Руководство по развертыванию поддержки протокола TLS 1.2 для System Center 2016

Применяется к

.NET Framework 4.6.2 System Center 2016 Data Protection Manager System Center 2016 Operations Manager System Center 2016 Virtual Machine Manager System Center Service Management Automation, version 1807 System Center Service Provider Foundation, version 1807

Сводка

В этой статье описывается, как включить протокол TLS версии 1.2 в среде Microsoft System Center 2016.

Дополнительные сведения

Чтобы включить протокол TLS версии 1.2 в среде System Center, выполните следующие действия.

Установите обновления из выпуска.

Примечания
- Автоматизация управления службами (SMA) и Service Provider Foundation (SPF) должны быть обновлены до последнего накопительного пакета обновления, так как ur4 не содержит обновлений для этих компонентов.
- Для автоматизации управления службами (SMA) выполните обновление до накопительного пакета обновления 1, а также обновите пакет управления SMA (MP) с этой веб-страницы Центра загрузки Майкрософт.
- Для Service Provider Foundation (SPF) выполните обновление до накопительного пакета обновления 2.
- System Center Virtual Machine Manager (SCVMM) следует обновить по крайней мере до накопительного пакета обновления 3.
Перед применением обновлений убедитесь, что настройка работает так же, как и раньше. Например, проверка, можно ли запустить консоль.
Измените параметры конфигурации , чтобы включить TLS 1.2.
Убедитесь, что все необходимые службы SQL Server запущены.

Установите обновления

Действие обновления	SCOM¹	SCVMM²	SCDPM³	SCO⁴	SMA⁵	SPF⁶	SM⁷
Убедитесь, что установлены все текущие обновления для системы безопасности для Windows Server 2012 R2 или Windows Server 2016	Да	Да	Да	Да	Да	Да	Да
Убедитесь, что платформа .NET Framework 4.6 установлен на всех компонентах System Center.	Да	Да	Да	Да	Да	Да	Да
Установите необходимое обновление SQL Server, поддерживающее TLS 1.2.	Да	Да	Да	Да	Да	Да	Да
Установка необходимых обновлений System Center 2016	Да	Нет	Да	Да	Нет	Нет	Да
Убедитесь, что сертификаты, подписанные ЦС, являются sha1 или SHA2.	Да	Да	Да	Да	Да	Да	Да

¹ System Center Operations Manager (SCOM)
² System Center Virtual Machine Manager (SCVMM)
³ System Center Data Protection Manager (SCDPM)
⁴ System Center Orchestrator (SCO)
⁵ Автоматизация управления службами (SMA)
⁶ Service Provider Foundation (SPF)
⁷ Service Manager (SM)

Изменение параметров конфигурации

Обновление конфигурации	SCOM¹	SCVMM²	SCDPM³	SCO⁴	SMA⁵	SPF⁶	SM⁷
Настройка в Windows для использования только протокола TLS 1.2	Да	Да	Да	Да	Да	Да	Да
Параметр в System Center для использования только протокола TLS 1.2	Да	Да	Да	Да	Да	Да	Да
Дополнительные параметры	Да	Нет	Да	Да	Нет	Нет	Нет

.NET Framework

Убедитесь, что платформа .NET Framework 4.6 установлен на всех компонентах System Center. Для этого следуйте этим инструкциям.

Поддержка TLS 1.2

Установите необходимое SQL Server обновление, поддерживающее TLS 1.2. Для этого ознакомьтесь со следующей статьей в базе знаний Майкрософт:

3135244 поддержка TLS 1.2 для Microsoft SQL Server

Обязательные обновления System Center 2016

SQL Server 2012 собственный клиент 11.0 должен быть установлен во всех следующих компонентах System Center.

