TLS 1,2 protokolli kasutajatoe juurutamise juhend System Center 2016

Kokkuvõte

Selles artiklis kirjeldatakse, kuidas lubada Microsoft System Center 2016 keskkonnas transpordikihi turbe (TLS) protokolli versiooni 1,2.

Lisateave

Kui soovite lubada oma System Centeri keskkonnas TLS-protokolli versiooni 1,2, tehke järgmist.

1. Värskenduste installimine Väljalaske kaudu. Märkused.

   • Teenuse halduse automatiseerimine (SMA) ja teenuse pakkuja Sihtasutus (SPF) peab olema täiendatud nende uusima värskenduskomplekti, sest UR4 ei värskendata neid komponente.

   • Teenuse halduse automatiseerimise (SMA) korral saate uuendada värskenduskomplekti 1ja kaselle Microsofti allalaadimiskeskuse veebisaidiltka u pdate (MP).

   • Teenuse pakkuja asutamise (SPF) korral Värskendage värskenduskomplekti 2.

   • System Center Virtual Machine Manageri (SCVMM) tuleks uuendada vähemalt värskenduskomplekt 3.

2. Veenduge, et häälestamine oleks sama funktsionaalne nagu enne värskenduste rakendamist. Näiteks kontrollige, kas saate konsooli käivitada.

3. Muutke konfiguratsiooni sätteid , et lubada TLS 1,2.

4. Veenduge, et kõik nõutavad SQL serveri teenused oleksid käivitatud.

Windowsi seadmine ainult TLS 1,2 kasutamiseks

Kasutage ühte järgmistest meetoditest Windowsi konfigureerimiseks, et kasutada ainult TLS 1,2 protokolli.

1. meetod: registri käsitsi muutmine

NB! Järgige hoolikalt selles jaotises toodud juhiseid. Registri vale muutmine võib tõsiseid probleeme põhjustada. Enne selle muutmist varundage register taastamiseks juhul, kui probleemid tekivad.

Järgmiste toimingute abil saate lubada/keelata kõigi SCHANNELI protokollide kogu. Soovitatav on lubada TLS 1,2 protokoll sissetulevatele suhtlustele; ja lubage kõigi väljamineva suhtluse jaoks TLS 1,2, TLS 1,1 ja TLS 1,0 protokollid.

Märkus. Nende registri muudatuste tegemisel ei mõjuta Kerberose või NTLM-protokollide kasutamist.

1. Käivitage registriredaktor. Selleks paremklõpsake nuppu Start, tippige väljale Käivitatekst regedit ja klõpsake siis nuppu OK.

2. Otsige üles järgmine registri alamvõti:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

3. Paremklõpsake protokolli võtit, osutage käsule Uusja klõpsake siis käsku Key.

4. Tippige SSL 3ja vajutage sisestusklahvi (ENTER).

5. Korrake juhiseid 3 ja 4, et luua võtmeid TLS 0, TLS 1,1 ja TLS 1,2 jaoks. Need võtmed meenutavad katalooge.

6. Saate luua Kliendi võtme ja serveri võtme iga SSL 3, tls 1,0, TLS 1,1ja TLS 1,2 võtmete alusel.

7. Protokolli lubamiseks looge iga kliendi ja serveri võtme jaoks DWORD-väärtus järgmiselt.

   DisabledByDefault [väärtus = 0] Lubatud [väärtus = 1] Protokolli keelamiseks muutke iga kliendi ja serveri võtme DWORD-väärtus järgmiselt.

   DisabledByDefault [Value = 1] Lubatud [väärtus = 0]

8. Klõpsake menüüs pilt nuppu välju.

Meetod 2: registri automaatne muutmine

Käivitage järgmine Windows PowerShelli skript administraatori režiimis, et konfigureerida Windows automaatselt kasutama ainult TLS 1,2 protokolli.

$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

System Center seadmine ainult TLS 1,2 kasutamiseks

Seadke System Center kasutama ainult TLS 1,2 protokolli. Selleks veenduge esmalt, et kõik eeltingimused oleksid täidetud. Seejärel tehke süsteemi Centeri komponentides ja kõigis teistes serverites, kus agendid on installitud, järgmised sätted.

Kasutage ühte järgmistest meetoditest.

1. meetod: registri käsitsi muutmine

NB! Järgige hoolikalt selles jaotises toodud juhiseid. Registri vale muutmine võib tõsiseid probleeme põhjustada. Enne selle muutmist varundage register taastamiseks juhul, kui probleemid tekivad.

Kui soovite lubada, et install toetaks TLS 1,2 protokolli, tehke järgmist.

1. Käivitage registriredaktor. Selleks paremklõpsake nuppu Start, tippige väljale Käivitatekst regedit ja klõpsake siis nuppu OK.

2. Otsige üles järgmine registri alamvõti:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319

3. Looge selle võtme all järgmine DWORD-väärtus:

   SchUseStrongCrypto [Value = 1]

4. Otsige üles järgmine registri alamvõti:

   HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319

5. Looge selle võtme all järgmine DWORD-väärtus:

   SchUseStrongCrypto [Value = 1]

6. Taaskäivitage süsteem.

Meetod 2: registri automaatne muutmine

Käivitage järgmine Windows PowerShelli skript administraatori režiimis, et konfigureerida System Center automaatselt kasutama ainult TLS 1,2 protokolli.

# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

Täiendavad sätted

Kolmanda osapoole kontakti lahtiütlus

Microsoft pakub kolmanda osapoole kontaktteavet, mis aitab teil selle teema kohta täiendavat teavet leida. Seda kontaktteavet võidakse ette teatamata muuta. Microsoft ei garanteeri kolmanda osapoole kontaktteabe täpsust.