TLS 1.2 protokolli toe juurutamise juhend System Center 2016 jaoks

Rakenduskoht

.NET Framework 4.6.2 System Center 2016 Data Protection Manager System Center 2016 Operations Manager System Center 2016 Virtual Machine Manager System Center Service Management Automation, version 1807 System Center Service Provider Foundation, version 1807

Kokkuvõte

Selles artiklis kirjeldatakse, kuidas lubada Microsoft System Center 2016 keskkonnas transpordikihi turbe (TLS) protokolli versioon 1.2.

Veel teavet

System Centeri keskkonnas TLS-protokolli versiooni 1.2 lubamiseks tehke järgmist.

Installige värskendused alates väljaandest.

Märkused
- Teenusehalduse automatiseerimine (SMA) ja Service Provider Foundation (SPF) tuleb üle viia uusimale värskenduskomplektile, kuna URL4 ei sisalda nende komponentide värskendusi.
- Teenusehalduse automatiseerimise (SMA) korral minge üle värskenduskomplektile 1 ja värskendage ka SMA halduspaketti (MP) selle Microsofti allalaadimiskeskuse veebilehelt.
- Service Provider Foundationi (SPF) puhul minge üle versioonile Update Rollup 2.
- System Center Virtual Machine Manager (SCVMM) tuleks täiendada vähemalt värskenduskomplektiks 3.
Veenduge, et häälestus oleks sama funktsionaalne kui enne värskenduste rakendamist. Kontrollige näiteks, kas saate konsooli käivitada.
TLS 1.2 lubamiseks muutke konfigureerimissätteid .
Veenduge, et kõik nõutavad SQL Server teenused töötaksid.

Installi värskendused

Tegevuste värskendamine	SCOM¹	SCVMM²	SCDPM³	SCO⁴	SMA⁵	SPF⁶	SM⁷
Veenduge, et kõik praegused turbevärskendused oleksid installitud Windows Server 2012 R2 või Windows Server 2016 jaoks	Jah	Jah	Jah	Jah	Jah	Jah	Jah
Veenduge, et .NET raamistik 4.6 oleks installitud kõigis System Centeri komponentides	Jah	Jah	Jah	Jah	Jah	Jah	Jah
Installige vajalik SQL Server värskendus, mis toetab TLS 1.2	Jah	Jah	Jah	Jah	Jah	Jah	Jah
Nõutavate System Center 2016 värskenduste installimine	Jah	Ei	Jah	Jah	Ei	Ei	Jah
Veenduge, et CA allkirjastatud serdid oleksid SHA1 või SHA2	Jah	Jah	Jah	Jah	Jah	Jah	Jah

¹ System Center Operations Manager (SCOM)
² System Center Virtual Machine Manager (SCVMM)
³ System Center Data Protection Manager (SCDPM)
⁴ System Center Orchestrator (SCO)
⁵ Teenusehalduse automatiseerimine (SMA)
⁶ Service Provider Foundation (SPF)
⁷ Teenusehaldur (SM)

Konfiguratsioonisätete muutmine

Konfiguratsioonivärskendus	SCOM¹	SCVMM²	SCDPM³	SCO⁴	SMA⁵	SPF⁶	SM⁷
Windowsi säte ainult TLS 1.2 protokolli kasutamiseks	Jah	Jah	Jah	Jah	Jah	Jah	Jah
System Centeri säte ainult TLS 1.2 protokolli kasutamiseks	Jah	Jah	Jah	Jah	Jah	Jah	Jah
Lisasätted	Jah	Ei	Jah	Jah	Ei	Ei	Ei

.NET raamistik

Veenduge, et .NET raamistik 4.6 oleks installitud kõigis System Centeri komponentides. Selleks järgige neid juhiseid.

TLS 1.2 tugi

Installige vajalik SQL Server värskendus, mis toetab TLS 1.2. Selleks lugege Microsofti teabebaasi artiklit:

3135244 TLS 1.2 tugi Microsofti SQL Server

Nõutavad System Center 2016 värskendused

SQL Server 2012 Native client 11.0 tuleks installida kõigile järgmistele System Centeri komponentidele.

