Οδηγός ανάπτυξης υποστήριξης πρωτοκόλλου TLS 1.2 για το System Center 2016

Σύνοψη

Αυτό το άρθρο περιγράφει τον τρόπο ενεργοποίησης του πρωτοκόλλου ασφάλειας επιπέδου μεταφοράς (TLS) έκδοσης 1.2 σε περιβάλλον Microsoft System Center 2016.

Περισσότερες πληροφορίες

Για να ενεργοποιήσετε το πρωτόκολλο TLS έκδοση 1.2 στο περιβάλλον του System Center, ακολουθήστε τα εξής βήματα:

1. Εγκαταστήστε ενημερώσεις από την έκδοση.
   
   Σημειώσεις

   • Η Αυτοματοποίηση διαχείρισης υπηρεσιών (SMA) και το Service Provider Foundation (SPF) πρέπει να αναβαθμιστούν στην πιο πρόσφατη συνάθροιση ενημερώσεων, επειδή το UR4 δεν διαθέτει ενημερώσεις για αυτά τα στοιχεία.

   • Για αυτοματοποίηση διαχείρισης υπηρεσιών (SMA), κάντε αναβάθμιση σε Συνάθροιση ενημερώσεων 1 και ενημερώστε επίσης το πακέτο διαχείρισης SMA (MP) από αυτήν την ιστοσελίδα του Κέντρου λήψης αρχείων της Microsoft.

   • Για το Service Provider Foundation (SPF), κάντε αναβάθμιση σε Συνάθροιση ενημερώσεων 2.

   • System Center Virtual Machine Manager (SCVMM) θα πρέπει να αναβαθμιστεί σε τουλάχιστον ενημέρωση συνάθροισης 3.

2. Βεβαιωθείτε ότι το πρόγραμμα εγκατάστασης λειτουργεί όπως πριν από την εφαρμογή των ενημερώσεων. Για παράδειγμα, ελέγξτε εάν μπορείτε να εκκινήσετε την κονσόλα.

3. Αλλάξτε τις ρυθμίσεις παραμέτρων για να ενεργοποιήσετε το TLS 1.2.

4. Βεβαιωθείτε ότι εκτελούνται όλες οι απαιτούμενες υπηρεσίες SQL Server.

Ρύθμιση των Windows ώστε να χρησιμοποιούν μόνο TLS 1.2

Χρησιμοποιήστε μία από τις παρακάτω μεθόδους για να ρυθμίσετε τις παραμέτρους των Windows ώστε να χρησιμοποιούν μόνο το πρωτόκολλο TLS 1.2.

Μέθοδος 1: Μη αυτόματη τροποποίηση του μητρώου

Σημαντικό
Ακολουθήστε τα βήματα σε αυτή την ενότητα προσεκτικά. Ενδέχεται να προκύψουν σοβαρά προβλήματα, εάν τροποποιήσετε το μητρώο με εσφαλμένο τρόπο. Προτού το τροποποιήσετε, δημιουργήστε αντίγραφο ασφαλείας του μητρώου για επαναφορά, σε περίπτωση που παρουσιαστούν προβλήματα.

Ακολουθήστε τα παρακάτω βήματα για να ενεργοποιήσετε/απενεργοποιήσετε όλα τα πρωτόκολλα SCHANNEL σε όλο το σύστημα. Συνιστάται να ενεργοποιήσετε το πρωτόκολλο TLS 1.2 για εισερχόμενες επικοινωνίες. και ενεργοποιήστε τα πρωτόκολλα TLS 1.2, TLS 1.1 και TLS 1.0 για όλες τις εξερχόμενες επικοινωνίες.

Σημείωση Η πραγματοποίηση αυτών των αλλαγών μητρώου δεν επηρεάζει τη χρήση πρωτοκόλλων Kerberos ή NTLM.

1. Εκκινήστε τον Επεξεργαστή Μητρώου. Για να το κάνετε αυτό, κάντε δεξί κλικ στο κουμπί Έναρξη, πληκτρολογήστεregedit στο πλαίσιο Εκτέλεση και, στη συνέχεια, κάντε κλικ στο κουμπί OK.

2. Εντοπίστε το ακόλουθο δευτερεύον κλειδί μητρώου:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

3. Κάντε δεξί κλικ στο πλήκτρο Protocol , τοποθετήστε το δείκτη του ποντικιού στην επιλογή Δημιουργία και, στη συνέχεια, κάντε κλικ στην επιλογή Πλήκτρο.
   
   

4. Πληκτρολογήστε SSL 3 και, στη συνέχεια, πατήστε το πλήκτρο Enter.

5. Επαναλάβετε τα βήματα 3 και 4 για να δημιουργήσετε κλειδιά για τα TLS 0, TLS 1.1 και TLS 1.2. Αυτά τα πλήκτρα μοιάζουν με καταλόγους.

