Guida alla distribuzione del supporto TLS 1.2 Protocol per System Center 2012 R2

Riepilogo

Questo articolo descrive come abilitare il protocollo TLS (Transport Layer Security) versione 1.2 in un ambiente Microsoft System Center 2012 R2.

Ulteriori informazioni

Per abilitare il protocollo TLS versione 1.2 nell'ambiente System Center, attenersi alla seguente procedura:

1. Installa gli aggiornamenti della versione.
   
   Note

   • Installa l'ultimo aggiornamento cumulativo per tutti i componenti di System Center prima di applicare l'aggiornamento cumulativo 14.

     • Per Gestione protezione dati e Virtual Machine Manager, installa Aggiornamento cumulativo 13.

     • Per Automazione gestione servizi, installare Aggiornamento cumulativo 7.

     • Per System Center Orchestrator, installa Aggiornamento cumulativo 8.

     • Per Service Provider Foundation, installare Aggiornamento cumulativo 12.

     • Per Service Manager, installa Aggiornamento cumulativo 9.

2. Verifica che la configurazione sia funzionale come prima dell'applicazione degli aggiornamenti. Ad esempio, verifica se puoi avviare la console.

3. Modificare le impostazioni di configurazione per abilitare TLS 1.2.

4. Verificare che siano in esecuzione tutti i servizi necessari SQL Server.

Impostare Windows in modo che usi solo TLS 1.2

Usare uno dei metodi seguenti per configurare Windows in modo da utilizzare solo il protocollo TLS 1.2.

Metodo 1: modificare manualmente il Registro di sistema

Utilizza i passaggi seguenti per abilitare/disabilitare tutti i protocolli SCHANNEL a livello di sistema. È consigliabile abilitare il protocollo TLS 1.2 per le comunicazioni in arrivo e i protocolli TLS 1.2, TLS 1.1 e TLS 1.0 per tutte le comunicazioni in uscita.

Note L'esecuzione di queste modifiche al Registro di sistema non influisce sull'uso dei protocolli Kerberos o NTLM.

1. Avviare l'editor del Registro di sistema. A tale scopo, fare clic con il pulsante destro del mouse sul pulsante Start, digitare regedit nella casella Esegui e quindi scegliere OK.

2. Individuare la sottochiave del Registro di sistema seguente:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

3. Fare clic con il pulsante destro del mouse sulla chiave Protocol, scegliere Nuovo e quindi chiave.
   
   

4. Digitare SSL 3 e quindi premere INVIO.

5. Ripetere i passaggi 3 e 4 per creare le chiavi per TLS 0, TLS 1.1 e TLS 1.2. Questi tasti assomigliano alle directory.

6. Creare una chiave client e una chiave server in ognuno dei tasti SSL 3, TLS 1.0, TLS 1.1 e TLS 1.2 .

7. Per abilitare un protocollo, creare il valore DWORD sotto ogni chiave Client e Server nel modo seguente:

   DisabledByDefault [Value = 0]
   Abilitato [Valore = 1]
   Per disabilitare un protocollo, modificare il valore DWORD in ogni chiave client e server nel modo seguente:

   DisabledByDefault [Value = 1]
   Abilitato [Valore = 0]

8. Scegliere Esci dal menu File.

Metodo 2: modificare automaticamente il Registro di sistema

Eseguire lo script di Windows PowerShell seguente in modalità amministratore per configurare automaticamente Windows in modo da utilizzare solo il protocollo TLS 1.2:

$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

Impostare System Center in modo che usi solo TLS 1.2

Impostare System Center in modo da utilizzare solo il protocollo TLS 1.2. A tale scopo, assicurarsi innanzitutto che siano soddisfatti tutti i prerequisiti. Configurare quindi le impostazioni seguenti nei componenti di System Center e in tutti gli altri server in cui sono installati gli agenti.

Usare uno dei metodi seguenti.

Metodo 1: modificare manualmente il Registro di sistema

Per abilitare l'installazione per il supporto del protocollo TLS 1.2, attenersi alla seguente procedura:

1. Avviare l'editor del Registro di sistema. A tale scopo, fare clic con il pulsante destro del mouse sul pulsante Start, digitare regedit nella casella Esegui e quindi scegliere OK.

2. Individuare la sottochiave del Registro di sistema seguente:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319

3. Creare il valore DWORD seguente sotto questa chiave:

   SchUseStrongCrypto [Valore = 1]

4. Individuare la sottochiave del Registro di sistema seguente:

   HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319

5. Creare il valore DWORD seguente sotto questa chiave:

   SchUseStrongCrypto [Valore = 1]

6. Riavvia il sistema.

Metodo 2: modificare automaticamente il Registro di sistema

Eseguire lo script Windows PowerShell seguente in modalità amministratore per configurare automaticamente System Center in modo da utilizzare solo il protocollo TLS 1.2:

# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

Impostazioni aggiuntive

Dichiarazione di non responsabilità per i contatti di terze parti

Microsoft fornisce informazioni di contatto di terze parti per consentire all'utente di trovare altre informazioni su questo argomento. Queste informazioni sono soggette a modifiche senza preavviso. Microsoft non garantisce l'accuratezza delle informazioni di contatto di terze parti.