κάνετε αυτό, κάντε δεξιό κλικ στο κουμπί Έναρξη, πληκτρολογήστε regedit στο πλαίσιο εκτέλεση και, στη συνέχεια, κάντε κλικ στο κουμπί OK.
Εντοπίστε το ακόλουθο δευτερεύον κλειδί μητρώου:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319
Δημιουργήστε την ακόλουθη τιμή DWORD σε αυτό το κλειδί:
SchUseStrongCrypto [Αξία = 1]
Εντοπίστε το ακόλουθο δευτερεύον κλειδί μητρώου:
HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319
Δημιουργήστε την ακόλουθη τιμή DWORD σε αυτό το κλειδί:
SchUseStrongCrypto [Αξία = 1]
Επανεκκινήστε το σύστημα.

Μέθοδος 2: Αυτόματη τροποποίηση του μητρώου

Εκτελέστε την ακόλουθη δέσμη ενεργειών Windows PowerShell σε κατάσταση λειτουργίας διαχειριστή για να ρυθμίσετε αυτόματα το System Center ώστε να χρησιμοποιεί μόνο το πρωτόκολλο TLS 1.2:


# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

Πρόσθετες ρυθμίσεις

Operations Manager

Πακέτα διαχείρισης

Εισαγάγετε τα πακέτα διαχείρισης για το System Center 2016 Operations Manager. Αυτά βρίσκονται στον ακόλουθο κατάλογο μετά την εγκατάσταση της ενημερωμένης έκδοσης διακομιστή:

\Program Files\Microsoft System Center 2016\Operations Manager\Server\Management Pack for update rollups

Ρυθμίσεις ACS

Για τις Υπηρεσίες Συλλογής Ελέγχου (ACS), πρέπει να κάνετε πρόσθετες αλλαγές στο μητρώο. Η ACS χρησιμοποιεί το DSN για τη δημιουργία συνδέσεων στη βάση δεδομένων. Πρέπει να ενημερώσετε τις ρυθμίσεις DSN για να είναι λειτουργικές για TLS 1.2.

Εντοπίστε το ακόλουθο δευτερεύον κλειδί μητρώου για το ODBC.

Σημείωση Το προεπιλεγμένο όνομα του DSN είναι OpsMgrAC.
Στο δευτερεύον κλειδί DSN Data Sources , επιλέξτε την καταχώρηση για το όνομα DSN, OpsMgrAC. Αυτό περιέχει το όνομα του προγράμματος οδήγησης ODBC που θα χρησιμοποιηθεί για τη σύνδεση βάσης δεδομένων. Εάν έχετε εγκατεστημένο το ODBC 11.0, αλλάξτε αυτό το όνομα σε Πρόγραμμα οδήγησης ODBC 11 για SQL Server. Εναλλακτικά, εάν έχετε εγκατεστημένο το ODBC 13.0, αλλάξτε αυτό το όνομα σε Πρόγραμμα οδήγησης ODBC 13 για SQL Server.
Στο δευτερεύον κλειδί OpsMgrAC , ενημερώστε την καταχώρηση προγράμματος οδήγησης για την έκδοση του ODBS που είναι εγκατεστημένη.
- Εάν είναι εγκατεστημένο το ODBC 11.0, αλλάξτε την καταχώρηση του προγράμματος οδήγησης σε %WINDIR%\system32\msodbcsql11.dll.
- Εάν είναι εγκατεστημένο το ODBC 13.0, αλλάξτε την καταχώρηση του προγράμματος οδήγησης σε %WINDIR%\system32\msodbcsql13.dll.
- Εναλλακτικά, δημιουργήστε και αποθηκεύστε το παρακάτω αρχείο .reg στο Σημειωματάριο ή σε άλλο πρόγραμμα επεξεργασίας κειμένου. Για να εκτελέσετε το αποθηκευμένο αρχείο .reg, κάντε διπλό κλικ στο αρχείο.
  
  Για το ODBC 11.0, δημιουργήστε το ακόλουθο αρχείο 11.0.reg ODBC:
  [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\Προελεύσεις δεδομένων ODBC] "OpsMgrAC"="Πρόγραμμα οδήγησης ODBC 11 για SQL Server" [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC] [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC] "Driver"="%WINDIR%\\system32\\msodbcsql11.dll"
  
  Για το ODBC 13.0, δημιουργήστε το ακόλουθο αρχείο 13.0.reg ODBC:
  [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\Προελεύσεις δεδομένων ODBC] "OpsMgrAC"="Πρόγραμμα οδήγησης ODBC 13 για SQL Server" [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC] [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC] "Πρόγραμμα οδήγησης"="%WINDIR%\\system32\\msodbcsql13.dll"

Σκλήρυνση TLS σε Linux

Ακολουθήστε τις οδηγίες στον κατάλληλο ιστότοπο για να διαμορφώσετε το TLS 1.2 στο περιβάλλον Red Hat ή Apache .

Διαχείριση προστασίας δεδομένων

Για να ενεργοποιήσετε τη Διαχείριση προστασίας δεδομένων ώστε να συνεργάζεται με το TLS 1.2 για να δημιουργήσετε αντίγραφα ασφαλείας στο cloud, ενεργοποιήστε αυτά τα βήματα στον διακομιστή της Διαχείρισης προστασίας δεδομένων.

Ενορχηστρωτής

Μετά την εγκατάσταση των ενημερωμένων εκδόσεων του Orchestrator, ρυθμίστε ξανά τη βάση δεδομένων του Orchestrator χρησιμοποιώντας την υπάρχουσα βάση δεδομένων σύμφωνα με αυτές τις οδηγίες.

Αποποίηση ευθυνών επικοινωνίας τρίτου

Η Microsoft παρέχει στοιχεία επικοινωνίας άλλων κατασκευαστών, για να σας βοηθήσει να βρείτε πρόσθετες πληροφορίες σχετικά με αυτό το θέμα. Αυτά τα στοιχεία επικοινωνίας μπορεί να αλλάξουν χωρίς προειδοποίηση. Η Microsoft δεν εγγυάται την ακρίβεια των πληροφοριών επικοινωνίας με άλλους κατασκευαστές.