6. Δημιουργήστε ένα κλειδί υπολογιστή-πελάτη και ένα κλειδί διακομιστή κάτω από κάθε ένα από τα κλειδιά SSL 3, TLS 1.0, TLS 1.1 και TLS 1.2 .

7. Για να ενεργοποιήσετε ένα πρωτόκολλο, δημιουργήστε την τιμή DWORD κάτω από κάθε κλειδί υπολογιστή-πελάτη και διακομιστή ως εξής:

   DisabledByDefault [Τιμή = 0]
   Ενεργοποιήθηκε [Τιμή = 1]
   Για να απενεργοποιήσετε ένα πρωτόκολλο, αλλάξτε την τιμή DWORD κάτω από κάθε κλειδί υπολογιστή-πελάτη και διακομιστή ως εξής:

   DisabledByDefault [Τιμή = 1]
   Ενεργοποιήθηκε [Τιμή = 0]

8. Στο μενού Αρχείο , κάντε κλικ στην επιλογή Έξοδος.

Μέθοδος 2: Αυτόματη τροποποίηση του μητρώου

Εκτελέστε την ακόλουθη δέσμη ενεργειών Windows PowerShell σε λειτουργία διαχειριστή για να ρυθμίσετε αυτόματα τις παραμέτρους των Windows ώστε να χρησιμοποιούν μόνο το πρωτόκολλο TLS 1.2:

$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

Ρύθμιση του System Center ώστε να χρησιμοποιεί μόνο TLS 1.2

Ρυθμίστε το System Center ώστε να χρησιμοποιεί μόνο το πρωτόκολλο TLS 1.2. Για να το κάνετε αυτό, βεβαιωθείτε πρώτα ότι πληρούνται όλες οι προϋποθέσεις. Στη συνέχεια, πραγματοποιήστε τις ακόλουθες ρυθμίσεις στα στοιχεία του System Center και σε όλους τους άλλους διακομιστές στους οποίους είναι εγκατεστημένοι οι παράγοντες.

Χρησιμοποιήστε μία από τις παρακάτω μεθόδους.

Μέθοδος 1: Μη αυτόματη τροποποίηση του μητρώου

Σημαντικό
Ακολουθήστε τα βήματα σε αυτή την ενότητα προσεκτικά. Ενδέχεται να προκύψουν σοβαρά προβλήματα, εάν τροποποιήσετε το μητρώο με εσφαλμένο τρόπο. Προτού το τροποποιήσετε, δημιουργήστε αντίγραφο ασφαλείας του μητρώου για επαναφορά, σε περίπτωση που παρουσιαστούν προβλήματα.

Για να ενεργοποιήσετε την εγκατάσταση ώστε να υποστηρίζει το πρωτόκολλο TLS 1.2, ακολουθήστε τα παρακάτω βήματα:

1. Εκκινήστε τον Επεξεργαστή Μητρώου. Για να το κάνετε αυτό, κάντε δεξί κλικ στο κουμπί Έναρξη, πληκτρολογήστεregedit στο πλαίσιο Εκτέλεση και, στη συνέχεια, κάντε κλικ στο κουμπί OK.

2. Εντοπίστε το ακόλουθο δευτερεύον κλειδί μητρώου:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319

3. Δημιουργήστε την ακόλουθη τιμή DWORD κάτω από αυτό το κλειδί:

   SchUseStrongCrypto [Τιμή = 1]

4. Εντοπίστε το ακόλουθο δευτερεύον κλειδί μητρώου:

   HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319

5. Δημιουργήστε την ακόλουθη τιμή DWORD κάτω από αυτό το κλειδί:

   SchUseStrongCrypto [Τιμή = 1]

6. Επανεκκινήστε το σύστημα.

Μέθοδος 2: Αυτόματη τροποποίηση του μητρώου

Εκτελέστε την ακόλουθη δέσμη ενεργειών Windows PowerShell σε λειτουργία διαχειριστή για να ρυθμίσετε αυτόματα τις παραμέτρους του System Center ώστε να χρησιμοποιεί μόνο το πρωτόκολλο TLS 1.2:

# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

Πρόσθετες ρυθμίσεις

Αποποίηση ευθυνών επικοινωνίας τρίτου

Η Microsoft παρέχει στοιχεία επικοινωνίας τρίτων κατασκευαστών για να σας βοηθήσει να βρείτε πρόσθετες πληροφορίες σχετικά με αυτό το θέμα. Αυτές οι πληροφορίες επικοινωνίας ενδέχεται να αλλάξουν χωρίς προειδοποίηση. Η Microsoft δεν εγγυάται την ακρίβεια των στοιχείων επικοινωνίας τρίτων.