TLS 1.2 Protocol Support Deployment Guide for System Center 2016

Podsumowanie

W tym artykule opisano, jak włączyć protokół Transport Layer Security (TLS) w wersji 1.2 w środowisku programu Microsoft System Center 2016.

Więcej informacji

Aby włączyć protokół TLS w wersji 1.2 w środowisku Programu System Center, wykonaj następujące czynności:

1. Zainstaluj aktualizacje od wersji.
   
   Notatki

   • Automatyzacja zarządzania usługami (SMA) i SPF (Service Provider Foundation) muszą zostać uaktualnione do najnowszego pakietu zbiorczego aktualizacji, ponieważ usługa UR4 nie zawiera żadnych aktualizacji tych składników.

   • W przypadku automatyzacji zarządzania usługami (SMA), uaktualnienia do pakietu zbiorczego aktualizacji 1, a także aktualizacji pakietu zarządzania SMA (MP) z tej strony internetowej Centrum pobierania Microsoft.

   • W przypadku programu Service Provider Foundation (SPF) uaktualnij do pakietu zbiorczego aktualizacji 2.

   • System Center Virtual Machine Manager (SCVMM) należy uaktualnić do co najmniej pakietu zbiorczego aktualizacji 3.

2. Przed zastosowaniem aktualizacji upewnij się, że konfiguracja działa tak samo, jak wcześniej. Na przykład sprawdź, czy można uruchomić konsolę.

3. Zmień ustawienia konfiguracji , aby włączyć protokół TLS 1.2.

4. Upewnij się, że wszystkie wymagane usługi SQL Server są uruchomione.

Konfigurowanie systemu Windows do używania tylko protokołu TLS 1.2

Użyj jednej z następujących metod, aby skonfigurować system Windows do używania tylko protokołu TLS 1.2.

Metoda 1. Ręczne modyfikowanie rejestru

Ważne
Postępuj zgodnie z instrukcjami w tej sekcji. Niepoprawne zmodyfikowanie rejestru może być przyczyną poważnych problemów. Zanim go zmodyfikujesz, wykonaj kopię zapasową rejestru, aby przywrócić go w przypadku wystąpienia problemów.

Wykonaj poniższe czynności, aby włączyć/wyłączyć wszystkie protokoły SCHANNEL w całym systemie. Zalecamy włączenie protokołu TLS 1.2 dla komunikacji przychodzącej. i włącz protokoły TLS 1.2, TLS 1.1 i TLS 1.0 dla całej komunikacji wychodzącej.

Uwaga 16. Wprowadzenie tych zmian w rejestrze nie ma wpływu na korzystanie z protokołów Kerberos ani NTLM.

1. Uruchom Edytor rejestru. W tym celu kliknij prawym przyciskiem myszy przycisk Start, wpisz polecenie regedit w polu Uruchom , a następnie kliknij przycisk OK.

2. Odszukaj następujący podklucz rejestru:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

3. Kliknij prawym przyciskiem myszy klawisz Protocol , wskaż pozycję Nowy, a następnie kliknij pozycję Klucz.
   
   

4. Wpisz SSL 3, a następnie naciśnij klawisz Enter.

5. Powtórz kroki 3 i 4, aby utworzyć klucze dla TLS 0, TLS 1.1 i TLS 1.2. Te klucze przypominają katalogi.

6. Utwórz klucz klienta i klucz serwera pod każdym z kluczy SSL 3, TLS 1.0, TLS 1.1 i TLS 1.2 .

7. Aby włączyć protokół, utwórz wartość DWORD pod każdym kluczem klienta i serwera w następujący sposób:

   DisabledByDefault [Wartość = 0]
   Włączony [Wartość = 1]
   Aby wyłączyć protokół, zmień wartość DWORD pod każdym kluczem klienta i serwera w następujący sposób:

   DisabledByDefault [Wartość = 1]
   Włączony [Wartość = 0]

8. W menu Plik kliknij polecenie Zakończ.

Metoda 2. Automatyczne modyfikowanie rejestru

Uruchom następujący skrypt Windows PowerShell w trybie administratora, aby automatycznie skonfigurować system Windows do używania tylko protokołu TLS 1.2:

$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

Konfigurowanie programu System Center do używania tylko protokołu TLS 1.2

Skonfiguruj program System Center tak, aby używał tylko protokołu TLS 1.2. Aby to zrobić, najpierw upewnij się, że wszystkie wymagania wstępne są spełnione. Następnie wprowadź następujące ustawienia w składnikach System Center i na wszystkich innych serwerach, na których są instalowani agenci.

Użyj jednej z następujących metod.

Metoda 1. Ręczne modyfikowanie rejestru

Ważne
Postępuj zgodnie z instrukcjami w tej sekcji. Niepoprawne zmodyfikowanie rejestru może być przyczyną poważnych problemów. Zanim go zmodyfikujesz, wykonaj kopię zapasową rejestru, aby przywrócić go w przypadku wystąpienia problemów.

Aby włączyć instalację w celu obsługi protokołu TLS 1.2, wykonaj następujące czynności:

1. Uruchom Edytor rejestru. W tym celu kliknij prawym przyciskiem myszy przycisk Start, wpisz polecenie regedit w polu Uruchom, a następnie kliknij przycisk OK.

2. Odszukaj następujący podklucz rejestru:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319

3. Utwórz następującą wartość DWORD pod tym kluczem:

   SchUseStrongCrypto [Wartość = 1]

4. Odszukaj następujący podklucz rejestru:

   HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319

5. Utwórz następującą wartość DWORD pod tym kluczem:

   SchUseStrongCrypto [Wartość = 1]

6. Uruchom ponownie system.

Metoda 2. Automatyczne modyfikowanie rejestru

Uruchom następujący skrypt Windows PowerShell w trybie administratora, aby automatycznie skonfigurować program System Center do używania tylko protokołu TLS 1.2:

# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

Dodatkowe ustawienia

Zrzeczenie odpowiedzialności dotyczące kontaktów innych firm

Firma Microsoft udostępnia informacje kontaktowe innych firm ułatwiające znajdowanie dodatkowych informacji na ten temat. Informacje te mogą zostać zmienione bez powiadomienia. Firma Microsoft nie gwarantuje dokładności informacji kontaktowych innych firm.