Компонент	Роль	Обязательный драйвер SQL
Operations Manager	Сервер управления и веб-консоли	SQL Server 2012 Native Client 11.0 или Microsoft OLE DB Driver 18 для SQL Server (рекомендуется). Примечание Microsoft OLE DB Driver 18 for SQL Server поддерживается в Operations Manager 2016 UR9 и более поздних версиях.
Virtual Machine Manager	(Не требуется)	(Не требуется)
Orchestrator	Сервер управления	SQL Server 2012 Native Client 11.0 или Microsoft OLE DB Driver 18 для SQL Server (рекомендуется). Примечание Драйвер Microsoft OLE DB 18 для SQL Server поддерживается в Orchestrator 2016 UR8 и более поздних версиях.
Data Protection Manager	Сервер управления	SQL Server 2012 Native Client 11.0
Service Manager	Сервер управления	SQL Server 2012 Native Client 11.0 или Microsoft OLE DB Driver 18 для SQL Server (рекомендуется). Примечание Microsoft OLE DB Driver 18 for SQL Server поддерживается с Service Manager 2016 UR9 и более поздних версий.

Сведения о том, как скачать и установить Microsoft SQL Server 2012 Native Client 11.0, см. на этой веб-странице Центра загрузки Майкрософт.

Сведения о том, как скачать и установить Microsoft OLE DB Driver 18, см. на этой веб-странице Центра загрузки Майкрософт.

Для System Center Operations Manager и Service Manager на всех серверах управления необходимо установить ODBC 11.0 или ODBC 13.0.

Установите необходимые обновления System Center 2016 из следующей статьи базы знаний:

4043305 описание накопительного пакета обновления 4 для Microsoft System Center 2016

Компонент	2016
Operations Manager	Накопительный пакет обновления 4 для System Center 2016 Operations Manager
Service Manager	Накопительный пакет обновления 4 для System Center 2016 Service Manager
Orchestrator	Накопительный пакет обновления 4 для System Center 2016 Orchestrator
Data Protection Manager	Накопительный пакет обновления 4 для System Center 2016 Data Protection Manager

Примечание Обязательно разверните содержимое файла и установите MSP-файл на соответствующую роль.

Сертификаты SHA1 и SHA2

Теперь компоненты System Center создают самозаверяющие сертификаты SHA1 и SHA2. Это необходимо для включения TLS 1.2. Если используются сертификаты, подписанные ЦС, убедитесь, что они имеют значение SHA1 или SHA2.

Настройка windows для использования только TLS 1.2

Используйте один из следующих методов, чтобы настроить Windows для использования только протокола TLS 1.2.

Способ 1. Изменение реестра вручную

Важно
Будьте внимательны, выполняя действия, описанные в этом разделе. Ошибки при изменении реестра могут привести к серьезным проблемам. Перед изменением создайте резервную копию реестра для восстановления в случае возникновения проблем.

Выполните следующие действия, чтобы включить или отключить все протоколы SCHANNEL в масштабах всей системы. Рекомендуется включить протокол TLS 1.2 для входящих сообщений. и включите протоколы TLS 1.2, TLS 1.1 и TLS 1.0 для всех исходящих сообщений.

Примечание Внесение этих изменений в реестр не влияет на использование протоколов Kerberos или NTLM.

Запустите редактор реестра. Для этого щелкните правой кнопкой мыши пуск, введите regedit в поле Выполнить и нажмите кнопку ОК.
Найдите следующий подраздел реестра:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols
Щелкните правой кнопкой мыши ключ протокола , наведите указатель на пункт Создать и выберите пункт Ключ.
Введите SSL 3 и нажмите клавишу ВВОД.
Повторите шаги 3 и 4, чтобы создать ключи для TLS 0, TLS 1.1 и TLS 1.2. Эти ключи похожи на каталоги.
Создайте ключ клиента и ключ сервера в каждом из ключей SSL 3, TLS 1.0, TLS 1.1 и TLS 1.2 .
Чтобы включить протокол, создайте значение DWORD в каждом ключе клиента и сервера следующим образом:
DisabledByDefault [Value = 0]
Включено [значение = 1]
Чтобы отключить протокол, измените значение DWORD в каждом ключе клиента и сервера следующим образом:
DisabledByDefault [Value = 1]
Включено [Значение = 0]
В меню Файл выберите команду Выйти.

