מדריך פריסת פרוטוקול TLS 1.2 עבור מרכז המערכת 2016

סיכום

מאמר זה מתאר כיצד להפוך את פרוטוקול Transport Layer Security (TLS) לזמין גירסה 1.2 בסביבה של Microsoft System Center 2016.

מידע נוסף

כדי להפוך את פרוטוקול TLS גירסה 1.2 לזמין בסביבה של System Center, בצע את הפעולות הבאות:

1. התקן עדכונים מההפצה.
   
   הערות

   • יש לשדרג את אוטומציית ניהול השירותים (SMA) ואת Service Provider Foundation (SPF) לאופצציית העדכונים העדכנית ביותר שלהם מאחר של- UR4 אין עדכונים לרכיבים אלה.

   • עבור Service Management Automation (SMA), שדרג ל- Update Rollup 1, וגם עדכן את ערכת הניהול של SMA (MP) מדף אינטרנט זה של מרכז ההורדות של Microsoft.

   • עבור Service Provider Foundation (SPF), שדרג ל - Update Rollup 2.

   • יש לשדרג את System Center Virtual Machine Manager (SCVMM) ל- Update Rollup 3 לפחות.

2. ודא שההגדרה מתפקדת כמו שהיא הייתה לפני שהחלת את העדכונים. לדוגמה, בדוק אם באפשרותך להפעיל את הקונסולה.

3. שנה את הגדרות התצורה כדי להפוך את TLS 1.2 לזמין.

4. ודא שכל SQL Server השירותים הדרושים פועלים.

הגדרת Windows לשימוש ב- TLS 1.2 בלבד

השתמש באחת מהשיטות הבאות כדי לקבוע את תצורת Windows לשימוש בפרוטוקול TLS 1.2 בלבד.

שיטה 1: שנה את הרישום באופן ידני

חשוב
בצע בקפידה את השלבים בסעיף זה. בעיות חמורות עלולות להתרחש אם תשנה את הרישום באופן שגוי. לפני שתבצע שינויים, גבה את הרישום לתיקון למקרה שיתרחשו בעיות.

השתמש בשלבים הבאים כדי להפוך את כל פרוטוקולי SCHANNEL לזמינים או ללא זמינים ברחבי המערכת. מומלץ להפוך את פרוטוקול TLS 1.2 לזמין עבור תקשורת נכנסת; ולאפשר את פרוטוקולי TLS 1.2, TLS 1.1 ו- TLS 1.0 עבור כל התקשורת היוצאת.

הערה ביצוע שינויים אלה ברישום אינו משפיע על השימוש בפרוטוקולים Kerberos או NTLM.

1. הפעל את עורך הרישום. לשם כך, לחץ באמצעות לחצן העכבר הימני על התחל, הקלד regedit בתיבה הפעלה ולאחר מכן לחץ על אישור.

2. אתר את מפתח המשנה הבא של הרישום:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

3. לחץ באמצעות לחצן העכבר הימני על מקש פרוטוקול, הצבע על חדש ולאחר מכן לחץ על מפתח.
   
   

4. הקלד SSL 3 ולאחר מכן הקש Enter.

5. חזור על שלבים 3 ו- 4 כדי ליצור מפתחות עבור TLS 0, TLS 1.1 ו- TLS 1.2. מפתחות אלה דומים למדריכי כתובות.

6. צור מפתח לקוח ומפתח שרת תחת כל אחד ממפתחות SSL 3, TLS 1.0, TLS 1.1 ו- TLS 1.2 .

7. כדי להפוך פרוטוקול לזמין, צור את ערך ה- DWORD תחת כל מפתח לקוח ומפתח שרת באופן הבא:

   DisabledByDefault [Value = 0]
   זמין [ערך = 1]
   כדי להפוך פרוטוקול ללא זמין, שנה את ערך ה- DWORD תחת כל מפתח לקוח ומפתח שרת באופן הבא:

   DisabledByDefault [Value = 1]
   זמין [ערך = 0]

8. בתפריט קובץ , לחץ על יציאה.

שיטה 2: שנה באופן אוטומטי את הרישום

הפעל את קובץ ה Windows PowerShell Script הבא במצב מנהל מערכת כדי לקבוע באופן אוטומטי את תצורת Windows לשימוש בפרוטוקול TLS 1.2 בלבד:

$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

הגדר את System Center לשימוש ב- TLS 1.2 בלבד

הגדר את System Center לשימוש בפרוטוקול TLS 1.2 בלבד. לשם כך, ודא תחילה שכל הדרישות המוקדמות קיימות. לאחר מכן, בצע את ההגדרות הבאות ברכיבי מרכז המערכת ואת כל השרתים האחרים שבהם מותקנים הסוכנים.

השתמש באחת מהשיטות הבאות.

שיטה 1: שנה את הרישום באופן ידני

חשוב
בצע בקפידה את השלבים בסעיף זה. בעיות חמורות עלולות להתרחש אם תשנה את הרישום באופן שגוי. לפני שתבצע שינויים, גבה את הרישום לתיקון למקרה שיתרחשו בעיות.

כדי לאפשר להתקנה לתמוך בפרוטוקול TLS 1.2, בצע את הפעולות הבאות:

1. הפעל את עורך הרישום. לשם כך, לחץ באמצעות לחצן העכבר הימני על התחל, הקלד regedit בתיבה הפעלה ולאחר מכן לחץ על אישור.

2. אתר את מפתח המשנה הבא של הרישום:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319

3. צור את ערך ה- DWORD הבא תחת מפתח זה:

   SchUseStrongCrypto [Value = 1]

4. אתר את מפתח המשנה הבא של הרישום:

   HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319

5. צור את ערך ה- DWORD הבא תחת מפתח זה:

   SchUseStrongCrypto [Value = 1]

6. הפעל מחדש את המערכת.

שיטה 2: שנה באופן אוטומטי את הרישום

הפעל את ה- script Windows PowerShell הבא במצב מנהל מערכת כדי לקבוע באופן אוטומטי את תצורת System Center לשימוש בפרוטוקול TLS 1.2 בלבד:

# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

הגדרות נוספות

כתב ויתור ליצירת קשר של ספק חיצוני

Microsoft מספקת פרטי קשר של ספקים חיצוניים כדי לסייע לך למצוא מידע נוסף אודות נושא זה. פרטי קשר אלו עשויים להשתנות ללא הודעה. Microsoft אינה ערבה לדיוק של פרטי קשר של ספקים חיצוניים.