Руководство по развертыванию поддержки протокола TLS 1.2 для System Center 2012 R2

Аннотация

В этой статье описывается включение протокола TLS версии 1.2 в среде Microsoft System Center 2012 R2.

Дополнительная информация

Чтобы включить протокол TLS версии 1.2 в среде System Center, выполните следующие действия.

1. Установите обновления из выпуска.
   
   Заметки

   • Установите последний накопительный пакет обновления для всех компонентов System Center, прежде чем применять накопительный пакет обновления 14.

     • Для Data Protection Manager и Virtual Machine Manager установите накопительный пакет обновления 13.

     • Для service Management Automation установите накопительный пакет обновления 7.

     • Для System Center Orchestrator установите накопительный пакет обновления 8.

     • Для Service Provider Foundation установите накопительный пакет обновления 12.

     • Для Service Manager установите накопительный пакет обновления 9.

2. Убедитесь, что настройка работает так же, как и до применения обновлений. Например, проверьте, можно ли запустить консоль.

3. Измените параметры конфигурации, чтобы включить TLS 1.2.

4. Убедитесь, что все необходимые SQL Server запущены.

Настройка Windows для использования только TLS 1.2

Используйте один из следующих методов, чтобы настроить Windows для использования только протокола TLS 1.2.

Метод 1. Изменение реестра вручную

Чтобы включить или отключить все протоколы SCHANNEL на уровне системы, выполните следующие действия. Рекомендуется включить протокол TLS 1.2 для входящих подключений и включить протоколы TLS 1.2, TLS 1.1 и TLS 1.0 для всех исходящих сообщений.

Примечание. Внесение этих изменений в реестр не влияет на использование протоколов Kerberos или NTLM.

1. Откройте редактор реестра. Для этого щелкните правой кнопкой мыши "Пуск", введите regedit в поле "Запуск" и нажмите кнопку "ОК".

2. Найдите следующий подраздел реестра:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

3. Щелкните правой кнопкой мыши ключ протокола , наведите указатель на пункт "Создать" и выберите пункт " Ключ".
   
   

4. Введите SSL 3 и нажмите клавишу ВВОД.

5. Повторите шаги 3 и 4, чтобы создать ключи для TLS 0, TLS 1.1 и TLS 1.2. Эти ключи похожи на каталоги.

6. Создайте ключ клиента и ключ сервера под каждым из ключей SSL 3, TLS 1.0, TLS 1.1 и TLS 1.2.

7. Чтобы включить протокол, создайте значение DWORD под каждым ключом клиента и сервера следующим образом:

   DisabledByDefault [значение = 0]
   Включено [значение = 1]
   Чтобы отключить протокол, измените значение DWORD под каждым ключом клиента и сервера следующим образом:

   DisabledByDefault [значение = 1]
   Включено [значение = 0]

8. В меню "Файл " выберите "Выйти".

Метод 2. Автоматическое изменение реестра

Выполните следующий Windows PowerShell в режиме администратора, чтобы автоматически настроить Windows для использования только протокола TLS 1.2:

$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

Настройка System Center для использования только TLS 1.2

Задайте System Center для использования только протокола TLS 1.2. Для этого сначала убедитесь, что выполнены все предварительные требования. Затем настройте следующие параметры для компонентов System Center и всех остальных серверов, на которых установлены агенты.

Используйте один из следующих методов.

Метод 1. Изменение реестра вручную

Чтобы включить установку для поддержки протокола TLS 1.2, выполните следующие действия.

1. Откройте редактор реестра. Для этого щелкните правой кнопкой мыши "Пуск", введите regedit в поле "Запуск" и нажмите кнопку "ОК".

2. Найдите следующий подраздел реестра:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319

3. Создайте следующее значение DWORD под этим ключом:

   SchUseStrongCrypto [Значение = 1]

4. Найдите следующий подраздел реестра:

   HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319

5. Создайте следующее значение DWORD под этим ключом:

   SchUseStrongCrypto [Значение = 1]

6. Перезапустите систему.

Метод 2. Автоматическое изменение реестра

Выполните следующий Windows PowerShell в режиме администратора, чтобы автоматически настроить System Center для использования только протокола TLS 1.2:

# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

Дополнительные параметры

Заявление об отказе от ответственности за контактные данные сторонней организации

Корпорация Майкрософт предоставляет контактные данные сторонней организации для оказания помощи пользователям по вопросам, упомянутым в данной статье. Эти данные могут быть изменены без предварительного уведомления. Корпорация Майкрософт не дает гарантий относительно верности приведенных контактных данных сторонних организаций.