Implementatiehandleiding voor TLS 1.2-protocolondersteuning voor System Center 2016

Samenvatting

In dit artikel wordt beschreven hoe u TLS-protocolversie 1.2 (Transport Layer Security) inschakelt in een Microsoft System Center 2016-omgeving.

Meer informatie

Voer de volgende stappen uit om TLS-protocolversie 1.2 in te schakelen in uw System Center-omgeving:

1. Installeer updates uit de release.
   
   Notities

   • Service Management Automation (SMA) en Service Provider Foundation (SPF) moeten worden bijgewerkt naar hun meest recente updatepakket, omdat UR4 geen updates voor deze onderdelen heeft.

   • Voor Service Management Automation (SMA) voert u een upgrade uit naar Update Rollup 1 en werkt u ook het SMA-management pack (MP) bij vanaf deze microsoft downloadcentrum-webpagina.

   • Voer voor Service Provider Foundation (SPF) een upgrade uit naar updatepakket 2.

   • System Center Virtual Machine Manager (SCVMM) moet worden bijgewerkt naar ten minste updatepakket 3.

2. Zorg ervoor dat de installatie net zo functioneel is als voorheen voordat u de updates toepaste. Controleer bijvoorbeeld of u de console kunt starten.

3. Wijzig de configuratie-instellingen om TLS 1.2 in te schakelen.

4. Zorg ervoor dat alle vereiste SQL Server services worden uitgevoerd.

Instellen dat Windows alleen TLS 1.2 gebruikt

Gebruik een van de volgende methoden om Windows te configureren voor het gebruik van alleen het TLS 1.2-protocol.

Methode 1: Het register handmatig wijzigen

Belangrijk
Volg de stappen in deze sectie zorgvuldig. Als u het register onjuist bewerkt, kunnen er grote problemen optreden. Voordat u het wijzigt, maakt u een back-up van het register voor herstel als er problemen optreden.

Gebruik de volgende stappen om alle SCHANNEL-protocollen systeembrede in- of uit te schakelen. U wordt aangeraden het TLS 1.2-protocol in te schakelen voor binnenkomende communicatie; en schakel de protocollen TLS 1.2, TLS 1.1 en TLS 1.0 in voor alle uitgaande communicatie.

Opmerking Het aanbrengen van deze registerwijzigingen heeft geen invloed op het gebruik van Kerberos- of NTLM-protocollen.

1. De Register-editor starten. Klik hiervoor met de rechtermuisknop op Start, typ regedit in het vak Uitvoeren en klik op OK.

2. Zoek de volgende registersubsleutel:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

3. Klik met de rechtermuisknop op de protocolsleutel , wijs Nieuw aan en klik vervolgens op Sleutel.
   
   

4. Typ SSL 3 en druk op Enter.

5. Herhaal stap 3 en 4 om sleutels te maken voor TLS 0, TLS 1.1 en TLS 1.2. Deze sleutels lijken op mappen.

6. Maak een clientsleutel en een serversleutel onder elk van de SSL 3-, TLS 1.0-, TLS 1.1- en TLS 1.2-sleutels .

7. Als u een protocol wilt inschakelen, maakt u de DWORD-waarde onder elke client- en serversleutel als volgt:

   DisabledByDefault [Waarde = 0]
   Ingeschakeld [Waarde = 1]
   Als u een protocol wilt uitschakelen, wijzigt u de DWORD-waarde onder elke client- en serversleutel als volgt:

   DisabledByDefault [Waarde = 1]
   Ingeschakeld [Waarde = 0]

8. Klik in het menu Bestand op Afsluiten.

Methode 2: Het register automatisch wijzigen

Voer het volgende Windows PowerShell script uit in de beheerdersmodus om Windows automatisch te configureren voor het gebruik van alleen het TLS 1.2-protocol:

$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

System Center zo instellen dat alleen TLS 1.2 wordt gebruikt

Stel System Center in om alleen het TLS 1.2-protocol te gebruiken. Zorg er eerst voor dat aan alle vereisten wordt voldaan om dit te doen. Maak vervolgens de volgende instellingen op System Center-onderdelen en alle andere servers waarop agents zijn geïnstalleerd.

Gebruik een van de volgende methoden.

Methode 1: Het register handmatig wijzigen

Belangrijk
Volg de stappen in deze sectie zorgvuldig. Als u het register onjuist bewerkt, kunnen er grote problemen optreden. Voordat u het wijzigt, maakt u een back-up van het register voor herstel als er problemen optreden.

Voer de volgende stappen uit om de installatie in te schakelen ter ondersteuning van het TLS 1.2-protocol:

1. De Register-editor starten. Klik hiervoor met de rechtermuisknop op Start, typ regedit in het vak Uitvoeren en klik op OK.

2. Zoek de volgende registersubsleutel:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319

3. Maak de volgende DWORD-waarde onder deze sleutel:

   SchUseStrongCrypto [Waarde = 1]

4. Zoek de volgende registersubsleutel:

   HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319

5. Maak de volgende DWORD-waarde onder deze sleutel:

   SchUseStrongCrypto [Waarde = 1]

6. Start het systeem opnieuw op.

Methode 2: Het register automatisch wijzigen

Voer het volgende Windows PowerShell script uit in de beheerdersmodus om System Center automatisch zo te configureren dat alleen het TLS 1.2-protocol wordt gebruikt:

# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

Aanvullende instellingen

Disclaimer van externe contactpersoon

Microsoft biedt contactgegevens van derden om u te helpen aanvullende informatie over dit onderwerp te vinden. Deze contactinformatie kan zonder voorafgaande kennisgeving worden gewijzigd. Microsoft biedt geen garantie voor de nauwkeurigheid van contactgegevens van derden.