Vodič za implementaciju podrške protokola TLS 1.2 za System Center 2016

Sažetak

U ovom se članku opisuje omogućivanje protokola Transport Layer Security (TLS) verzije 1.2 u okruženju Microsoft System Center 2016.

Dodatne informacije

Da biste omogućili TLS protokol verzije 1.2 u okruženju System Center, slijedite ove korake:

1. Instalirajte ažuriranja iz izdanja.
   
   Bilješke

   • Automatizacija upravljanja servisom (SMA) i Service Provider Foundation (SPF) moraju se nadograditi na najnovije skupno ažuriranje jer UR4 nema ažuriranja tih komponenti.

   • Za Service Management Automation (SMA), nadogradite na Skupno ažuriranje 1 i ažurirajte paket za upravljanje SMA -om (MP) s ove web-stranice Microsoftova centra za preuzimanje.

   • Za Service Provider Foundation (SPF) nadogradite na Skupno ažuriranje 2.

   • System Center Virtual Machine Manager (SCVMM) treba nadograditi na najmanje Update Rollup 3.

2. Provjerite je li postavljanje funkcionalno kao prije nego što ste primijenili ažuriranja. Na primjer, provjerite možete li pokrenuti konzolu.

3. Promijenite postavke konfiguracije da biste omogućili TLS 1.2.

4. Provjerite jesu li pokrenuti svi SQL Server servisi.

Postavljanje sustava Windows tako da koristi samo TLS 1.2

Upotrijebite jednu od sljedećih metoda za konfiguriranje sustava Windows tako da koristi samo protokol TLS 1.2.

1. način: ručna izmjena registra

Važno
Pažljivo slijedite korake u ovom odjeljku. Nepravilna izmjena registra može prouzročiti ozbiljne probleme. Prije izmjene sigurnosno kopirajte registar radi vraćanja u slučaju problema.

Slijedite korake u nastavku da biste omogućili/onemogućili sve protokole SCHANNEL na razini sustava. Preporučujemo da omogućite protokol TLS 1.2 za dolazne komunikacije; i omogućite protokole TLS 1.2, TLS 1.1 i TLS 1.0 za sve odlazne komunikacije.

Napomena Te promjene registra ne utječu na korištenje kerberos ili NTLM protokola.

1. Pokrenite Uređivač registra. Da biste to učinili, desnom tipkom miša kliknite Start, upišite regedit u okvir Pokreni , a zatim kliknite U redu.

2. Pronađite sljedeći potključ registra:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

3. Desnom tipkom miša kliknite tipku Protokol, pokažite na Novo, a zatim kliknite Ključ.
   
   

4. Upišite SSL 3, a zatim pritisnite Enter.

5. Ponovite treći i četvrti korak da biste stvorili tipke za TLS 0, TLS 1.1 i TLS 1.2. Ti ključevi nalikuju direktorijima.

6. Stvorite klijentski ključ i ključ poslužitelja ispod svake tipke SSL 3, TLS 1.0, TLS 1.1 i TLS 1.2.

7. Da biste omogućili protokol, stvorite vrijednost DWORD ispod svakog klijentskog i poslužiteljskog ključa na sljedeći način:

   DisabledByDefault [Vrijednost = 0]
   Omogućeno [Vrijednost = 1]
   Da biste onemogućili protokol, promijenite vrijednost DWORD ispod svakog klijentskog i poslužiteljskog ključa na sljedeći način:

   DisabledByDefault [Vrijednost = 1]
   Omogućeno [Vrijednost = 0]

8. Na izborniku Datoteka kliknite Izlaz.

Drugi način: automatska izmjena registra

Pokrenite sljedeću Windows PowerShell u administratorskom načinu rada da biste automatski konfigurirali Windows tako da koristi samo protokol TLS 1.2:

$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

Postavljanje sistemskog centra tako da koristi samo TLS 1.2

Postavite System Center tako da koristi samo protokol TLS 1.2. Da biste to učinili, najprije provjerite jesu li zadovoljeni svi preduvjeti. Zatim napravite sljedeće postavke na komponentama sistemskog centra i svim ostalim poslužiteljima na kojima su instalirani agenti.

Koristite jedan od sljedećih načina.

1. način: ručna izmjena registra

Važno
Pažljivo slijedite korake u ovom odjeljku. Nepravilna izmjena registra može prouzročiti ozbiljne probleme. Prije izmjene sigurnosno kopirajte registar radi vraćanja u slučaju problema.

Da biste omogućili instalaciju za podršku protokola TLS 1.2, slijedite ove korake:

1. Pokrenite Uređivač registra. Da biste to učinili, desnom tipkom miša kliknite Start, upišite regedit u okvir Pokreni, a zatim kliknite U redu.

2. Pronađite sljedeći potključ registra:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319

3. Ispod ovog ključa stvorite sljedeću vrijednost DWORD:

   SchUseStrongCrypto [Vrijednost = 1]

4. Pronađite sljedeći potključ registra:

   HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319

5. Ispod ovog ključa stvorite sljedeću vrijednost DWORD:

   SchUseStrongCrypto [Vrijednost = 1]

6. Ponovno pokrenite sustav.

Drugi način: automatska izmjena registra

Pokrenite sljedeću Windows PowerShell u administratorskom načinu rada da biste automatski konfigurirali System Center tako da koristi samo protokol TLS 1.2:

# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

Dodatne postavke

Izjava o odricanju odgovornosti za kontakt treće strane

Microsoft pruža podatke za kontakt drugih proizvođača da biste lakše pronašli dodatne informacije o ovoj temi. Ti se podaci za kontakt mogu promijeniti bez prethodne obavijesti. Microsoft ne jamči točnost podataka za kontakt treće strane.