Komponent	Roll	Nõutav SQL-draiver
Operations Manager	Haldusserverid ja veebikonsoolid	SQL Server 2012 Native client 11.0 või Microsoft OLE DB Driver 18 for SQL Server (soovitatav). Märkus Microsoft OLE DB Driver 18 for SQL Server toetavad Operations Manager 2016 UR9 ja uuemad versioonid.
Virtuaalarvuti haldur	(Pole nõutav)	(Pole nõutav)
Orkestraator	Haldusserver	SQL Server 2012 Native client 11.0 või Microsoft OLE DB Driver 18 for SQL Server (soovitatav). Märkus Microsoft OLE DB Driver 18 for SQL Server toetab Orchestrator 2016 UR8 ja uuemad versioonid.
Andmekaitsehaldur	Haldusserver	SQL Server 2012 Omaklient 11.0
Teenusehaldur	Haldusserver	SQL Server 2012 Native client 11.0 või Microsoft OLE DB Driver 18 for SQL Server (soovitatav). Märkus Microsoft OLE DB Driver 18 for SQL Server toetab Service Manager 2016 UR9 ja uuemad versioonid.

Microsoft SQL Server 2012 Native Client 11.0 allalaadimiseks ja installimiseks vaadake seda Microsofti allalaadimiskeskuse veebilehte.

Microsoft OLE DB Driver 18 allalaadimiseks ja installimiseks vaadake seda Microsofti allalaadimiskeskuse veebilehte.

System Centeri toiminguhalduri ja teenusehalduri kõigis haldusserverites peab olema installitud ODBC 11.0 või ODBC 13.0 .

Installige nõutavad System Center 2016 värskendused järgmisest teabebaasi artiklist:

4043305 Microsoft System Center 2016 värskenduskomplekti 4 kirjeldus

Komponent	2016
Operations Manager	Update Rollup 4 for System Center 2016 Operations Manager
Teenusehaldur	Update Rollup 4 for System Center 2016 Service Manager
Orkestraator	Update Rollup 4 for System Center 2016 Orchestrator
Andmekaitsehaldur	Update Rollup 4 for System Center 2016 Data Protection Manager

Märkus Laiendage kindlasti faili sisu ja installige MSP-fail vastavasse rolli.

SHA1 ja SHA2 serdid

System Centeri komponendid genereerivad nüüd nii SHA1 kui ka SHA2 iseallkirjastatud serdid. See on vajalik TLS 1.2 lubamiseks. Ca-allkirjastatud sertide kasutamise korral veenduge, et serdid oleksid SHA1 või SHA2.

Windowsi seadmine kasutama ainult TLS 1.2

Kasutage ühte järgmistest meetoditest, et konfigureerida Windows kasutama ainult TLS 1.2 protokolli.

1. meetod: registri käsitsi muutmine

NB!
Järgige hoolikalt selle jaotise juhiseid. Kui muudate registrit valesti, võivad ilmneda tõsised probleemid. Enne selle muutmist varundage register probleemide ilmnemise korral taastamiseks .

Kõigi SCHANNELi protokollide lubamiseks/keelamiseks kogu süsteemis tehke järgmist. Soovitame sissetuleva suhtluse jaoks lubada TLS 1.2 protokolli; ja lubage kogu väljamineva suhtluse jaoks TLS 1.2, TLS 1.1 ja TLS 1.0 protokollid.

Märkus Nende registrimuudatuste tegemine ei mõjuta Kerberose ega NTLM-protokollide kasutamist.

Käivitage registriredaktor. Selleks paremklõpsake nuppu Start, tippige väljale Käivita käsk regedit ja seejärel klõpsake nuppu OK.
Otsige üles järgmine registri alamvõti:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols
Paremklõpsake protokollivõtit, osutage käsule Uus ja seejärel klõpsake käsku Võti.
Tippige SSL 3 ja vajutage sisestusklahvi (Enter).
Korrake juhiseid 3 ja 4, et luua võtmed TLS 0, TLS 1.1 ja TLS 1.2 jaoks. Need võtmed sarnanevad kataloogidega.
Looge iga SSL 3, TLS 1.0, TLS 1.1 ja TLS 1.2 võtme all kliendivõti ja serverivõti.
Protokolli lubamiseks looge iga kliendi- ja serverivõtme all DWORD-väärtus järgmiselt.
DisabledByDefault [Väärtus = 0]
Lubatud [Väärtus = 1]
Protokolli keelamiseks muutke iga kliendi- ja serverivõtme DWORD-väärtust järgmiselt.
DisabledByDefault [Väärtus = 1]
Lubatud [Väärtus = 0]
Klõpsake menüü Fail käsku Välju.

