Guide de déploiement de la prise en charge du protocole TLS 1.2 pour System Center 2016

Résumé

Cet article explique comment activer le protocole TLS (Transport Layer Security) version 1.2 dans un environnement Microsoft System Center 2016.

Informations supplémentaires

Pour activer le protocole TLS version 1.2 dans votre environnement System Center, procédez comme suit :

1. Installez les mises à jour de la version.
   
   Remarques

   • Service Management Automation (SMA) et Service Provider Foundation (SPF) doivent être mis à niveau vers leur correctif cumulatif le plus récent, car UR4 n’a pas de mises à jour de ces composants.

   • Pour Service Management Automation (SMA), effectuez une mise à niveau vers le correctif cumulatif 1 et mettez également à jour le pack d’administration SMA à partir de cette page web du Centre de téléchargement Microsoft.

   • Pour Service Provider Foundation (SPF), effectuez une mise à niveau vers le correctif cumulatif 2.

   • System Center Virtual Machine Manager (SCVMM) doit être mis à niveau vers au moins le correctif cumulatif 3.

2. Assurez-vous que l’installation est aussi fonctionnelle qu’elle l’était avant d’appliquer les mises à jour. Par exemple, vérifiez si vous pouvez démarrer la console.

3. Modifiez les paramètres de configuration pour activer TLS 1.2.

4. Assurez-vous que tous les services SQL Server requis sont en cours d’exécution.

Définir Windows pour utiliser uniquement TLS 1.2

Utilisez l’une des méthodes suivantes pour configurer Windows afin d’utiliser uniquement le protocole TLS 1.2.

Méthode 1 : Modifier manuellement le registre

Important
Suivez attentivement les étapes décrites dans cette section. Des problèmes graves peuvent se produire si vous modifiez le Registre de façon incorrecte. Avant de le modifier, sauvegardez le registre en vue d’une restauration en cas de problèmes.

Utilisez les étapes suivantes pour activer/désactiver tous les protocoles SCHANNEL à l’échelle du système. Nous vous recommandons d’activer le protocole TLS 1.2 pour les communications entrantes ; et activez les protocoles TLS 1.2, TLS 1.1 et TLS 1.0 pour toutes les communications sortantes.

Remarque La modification de ces registres n’affecte pas l’utilisation des protocoles Kerberos ou NTLM.

1. Démarrez l'Éditeur du Registre. Pour ce faire, cliquez avec le bouton droit sur Démarrer, tapezregedit dans la zone Exécuter , puis cliquez sur OK.

2. Trouvez la sous-clé de Registre suivante :

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

3. Cliquez avec le bouton droit sur la touche Protocole , pointez sur Nouveau, puis cliquez sur Clé.
   
   

4. Tapez SSL 3, puis appuyez sur Entrée.

5. Répétez les étapes 3 et 4 pour créer des clés pour TLS 0, TLS 1.1 et TLS 1.2. Ces clés ressemblent à des répertoires.

6. Créez une clé client et une clé de serveur sous chacune des clés SSL 3, TLS 1.0, TLS 1.1 et TLS 1.2 .

7. Pour activer un protocole, créez la valeur DWORD sous chaque clé client et serveur comme suit :

   DisabledByDefault [Value = 0]
   Activé [Valeur = 1]
   Pour désactiver un protocole, modifiez la valeur DWORD sous chaque clé client et serveur comme suit :

   DisabledByDefault [Value = 1]
   Activé [Valeur = 0]

8. Dans le menuFichier, cliquez sur Quitter.

Méthode 2 : Modifier automatiquement le Registre

Exécutez le script Windows PowerShell suivant en mode Administrateur pour configurer automatiquement Windows de manière à utiliser uniquement le protocole TLS 1.2 :

$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

Définir System Center pour utiliser uniquement TLS 1.2

Définissez System Center pour utiliser uniquement le protocole TLS 1.2. Pour ce faire, assurez-vous d’abord que toutes les conditions préalables sont remplies. Ensuite, définissez les paramètres suivants sur les composants System Center et tous les autres serveurs sur lesquels les agents sont installés.

Utilisez l’une des méthodes suivantes.

Méthode 1 : Modifier manuellement le registre

Important
Suivez attentivement les étapes décrites dans cette section. Des problèmes graves peuvent se produire si vous modifiez le Registre de façon incorrecte. Avant de le modifier, sauvegardez le registre en vue d’une restauration en cas de problèmes.

Pour permettre à l’installation de prendre en charge le protocole TLS 1.2, procédez comme suit :

1. Démarrez l'Éditeur du Registre. Pour ce faire, cliquez avec le bouton droit sur Démarrer, tapezregedit dans la zone Exécuter, puis cliquez sur OK.

2. Trouvez la sous-clé de Registre suivante :

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319

3. Créez la valeur DWORD suivante sous cette clé :

   SchUseStrongCrypto [Valeur = 1]

4. Trouvez la sous-clé de Registre suivante :

   HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319

5. Créez la valeur DWORD suivante sous cette clé :

   SchUseStrongCrypto [Valeur = 1]

6. Redémarrez le système.

Méthode 2 : Modifier automatiquement le Registre

Exécutez le script Windows PowerShell suivant en mode Administrateur pour configurer automatiquement System Center de manière à utiliser uniquement le protocole TLS 1.2 :

# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

Paramètres supplémentaires

Exclusion de responsabilité sur les coordonnées externes

Microsoft fournit des informations de contacts externes afin de vous aider à obtenir un support technique sur ce sujet. Ces informations de contact peuvent être modifiées sans préavis. Microsoft ne garantit pas l’exactitude des informations concernant les sociétés externes.