Guía de implementación de soporte técnico de protocolo TLS 1.2 para System Center 2016

Resumen

En este artículo se describe cómo habilitar el protocolo de seguridad de la capa de transporte (TLS) versión 1.2 en un entorno de Microsoft System Center 2016.

Más información

Para habilitar el protocolo TLS versión 1.2 en su entorno de System Center, siga estos pasos:

1. Instala las actualizaciones de la versión.
   
   Notas

   • Service Management Automation (SMA) y Service Provider Foundation (SPF) deben actualizarse a su paquete acumulativo de actualizaciones más reciente porque UR4 no tiene ninguna actualización para estos componentes.

   • Para Service Management Automation (SMA), actualice a Update Rollup 1 y también actualice el módulo de administración de SMA (MP) desde esta página web del Centro de descarga de Microsoft.

   • Para Service Provider Foundation (SPF), actualice a Actualizar paquete acumulativo 2.

   • System Center Virtual Machine Manager (SCVMM) debe actualizarse a al menos update rollup 3.

2. Asegúrate de que la configuración sea tan funcional como antes de aplicar las actualizaciones. Por ejemplo, comprueba si puedes iniciar la consola.

3. Cambie las opciones de configuración para habilitar TLS 1.2.

4. Asegúrese de que se están ejecutando todos los servicios de SQL Server necesarios.

Configurar Windows para que use solo TLS 1.2

Use uno de los siguientes métodos para configurar Windows para que use solo el protocolo TLS 1.2.

Método 1: Modificar manualmente el Registro

Importante
Siga detenidamente los pasos de esta sección. La modificación incorrecta del Registro puede producir graves problemas. Antes de modificarlo, realice una copia de seguridad del Registro para la restauración en caso de que se produzcan problemas.

Usa los siguientes pasos para habilitar/deshabilitar todos los protocolos SCHANNEL de todo el sistema. Le recomendamos que habilite el protocolo TLS 1.2 para las comunicaciones entrantes; y habilite los protocolos TLS 1.2, TLS 1.1 y TLS 1.0 para todas las comunicaciones salientes.

Nota Realizar estos cambios en el registro no afecta al uso de protocolos Kerberos o NTLM.

1. Inicie el Editor del Registro. Para ello, haga clic con el botón derecho en Inicio, escriba regedit en el cuadro Ejecutar y, a continuación, haga clic en Aceptar.

2. Busque la siguiente subclave del Registro:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

3. Haga clic con el botón derecho en la tecla Protocolo , seleccione Nuevo y, después, haga clic en Clave.
   
   

4. Escriba SSL 3 y presione Entrar.

5. Repita los pasos 3 y 4 para crear claves para TLS 0, TLS 1.1 y TLS 1.2. Estas claves se parecen a directorios.

6. Cree una clave de cliente y una clave de servidor en cada una de las claves de SSL 3, TLS 1.0, TLS 1.1 y TLS 1.2 .

7. Para habilitar un protocolo, cree el valor DWORD en cada clave de cliente y servidor como se indica a continuación:

   DisabledByDefault [Valor = 0]
   Habilitado [Valor = 1]
   Para deshabilitar un protocolo, cambie el valor DWORD en cada clave de cliente y servidor de la siguiente manera:

   DisabledByDefault [Valor = 1]
   Habilitado [Valor = 0]

8. En el menú Archivo, haga clic en Salir.

Método 2: Modificar automáticamente el registro

Ejecute el siguiente script de Windows PowerShell en modo administrador para configurar Windows automáticamente y usar solo el protocolo TLS 1.2:

$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

Configurar System Center para que use solo TLS 1.2

Configura System Center para que use solo el protocolo TLS 1.2. Para ello, asegúrese primero de que se cumplan todos los requisitos previos. A continuación, realiza la siguiente configuración en los componentes de System Center y en todos los demás servidores en los que estén instalados los agentes.

Utilice uno de los métodos siguientes.

Método 1: Modificar manualmente el Registro

Importante
Siga detenidamente los pasos de esta sección. La modificación incorrecta del Registro puede producir graves problemas. Antes de modificarlo, realice una copia de seguridad del Registro para la restauración en caso de que se produzcan problemas.

Para habilitar la instalación para que admita el protocolo TLS 1.2, siga estos pasos:

1. Inicie el Editor del Registro. Para ello, haga clic con el botón derecho en Inicio, escriba regedit en el cuadro Ejecutar y, a continuación, haga clic en Aceptar.

2. Busque la siguiente subclave del Registro:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319

3. Cree el siguiente valor DWORD en esta clave:

   SchUseStrongCrypto [Valor = 1]

4. Busque la siguiente subclave del Registro:

   HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319

5. Cree el siguiente valor DWORD en esta clave:

   SchUseStrongCrypto [Valor = 1]

6. Reinicia el sistema.

Método 2: Modificar automáticamente el registro

Ejecuta el siguiente script de Windows PowerShell en modo administrador para configurar automáticamente System Center y usar solo el protocolo TLS 1.2:

# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

Configuración adicional

Declinación de responsabilidad sobre la información de contacto de terceros

Microsoft proporciona información de contacto de otros proveedores para ayudarle a encontrar información adicional sobre este tema. Dicha información de contacto puede cambiar sin notificación previa. Microsoft no garantiza la precisión de esta información de contacto de terceros.