Guia de Implementação do Suporte do Protocolo TLS 1.2 para System Center 2016

Resumo

Este artigo descreve como ativar a versão 1.2 do protocolo Transport Layer Security (TLS) num ambiente do Microsoft System Center 2016.

Mais Informações

Para ativar a versão 1.2 do protocolo TLS no seu ambiente do System Center, siga estes passos:

1. Instale atualizações do lançamento.
   
   Notas

   • A Automatização de Gestão de Serviços (SMA) e o Service Provider Foundation (SPF) têm de ser atualizados para a atualização mais recente, uma vez que o UR4 não tem atualizações para estes componentes.

   • Para o Service Management Automation (SMA), atualize para o Rollup 1 de Atualização e atualize também o pacote de gestão SMA (MP) a partir desta página Web do Centro de Transferências da Microsoft.

   • Para o Service Provider Foundation (SPF), atualize para o Rollup 2 de Atualização.

   • System Center Virtual Machine Manager (SCVMM) deve ser atualizado para, pelo menos, Atualizar Rollup 3.

2. Certifique-se de que a configuração está tão funcional como antes de ter aplicado as atualizações. Por exemplo, verifique se pode iniciar a consola.

3. Altere as definições de configuração para ativar o TLS 1.2.

4. Certifique-se de que estão a ser SQL Server serviços necessários.

Definir o Windows para utilizar apenas TLS 1.2

Utilize um dos seguintes métodos para configurar o Windows para utilizar apenas o protocolo TLS 1.2.

Método 1: modificar manualmente o registo

Importante
Siga cuidadosamente os passos nesta secção. Poderão ocorrer problemas graves se modificar o registo de forma incorreta. Antes de o modificar, faça uma cópia de segurança do registo para o restaurar caso ocorram problemas.

Utilize os seguintes passos para ativar/desativar todos os protocolos SCHANNEL ao nível do sistema. Recomendamos que ative o protocolo TLS 1.2 para comunicações recebidas; e ative os protocolos TLS 1.2, TLS 1.1 e TLS 1.0 para todas as comunicações de saída.

Note Efetuar estas alterações de registo não afeta a utilização de protocolos Kerberos ou NTLM.

1. Inicie o Editor de Registo. Para fazê-lo, clique com o botão direito do rato em Iniciar, escreva regedit na caixa Executar e, em seguida, clique em OK.

2. Localize a seguinte subconsciente de registo:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

3. Clique com o botão direito do rato na tecla Protocol, aponte para Novo e, em seguida, clique em Chave.
   
   

4. Escreva SSL 3 e, em seguida, prima Enter.

5. Repita os passos 3 e 4 para criar teclas para o TLS 0, TLS 1.1 e TLS 1.2. Estas chaves assemellham-se a diretórios.

6. Crie uma chave Cliente e uma chave Servidor em cada uma das teclas SSL 3, TLS 1.0, TLS 1.1 e TLS 1.2 .

7. Para ativar um protocolo, crie o valor DWORD em cada chave Cliente e Servidor da seguinte forma:

   DisabledByDefault [Value = 0]
   Ativado [Valor = 1]
   Para desativar um protocolo, altere o valor DWORD em cada chave Cliente e Servidor da seguinte forma:

   DisabledByDefault [Valor = 1]
   Ativado [Valor = 0]

8. No menu Ficheiro , clique em Sair.

Método 2: modificar automaticamente o registo

Execute o seguinte script Windows PowerShell no modo Administrador para configurar automaticamente o Windows para utilizar apenas o Protocolo TLS 1.2:

$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

Definir o System Center para utilizar apenas TLS 1.2

Defina o System Center para utilizar apenas o protocolo TLS 1.2. Para o fazer, primeiro certifique-se de que todos os pré-requisitos são cumpridos. Em seguida, faça as seguintes definições nos componentes do System Center e em todos os outros servidores nos quais os agentes estão instalados.

Utilize um dos seguintes métodos.

Método 1: modificar manualmente o registo

Importante
Siga cuidadosamente os passos nesta secção. Poderão ocorrer problemas graves se modificar o registo de forma incorreta. Antes de o modificar, faça uma cópia de segurança do registo para o restaurar caso ocorram problemas.

Para ativar a instalação para suportar o protocolo TLS 1.2, siga estes passos:

1. Inicie o Editor de Registo. Para fazê-lo, clique com o botão direito do rato em Iniciar, escreva regedit na caixa Executar e, em seguida, clique em OK.

2. Localize a seguinte subconsciente de registo:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319

3. Crie o seguinte valor DWORD abaixo desta chave:

   SchUseStrongCrypto [Valor = 1]

4. Localize a seguinte subconsciente de registo:

   HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319

5. Crie o seguinte valor DWORD abaixo desta chave:

   SchUseStrongCrypto [Valor = 1]

6. Reinicie o sistema.

Método 2: modificar automaticamente o registo

Execute o seguinte script Windows PowerShell no modo Administrador para configurar automaticamente o System Center para utilizar apenas o Protocolo TLS 1.2:

# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

Definições adicionais

Exclusão de exclusão de licite de contacto de terceiros

A Microsoft fornece informações de contacto de terceiros para o ajudar a encontrar informações adicionais sobre este tópico. Estas informações de contacto poderão ser alteradas sem aviso prévio. A Microsoft não garante a precisão das informações de contacto de terceiros.