TLS 1.2 Protocol Support Deployment Guide for System Center 2012 R2

Podsumowanie

W tym artykule opisano, jak włączyć protokół Transport Layer Security (TLS) w wersji 1.2 w środowisku programu Microsoft System Center 2012 R2.

Więcej informacji

Aby włączyć protokół TLS w wersji 1.2 w środowisku Programu System Center, wykonaj następujące czynności:

1. Zainstaluj aktualizacje od wersji.
   
   Notatki

   • Zainstaluj najnowszy pakiet zbiorczy aktualizacji dla wszystkich składników Programu System Center przed zastosowaniem pakietu zbiorczego aktualizacji 14.

     • W przypadku Menedżera ochrony danych i Menedżera maszyn wirtualnych zainstaluj pakiet zbiorczy aktualizacji 13.

     • Aby uzyskać automatyzację zarządzania usługami, zainstaluj pakiet zbiorczy aktualizacji 7.

     • W przypadku programu System Center Orchestrator zainstaluj pakiet zbiorczy aktualizacji 8.

     • W przypadku programu Service Provider Foundation zainstaluj pakiet zbiorczy aktualizacji 12.

     • W przypadku Service Manager zainstaluj pakiet zbiorczy aktualizacji 9.

2. Przed zastosowaniem aktualizacji upewnij się, że konfiguracja działa tak samo, jak wcześniej. Na przykład sprawdź, czy można uruchomić konsolę.

3. Zmień ustawienia konfiguracji , aby włączyć protokół TLS 1.2.

4. Upewnij się, że wszystkie wymagane usługi SQL Server są uruchomione.

Konfigurowanie systemu Windows do używania tylko protokołu TLS 1.2

Użyj jednej z następujących metod, aby skonfigurować system Windows do używania tylko protokołu TLS 1.2.

Metoda 1. Ręczne modyfikowanie rejestru

Wykonaj poniższe czynności, aby włączyć/wyłączyć wszystkie protokoły SCHANNEL w całym systemie. Zalecamy włączenie protokołu TLS 1.2 dla komunikacji przychodzącej i włączenie protokołów TLS 1.2, TLS 1.1 i TLS 1.0 dla całej komunikacji wychodzącej.

Uwaga 16. Wprowadzenie tych zmian w rejestrze nie ma wpływu na korzystanie z protokołów Kerberos ani NTLM.

1. Uruchom Edytor rejestru. W tym celu kliknij prawym przyciskiem myszy przycisk Start, wpisz polecenie regedit w polu Uruchom , a następnie wybierz przycisk OK.

2. Odszukaj następujący podklucz rejestru:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

3. Kliknij prawym przyciskiem myszy klawisz Protocol , wskaż pozycję Nowy, a następnie kliknij pozycję Klucz.
   
   

4. Wpisz SSL 3, a następnie naciśnij klawisz Enter.

5. Powtórz kroki 3 i 4, aby utworzyć klucze dla TLS 0, TLS 1.1 i TLS 1.2. Te klucze przypominają katalogi.

6. Utwórz klucz klienta i klucz serwera pod każdym z kluczy SSL 3, TLS 1.0, TLS 1.1 i TLS 1.2 .

7. Aby włączyć protokół, utwórz wartość DWORD pod każdym kluczem klienta i serwera w następujący sposób:

   DisabledByDefault [Wartość = 0]
   Włączony [Wartość = 1]
   Aby wyłączyć protokół, zmień wartość DWORD pod każdym kluczem klienta i serwera w następujący sposób:

   DisabledByDefault [Wartość = 1]
   Włączony [Wartość = 0]

8. W menu Plik wybierz pozycję Zakończ.

Metoda 2. Automatyczne modyfikowanie rejestru

Uruchom następujący skrypt Windows PowerShell w trybie administratora, aby automatycznie skonfigurować system Windows do używania tylko protokołu TLS 1.2:

$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

Konfigurowanie programu System Center do używania tylko protokołu TLS 1.2

Skonfiguruj program System Center tak, aby używał tylko protokołu TLS 1.2. Aby to zrobić, najpierw upewnij się, że wszystkie wymagania wstępne są spełnione. Następnie skonfiguruj następujące ustawienia w składnikach System Center i na wszystkich innych serwerach, na których są instalowani agenci.

Użyj jednej z następujących metod.

Metoda 1. Ręczne modyfikowanie rejestru

Aby włączyć instalację w celu obsługi protokołu TLS 1.2, wykonaj następujące czynności:

1. Uruchom Edytor rejestru. W tym celu kliknij prawym przyciskiem myszy przycisk Start, wpisz polecenie regedit w polu Uruchom, a następnie wybierz przycisk OK.

2. Odszukaj następujący podklucz rejestru:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319

3. Utwórz następującą wartość DWORD pod tym kluczem:

   SchUseStrongCrypto [Wartość = 1]

4. Odszukaj następujący podklucz rejestru:

   HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319

5. Utwórz następującą wartość DWORD pod tym kluczem:

   SchUseStrongCrypto [Wartość = 1]

6. Uruchom ponownie system.

Metoda 2. Automatyczne modyfikowanie rejestru

Uruchom następujący skrypt Windows PowerShell w trybie administratora, aby automatycznie skonfigurować program System Center do używania tylko protokołu TLS 1.2:

# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

Dodatkowe ustawienia

Zrzeczenie odpowiedzialności dotyczące kontaktów innych firm

Firma Microsoft udostępnia informacje kontaktowe innych firm ułatwiające znajdowanie dodatkowych informacji na ten temat. Informacje te mogą zostać zmienione bez powiadomienia. Firma Microsoft nie gwarantuje dokładności informacji kontaktowych innych firm.