Implementatiehandleiding voor TLS 1.2-protocolondersteuning voor System Center 2012 R2

Samenvatting

In dit artikel wordt beschreven hoe u TLS-protocolversie 1.2 (Transport Layer Security) inschakelt in een Microsoft System Center 2012 R2-omgeving.

Meer informatie

Voer de volgende stappen uit om TLS-protocolversie 1.2 in te schakelen in uw System Center-omgeving:

1. Installeer updates uit de release.
   
   Notities

   • Installeer het meest recente updatepakket voor alle System Center-onderdelen voordat u Updatepakket 14 toepast.

     • Installeer updatepakket 13 voor Data Protection Manager en Virtual Machine Manager.

     • Installeer updatepakket 7 voor Service Management Automation.

     • Installeer updatepakket 8 voor System Center Orchestrator.

     • Installeer updatepakket 12 voor Service Provider Foundation.

     • Installeer updatepakket 9 voor Service Manager.

2. Zorg ervoor dat de installatie net zo functioneel is als voorheen voordat u de updates toepaste. Controleer bijvoorbeeld of u de console kunt starten.

3. Wijzig de configuratie-instellingen om TLS 1.2 in te schakelen.

4. Zorg ervoor dat alle vereiste SQL Server services worden uitgevoerd.

Instellen dat Windows alleen TLS 1.2 gebruikt

Gebruik een van de volgende methoden om Windows te configureren voor het gebruik van alleen het TLS 1.2-protocol.

Methode 1: Het register handmatig wijzigen

Gebruik de volgende stappen om alle SCHANNEL-protocollen systeembrede in- of uit te schakelen. U wordt aangeraden het TLS 1.2-protocol in te schakelen voor binnenkomende communicatie en de protocollen TLS 1.2, TLS 1.1 en TLS 1.0 in te schakelen voor alle uitgaande communicatie.

Opmerking Het aanbrengen van deze registerwijzigingen heeft geen invloed op het gebruik van Kerberos- of NTLM-protocollen.

1. De Register-editor starten. Hiervoor klikt u met de rechtermuisknop op Start, typt u regedit in het vak Uitvoeren en selecteert u OK.

2. Zoek de volgende registersubsleutel:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

3. Klik met de rechtermuisknop op de protocolsleutel , wijs Nieuw aan en klik vervolgens op Sleutel.
   
   

4. Typ SSL 3 en druk op Enter.

5. Herhaal stap 3 en 4 om sleutels te maken voor TLS 0, TLS 1.1 en TLS 1.2. Deze sleutels lijken op mappen.

6. Maak een clientsleutel en een serversleutel onder elk van de SSL 3-, TLS 1.0-, TLS 1.1- en TLS 1.2-sleutels .

7. Als u een protocol wilt inschakelen, maakt u de DWORD-waarde onder elke client- en serversleutel als volgt:

   DisabledByDefault [Waarde = 0]
   Ingeschakeld [Waarde = 1]
   Als u een protocol wilt uitschakelen, wijzigt u de DWORD-waarde onder elke client- en serversleutel als volgt:

   DisabledByDefault [Waarde = 1]
   Ingeschakeld [Waarde = 0]

8. Selecteer Afsluiten in het menu Bestand.

Methode 2: Het register automatisch wijzigen

Voer het volgende Windows PowerShell script uit in de beheerdersmodus om Windows automatisch te configureren voor het gebruik van alleen het TLS 1.2-protocol:

$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

System Center zo instellen dat alleen TLS 1.2 wordt gebruikt

Stel System Center in om alleen het TLS 1.2-protocol te gebruiken. Zorg er eerst voor dat aan alle vereisten wordt voldaan om dit te doen. Configureer vervolgens de volgende instellingen op System Center-onderdelen en alle andere servers waarop agents zijn geïnstalleerd.

Gebruik een van de volgende methoden.

Methode 1: Het register handmatig wijzigen

Voer de volgende stappen uit om de installatie in te schakelen ter ondersteuning van het TLS 1.2-protocol:

1. De Register-editor starten. Hiervoor klikt u met de rechtermuisknop op Start, typt u regedit in het vak Uitvoeren en selecteert u OK.

2. Zoek de volgende registersubsleutel:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319

3. Maak de volgende DWORD-waarde onder deze sleutel:

   SchUseStrongCrypto [Waarde = 1]

4. Zoek de volgende registersubsleutel:

   HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319

5. Maak de volgende DWORD-waarde onder deze sleutel:

   SchUseStrongCrypto [Waarde = 1]

6. Start het systeem opnieuw op.

Methode 2: Het register automatisch wijzigen

Voer het volgende Windows PowerShell script uit in de beheerdersmodus om System Center automatisch zo te configureren dat alleen het TLS 1.2-protocol wordt gebruikt:

# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

Aanvullende instellingen

Disclaimer van externe contactpersoon

Microsoft biedt contactgegevens van derden om u te helpen aanvullende informatie over dit onderwerp te vinden. Deze contactinformatie kan zonder voorafgaande kennisgeving worden gewijzigd. Microsoft biedt geen garantie voor de nauwkeurigheid van contactgegevens van derden.