2. meetod: registri automaatne muutmine

Käivitage administraatorirežiimis järgmine Windows PowerShell skript, et konfigureerida Windows kasutama ainult TLS 1.2 protokolli:


$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

Määrake System Center kasutama ainult TLS 1.2

Seadke System Center kasutama ainult TLS 1.2 protokolli. Selleks veenduge esmalt, et kõik eeltingimused oleksid täidetud. Seejärel tehke System Centeri komponentides ja kõigis muudes serverites, kuhu agendid on installitud, järgmised sätted.

Kasutage ühte järgmistest meetoditest.

1. meetod: registri käsitsi muutmine

Protokolli TLS 1.2 toega installi lubamiseks tehke järgmist.

Käivitage registriredaktor. Selleks paremklõpsake nuppu Start, tippige väljale Käivita käsk regedit ja seejärel klõpsake nuppu OK.
Otsige üles järgmine registri alamvõti:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319
Looge selle võtme all järgmine DWORD-väärtus:
SchUseStrongCrypto [Väärtus = 1]
Otsige üles järgmine registri alamvõti:
HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319
Looge selle võtme all järgmine DWORD-väärtus:
SchUseStrongCrypto [Väärtus = 1]
Taaskäivitage süsteem.

2. meetod: registri automaatne muutmine

Käivitage administraatorirežiimis järgmine Windows PowerShell skript, et konfigureerida System Center automaatselt kasutama ainult TLS 1.2 protokolli:


# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

Lisasätted

Operations Manager

Halduspaketid

Importige System Center 2016 Operations Manageri halduspaketid. Need asuvad pärast serverivärskenduse installimist järgmises kaustas:

\Program Files\Microsoft System Center 2016\Operations Manager\Server\Management Packs for Update Rollups

ACS-i sätted

Auditikogumisteenuste (ACS) puhul peate tegema registris täiendavaid muudatusi. ACS kasutab DSN-i andmebaasiga ühenduse loomiseks. TLS 1.2 kasutamiseks peate värskendama DSN-i sätteid.

Otsige registrist üles järgmine ODBC alamvõti.

Märkus DSN-i vaikenimi on OpsMgrAC.
Valige alamvõtmes ODBC Data Sources (ODBC andmeallikad ) DSN-i nime (OpsMgrAC) kirje. See sisaldab andmebaasiühenduse jaoks kasutatava ODBC-draiveri nime. Kui teil on installitud ODBC 11.0, muutke see nimi SQL Server jaoks ODBC-draiveriks 11. Kui teil on installitud ODBC 13.0, muutke see nimi SQL Server jaoks ODBC-draiveriks 13.
Värskendage alamvõtmes OpsMgrAC installitud ODBS-i versiooni draiverikirjet .
- Kui ODBC 11.0 on installitud, määrake draiverikirjeks%WINDIR%\system32\msodbcsql11.dll.
- Kui ODBC 13.0 on installitud, määrake draiverikirjeks%WINDIR%\system32\msodbcsql13.dll.
- Teise võimalusena saate Notepadis või mõnes muus tekstiredaktoris luua ja salvestada järgmise .reg faili. Salvestatud .reg faili käivitamiseks topeltklõpsake faili.
  
  Looge ODBC 11.0 jaoks järgmine ODBC-11.0.reg fail:
  [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\ODBC andmeallikad] "OpsMgrAC"="ODBC Driver 11 for SQL Server" [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC] [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC] "Driver"="%WINDIR%\\system32\\msodbcsql11.dll"
  
  Looge ODBC 13.0 jaoks järgmine ODBC-13.0.reg fail:
  [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\ODBC andmeallikad] "OpsMgrAC"="ODBC Driver 13 for SQL Server" [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC] [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC] "Driver"="%WINDIR%\\system32\\msodbcsql13.dll"

TLS-i Linux

Punase mütsi või Apache'i keskkonnas TLS 1.2 konfigureerimiseks järgige vastaval veebisaidil olevaid juhiseid.

Andmekaitsehaldur

Selleks et lubada andmekaitsehalduril töötada koos TLS 1.2-ga, et varundada pilvteenusesse, lubage need juhised andmekaitsehalduri serveris.

Orkestraator

Pärast Orchestratori värskenduste installimist konfigureerige Orchestratori andmebaas ümber, kasutades olemasolevat andmebaasi vastavalt nendele juhistele.

Kolmanda osapoole kontakti lahtiütlus

Microsoft pakub kolmanda osapoole kontaktteavet, mis aitab teil selle teema kohta lisateavet leida. Sellist kontaktteavet võidakse ilma ette teatamata muuta. Microsoft ei taga kolmanda osapoole kontaktteabe täpsust.