Panduan Penyebaran Dukungan Protokol TLS 1.2 untuk Pusat Sistem 2016

Ringkasan

Artikel ini menguraikan cara mengaktifkan protokol Transport Layer Security (TLS) versi 1.2 dalam lingkungan Microsoft System Center 2016.

Informasi Selengkapnya

Untuk mengaktifkan protokol TLS versi 1.2 di lingkungan Pusat Sistem Anda, ikuti langkah-langkah berikut:

1. Instal pembaruan dari rilis.
   
   Catatan

   • Service Management Automation (SMA) dan Service Provider Foundation (SPF) harus dimutakhirkan ke rollup pembaruan terbaru mereka karena UR4 tidak memiliki pembaruan untuk komponen ini.

   • Untuk Service Management Automation (SMA), mutakhirkan ke Update Rollup 1, dan juga perbarui paket manajemen SMA (MP) dari halaman web Pusat Unduhan Microsoft ini.

   • Untuk Service Provider Foundation (SPF), mutakhirkan ke Update Rollup 2.

   • Manajer Mesin Virtual Pusat Sistem (SCVMM) harus dimutakhirkan ke setidaknya Pembaruan Rollup 3.

2. Pastikan bahwa penyiapan berfungsi seperti sebelum Anda menerapkan pembaruan. Misalnya, periksa apakah Anda dapat memulai konsol.

3. Ubah pengaturan konfigurasi untuk mengaktifkan TLS 1.2.

4. Pastikan bahwa semua layanan SQL Server yang diperlukan berjalan.

Mengatur Windows agar hanya menggunakan TLS 1.2

Gunakan salah satu metode berikut untuk mengonfigurasi Windows agar hanya menggunakan protokol TLS 1.2.

Metode 1: Mengubah registri secara manual

Penting
Ikuti langkah-langkah di bagian ini dengan cermat. Masalah serius dapat terjadi apabila Anda salah memodifikasi registri. Sebelum Anda mengubahnya, cadangkan registri untuk pemulihan jika terjadi masalah.

Gunakan langkah-langkah berikut untuk mengaktifkan/menonaktifkan semua protokol SCHANNEL di seluruh sistem. Kami menyarankan agar Anda mengaktifkan protokol TLS 1.2 untuk komunikasi masuk; dan mengaktifkan protokol TLS 1.2, TLS 1.1, dan TLS 1.0 untuk semua komunikasi keluar.

Note Membuat perubahan registri ini tidak mempengaruhi penggunaan protokol Kerberos atau NTLM.

1. Mulai Editor Registri. Untuk melakukan ini, klik kanan Mulai, ketik regedit dalam kotak Jalankan , lalu klik OK.

2. Temukan subkey registri berikut ini:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

3. Klik kanan tombol Protokol , arahkan ke Baru, lalu klik Tombol.
   
   

4. Ketikkan SSL 3, lalu tekan Enter.

5. Ulangi langkah 3 dan 4 untuk membuat kunci untuk TLS 0, TLS 1.1, dan TLS 1.2. Kunci ini menyerupai direktori.

6. Buat kunci Klien dan kunci Server di bawah setiap kunci SSL 3, TLS 1.0, TLS 1.1, dan TLS 1.2 .

7. Untuk mengaktifkan protokol, buat nilai DWORD di bawah setiap kunci Klien dan Server sebagai berikut:

   DisabledByDefault [Value = 0]
   Diaktifkan [Nilai = 1]
   Untuk menonaktifkan protokol, ubah nilai DWORD di bawah setiap kunci Klien dan Server sebagai berikut:

   DisabledByDefault [Nilai = 1]
   Diaktifkan [Nilai = 0]

8. Di menu File, klik Keluar.

Metode 2: Mengubah registri secara otomatis

Jalankan skrip Windows PowerShell berikut dalam mode Administrator untuk mengonfigurasi Windows secara otomatis agar hanya menggunakan Protokol TLS 1.2:

$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

Mengatur Pusat Sistem agar hanya menggunakan TLS 1.2

Atur Pusat Sistem agar hanya menggunakan protokol TLS 1.2. Untuk melakukan ini, pastikan terlebih dahulu bahwa semua prasyarat terpenuhi. Lalu, buat pengaturan berikut pada komponen Pusat Sistem dan semua server lain di mana agen diinstal.

Gunakan salah satu metode berikut ini.

Metode 1: Mengubah registri secara manual

Penting
Ikuti langkah-langkah di bagian ini dengan cermat. Masalah serius dapat terjadi apabila Anda salah memodifikasi registri. Sebelum Anda mengubahnya, cadangkan registri untuk pemulihan jika terjadi masalah.

Untuk mengaktifkan penginstalan guna mendukung protokol TLS 1.2, ikuti langkah-langkah berikut:

1. Mulai Editor Registri. Untuk melakukan ini, klik kanan Mulai, ketik regedit dalam kotak Jalankan, lalu klik OK.

2. Temukan subkey registri berikut ini:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319

3. Buat nilai DWORD berikut di bawah kunci ini:

   SchUseStrongCrypto [Nilai = 1]

4. Temukan subkey registri berikut ini:

   HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319

5. Buat nilai DWORD berikut di bawah kunci ini:

   SchUseStrongCrypto [Nilai = 1]

6. Hidupkan ulang sistem.

Metode 2: Mengubah registri secara otomatis

Jalankan skrip Windows PowerShell berikut dalam mode Administrator untuk mengonfigurasi Pusat Sistem secara otomatis agar hanya menggunakan Protokol TLS 1.2:

# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

Pengaturan tambahan

Sanggahan kontak pihak ketiga

Microsoft menyediakan informasi kontak pihak ketiga untuk membantu Anda menemukan informasi tambahan tentang topik ini. Informasi kontak yang tertera dapat berubah sewaktu-waktu. Microsoft tidak menjamin keakuratan informasi kontak pihak ketiga.