Ghidul de implementare a asistenței pentru protocolul TLS 1.2 pentru System Center 2016

Rezumat

Acest articol descrie cum se activează versiunea de protocol Transport Layer Security (TLS) 1.2 într-un mediu Microsoft System Center 2016.

Mai multe informații

Pentru a activa protocolul TLS versiunea 1.2 în mediul System Center, urmați acești pași:

1. Instalați actualizările de la lansare.
   
   Note

   • Servici Management Automation (SMA) și Service Provider Foundation (SPF) trebuie să facă upgrade la cel mai recent set de actualizări, deoarece UR4 nu are actualizări la aceste componente.

   • Pentru Service Management Automation (SMA), faceți upgrade la setul de actualizări 1 și, de asemenea, actualizați pachetul de gestionare SMA (MP) din această pagină web Microsoft Download Center.

   • Pentru Service Provider Foundation (SPF), faceți upgrade la setul de actualizări 2.

   • System Center Virtual Machine Manager (SCVMM) ar trebui să facă upgrade la cel puțin setul de actualizări 3.

2. Asigurați-vă că instalarea este la fel de funcțională ca înainte de a aplica actualizările. De exemplu, verificați dacă puteți porni consola.

3. Modificați setările de configurare pentru a activa TLS 1.2.

4. Asigurați-vă că toate serviciile SQL Server necesare rulează.

Setați Ca Windows să utilizeze doar TLS 1.2

Utilizați una dintre următoarele metode pentru a configura Windows să utilizeze doar protocolul TLS 1.2.

Metoda 1: Modificați manual registry

Important
Urmați pașii din această secțiune cu atenție. Dacă modificați incorect sistemul registry, pot apărea probleme grave. Înainte de a-l modifica, copiați de rezervă registry-ul în vederea restabilirii în cazul în care apar probleme.

Urmați acești pași pentru a activa/dezactiva toate protocoalele SCHANNEL la nivel de sistem. Vă recomandăm să activați protocolul TLS 1.2 pentru comunicațiile de intrare; și activați protocoalele TLS 1.2, TLS 1.1 și TLS 1.0 pentru toate comunicațiile de ieșire.

Notă Efectuarea acestor modificări de registry nu afectează utilizarea protocoalelor Kerberos sau NTLM.

1. Porniți editorul de registry. Pentru a face acest lucru, faceți clic dreapta pe Start, tastați regedit în caseta Rulare , apoi faceți clic pe OK.

2. Găsiți următoarea subcheie de registry:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

3. Faceți clic dreapta pe tasta Protocol , indicați spre Nou, apoi faceți clic pe Tastă.
   
   

4. Tastați SSL 3, apoi apăsați pe Enter.

5. Repetați pașii 3 și 4 pentru a crea chei pentru TLS 0, TLS 1.1 și TLS 1.2. Aceste chei seamănă cu directoarele.

6. Creați o cheie client și o cheie server sub fiecare dintre cheile SSL 3, TLS 1.0, TLS 1.1 și TLS 1.2 .

7. Pentru a activa un protocol, creați valoarea DWORD sub fiecare cheie Client și Server, după cum urmează:

   DisabledByDefault [Valoare = 0]
   Activat [Valoare = 1]
   Pentru a dezactiva un protocol, modificați valoarea DWORD sub fiecare cheie Client și Server, după cum urmează:

   DisabledByDefault [Valoare = 1]
   Activat [Valoare = 0]

8. În meniul Fișier, faceți clic pe Ieșire.

Metoda 2: Modificați automat registry

Rulați următorul script de Windows PowerShell în modul Administrator pentru a configura automat Windows să utilizeze doar protocolul TLS 1.2:

$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

Setați System Center să utilizeze doar TLS 1.2

Setați System Center să utilizeze doar protocolul TLS 1.2. Pentru a face acest lucru, asigurați-vă mai întâi că toate cerințele preliminare sunt îndeplinite. Apoi efectuați următoarele setări pentru componentele System Center și toate celelalte servere pe care sunt instalați agenții.

Utilizați una dintre următoarele metode.

Metoda 1: Modificați manual registry

Important
Urmați pașii din această secțiune cu atenție. Dacă modificați incorect sistemul registry, pot apărea probleme grave. Înainte de a-l modifica, copiați de rezervă registry-ul în vederea restabilirii în cazul în care apar probleme.

Pentru a activa instalarea pentru a accepta protocolul TLS 1.2, urmați acești pași:

1. Porniți editorul de registry. Pentru a face acest lucru, faceți clic dreapta pe Start, tastați regedit în caseta Rulare, apoi faceți clic pe OK.

2. Găsiți următoarea subcheie de registry:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319

3. Creați următoarea valoare DWORD sub această cheie:

   SchUseStrongCrypto [Valoare = 1]

4. Găsiți următoarea subcheie de registry:

   HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319

5. Creați următoarea valoare DWORD sub această cheie:

   SchUseStrongCrypto [Valoare = 1]

6. Reporniți sistemul.

Metoda 2: Modificați automat registry

Rulați următorul script de Windows PowerShell în modul Administrator pentru a configura automat System Center să utilizeze doar protocolul TLS 1.2:

# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

Setări suplimentare

Exonerare de răspundere pentru persoanele de contact terțe

Microsoft furnizează informații de contact de la terți pentru a vă ajuta să găsiți informații suplimentare despre acest subiect. Aceste informații de contact se pot modifica fără notificare prealabilă. Microsoft nu garantează acuratețea informațiilor de contact de la terți.