Способ 2. Автоматическое изменение реестра

Выполните следующий скрипт Windows PowerShell в режиме администратора, чтобы автоматически настроить Windows для использования только протокола TLS 1.2:


$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

Настройка System Center для использования только TLS 1.2

Настройте System Center для использования только протокола TLS 1.2. Для этого сначала убедитесь, что выполнены все предварительные требования. Затем внесите следующие параметры в компоненты System Center и все остальные серверы, на которых установлены агенты.

Используйте один из следующих методов.

Способ 1. Изменение реестра вручную

Чтобы включить установку для поддержки протокола TLS 1.2, выполните следующие действия.

Запустите редактор реестра. Для этого щелкните правой кнопкой мыши пуск, введите regedit в поле Выполнить и нажмите кнопку ОК.
Найдите следующий подраздел реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319
Создайте следующее значение DWORD под этим ключом:
SchUseStrongCrypto [Value = 1]
Найдите следующий подраздел реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319
Создайте следующее значение DWORD под этим ключом:
SchUseStrongCrypto [Value = 1]
Перезапустите систему.

Способ 2. Автоматическое изменение реестра

Выполните следующий скрипт Windows PowerShell в режиме администратора, чтобы автоматически настроить System Center на использование только протокола TLS 1.2:


# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

Дополнительные параметры

Operations Manager

Пакеты управления

Импорт пакетов управления для System Center 2016 Operations Manager. После установки обновления сервера они находятся в следующем каталоге:

\Program Files\Microsoft System Center 2016\Operations Manager\Server\Management Packs for Update Rollups

Параметры ACS

Для служб аудита коллекции (ACS) необходимо внести дополнительные изменения в реестр. ACS использует dsn для подключения к базе данных. Необходимо обновить параметры DSN, чтобы сделать их функциональными для TLS 1.2.

Найдите следующий подраздел для ODBC в реестре.

Примечание Имя DSN по умолчанию — OpsMgrAC.
В подразделе Источники данных ODBC выберите запись для имени DSN OpsMgrAC. Он содержит имя драйвера ODBC, который будет использоваться для подключения к базе данных. Если у вас установлен ODBC 11.0, измените это имя на ODBC Driver 11 для SQL Server. Или, если у вас установлен ODBC 13.0, измените это имя на ODBC Driver 13 для SQL Server.
В подразделе OpsMgrAC обновите запись Driver для установленной версии ODBS.
- Если установлен ODBC 11.0, измените запись Driver на %WINDIR%\system32\msodbcsql11.dll.
- Если установлен ODBC 13.0, измените запись Driver на %WINDIR%\system32\msodbcsql13.dll.
- Кроме того, создайте и сохраните следующий файл .reg в Блокноте или другом текстовом редакторе. Чтобы запустить сохраненный файл .reg, дважды щелкните его.
  
  Для ODBC 11.0 создайте следующий файл 11.0.reg ODBC:
  [источники данных HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\ODBC] "OpsMgrAC"="ODBC Driver 11 for SQL Server" [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC] [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC] "Driver"="%WINDIR%\\system32\\msodbcsql11.dll"
  
  Для ODBC 13.0 создайте следующий 13.0.reg файл ODBC:
  [источники данных HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\ODBC] "OpsMgrAC"="ODBC Driver 13 for SQL Server" [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC] [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC] "Driver"="%WINDIR%\\system32\\msodbcsql13.dll"

Усиление защиты TLS в Linux

Следуйте инструкциям на соответствующем веб-сайте, чтобы настроить TLS 1.2 в среде Red Hat или Apache .

Data Protection Manager

Чтобы включить Data Protection Manager для совместной работы с TLS 1.2 для резервного копирования в облако, включите эти действия на сервере Data Protection Manager.

Orchestrator

После установки обновлений Orchestrator перенастройте базу данных Orchestrator, используя существующую базу данных в соответствии с этими рекомендациями.

Заявление об отказе от ответственности для сторонних контактов

Корпорация Майкрософт предоставляет сторонние контактные данные, чтобы помочь вам найти дополнительные сведения по этой теме. Эти контактные данные могут меняться без уведомления. Корпорация Майкрософт не гарантирует точность контактной информации сторонних поставщиков.