Guia de implantação de suporte ao protocolo TLS 1.2 para o System Center 2016

Resumo

Este artigo descreve como habilitar o protocolo TLS versão 1.2 em um ambiente do Microsoft System Center 2016.

Informações adicionais

Para habilitar o protocolo TLS versão 1.2 em seu ambiente do System Center, siga estas etapas:

1. Instale as atualizações da versão.
   
   Observações

   • O SMA (Service Management Automation) e o SPF (Service Provider Foundation) devem ser atualizados para o pacote cumulativo de atualizações mais recente porque o UR4 não tem nenhuma atualização para esses componentes.

   • Para o SMA (Service Management Automation), atualize para o Pacote Cumulativo de Atualizações 1 e também atualize o pacote de gerenciamento SMA (MP) desta página da Web do Centro de Download da Microsoft.

   • Para o SPF (Service Provider Foundation), atualize para o Pacote Cumulativo de Atualizações 2.

   • System Center Virtual Machine Manager (SCVMM) deve ser atualizado para pelo menos o Pacote Cumulativo de Atualizações 3.

2. Verifique se a configuração é tão funcional quanto antes de aplicar as atualizações. Por exemplo, verifique se você pode iniciar o console.

3. Altere as definições de configuração para habilitar o TLS 1.2.

4. Verifique se todos os serviços SQL Server necessários estão em execução.

Definir o Windows para usar apenas o TLS 1.2

Use um dos métodos a seguir para configurar o Windows para usar apenas o protocolo TLS 1.2.

Método 1: modificar manualmente o registro

Importante
Siga as etapas nesta seção com cuidado. Sérios problemas poderão ocorrer caso você modifique o Registro incorretamente. Antes de modificá-lo, faça backup do registro para restauração em caso de problemas.

Use as etapas a seguir para habilitar/desabilitar todos os protocolos SCHANNEL em todo o sistema. Recomendamos que você habilite o protocolo TLS 1.2 para comunicações de entrada; e habilite os protocolos TLS 1.2, TLS 1.1 e TLS 1.0 para todas as comunicações de saída.

Observação Fazer essas alterações no Registro não afeta o uso de protocolos Kerberos ou NTLM.

1. Inicie o Editor do Registro. Para fazer isso, clique com o botão direito do mouse em Iniciar, digite regedit na caixa Executar e clique em OK.

2. Localize a seguinte subchave do Registro:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

3. Clique com o botão direito do mouse na chave de protocolo, aponte para Novo e clique em Chave.
   
   

4. Digite SSL 3 e pressione Enter.

5. Repita as etapas 3 e 4 para criar chaves para TLS 0, TLS 1.1 e TLS 1.2. Essas chaves são semelhantes a diretórios.

6. Crie uma chave de cliente e uma chave de servidor em cada uma das chaves SSL 3, TLS 1.0, TLS 1.1 e TLS 1.2.

7. Para habilitar um protocolo, crie o valor DWORD em cada chave de Cliente e Servidor da seguinte maneira:

   DisabledByDefault [Valor = 0]
   Habilitado [Valor = 1]
   Para desabilitar um protocolo, altere o valor DWORD em cada chave cliente e servidor da seguinte maneira:

   DisabledByDefault [Valor = 1]
   Habilitado [Valor = 0]

8. No menu Arquivo, clique em Sair.

Método 2: modificar automaticamente o registro

Execute o seguinte script Windows PowerShell no modo Administrador para configurar automaticamente o Windows para usar apenas o protocolo TLS 1.2:

$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

Definir o System Center para usar apenas o TLS 1.2

Defina o System Center para usar apenas o protocolo TLS 1.2. Para fazer isso, primeiro verifique se todos os pré-requisitos foram atendidos. Em seguida, faça as seguintes configurações nos componentes do System Center e em todos os outros servidores nos quais os agentes estão instalados.

Use um dos métodos a seguir.

Método 1: modificar manualmente o registro

Importante
Siga as etapas nesta seção com cuidado. Sérios problemas poderão ocorrer caso você modifique o Registro incorretamente. Antes de modificá-lo, faça backup do registro para restauração em caso de problemas.

Para habilitar a instalação para dar suporte ao protocolo TLS 1.2, siga estas etapas:

1. Inicie o Editor do Registro. Para fazer isso, clique com o botão direito do mouse em Iniciar, digite regedit na caixa Executar e clique em OK.

2. Localize a seguinte subchave do Registro:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319

3. Crie o seguinte valor DWORD nesta chave:

   SchUseStrongCrypto [Valor = 1]

4. Localize a seguinte subchave do Registro:

   HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319

5. Crie o seguinte valor DWORD nesta chave:

   SchUseStrongCrypto [Valor = 1]

6. Reinicie o sistema.

Método 2: modificar automaticamente o registro

Execute o seguinte script Windows PowerShell no modo Administrador para configurar automaticamente o System Center para usar apenas o protocolo TLS 1.2:

# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

Configurações adicionais

Aviso de isenção de responsabilidade para contatos de terceiros

A Microsoft fornece informações de contato de terceiros para ajudá-lo a encontrar informações adicionais sobre esse tópico. Essas informações de contato podem ser alteradas sem aviso prévio. A Microsoft não garante a precisão das informações de contato de terceiros.