Príručka nasadenia protokolu TLS 1.2 pre System Center 2016

Súhrn

Tento článok popisuje, ako povoliť protokol TLS (Transport Layer Security) verzie 1.2 v prostredí Microsoft System Center 2016.

Ďalšie informácie

Ak chcete povoliť protokol TLS verzie 1.2 v prostredí System Center, postupujte takto:

1. Nainštalujte aktualizácie z vydania.
   
   Poznámky

   • Service Management Automation (SMA) a Service Provider Foundation (SPF) musia byť inovované na ich najnovšiu súhrnnú aktualizáciu, pretože ur4 nemá žiadne aktualizácie týchto súčastí.

   • V prípade automatizácie správy služieb (SMA) vykonajte inováciu na aktualizáciu súhrnnej aktualizácie 1 a tiež aktualizujte balík správy SMA (MP) z tejto webovej stránky Centra sťahovania softvéru spoločnosti Microsoft.

   • V prípade služby Service Provider Foundation (SPF) vykonajte inováciu na súhrnnú aktualizáciu 2.

   • System Center Virtual Machine Manager (SCVMM) by sa mal inovovať aspoň na súhrnnú aktualizáciu 3.

2. Uistite sa, že nastavenie je rovnako funkčné ako predtým, než ste použili aktualizácie. Skontrolujte napríklad, či môžete konzolu spustiť.

3. Zmeňte nastavenia konfigurácie tak, aby sa povolil protokol TLS 1.2.

4. Skontrolujte, či sú spustené všetky požadované SQL Server služby.

Nastavenie Windowsu na používanie iba TLS 1.2

Ak chcete nakonfigurovať Windows tak, aby používal iba protokol TLS 1.2, použite jeden z nasledujúcich postupov.

Metóda 1: Manuálna úprava databázy Registry

Dôležité
Postupujte opatrne podľa krokov v tejto časti. Ak databázu Registry upravíte nesprávne, môžu nastať vážne problémy. Pred vykonaním úprav zálohujte databázu Registry na obnovenie v prípade výskytu problémov.

Ak chcete povoliť alebo zakázať všetky protokoly SCHANNEL v celom systéme, postupujte podľa nasledujúcich krokov. Odporúčame povoliť protokol TLS 1.2 pre prichádzajúcu komunikáciu. a povoliť protokoly TLS 1.2, TLS 1.1 a TLS 1.0 pre všetky odchádzajúce komunikácie.

Poznámka: Vykonanie týchto zmien v databáze Registry nemá vplyv na používanie protokolov Kerberos alebo NTLM.

1. Spustite Editor databázy Registry. Ak to chcete urobiť, kliknite pravým tlačidlom myši na tlačidlo Štart, do poľa Spustiť zadajte príkaz regedit a potom kliknite na tlačidlo OK.

2. Vyhľadajte nasledujúci podkľúč databázy Registry:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

3. Kliknite pravým tlačidlom myši na kláves Protocol , ukážte na položku Nové a potom kliknite na položku Kľúč.
   
   

4. Zadajte SSL 3 a potom stlačte kláves Enter.

5. Zopakujte kroky 3 a 4 a vytvorte kľúče pre TLS 0, TLS 1.1 a TLS 1.2. Tieto kľúče pripomínajú adresáre.

6. Vytvorte kľúč klienta a kľúč servera pod každým kľúčom SSL 3, TLS 1.0, TLS 1.1 a TLS 1.2 .

7. Ak chcete povoliť protokol, vytvorte hodnotu DWORD pod každým kľúčom klienta a servera takto:

   DisabledByDefault [Hodnota = 0]
   Povolené [Hodnota = 1]
   Ak chcete vypnúť protokol, zmeňte hodnotu DWORD pod každým kľúčom klienta a servera takto:

   DisabledByDefault [Hodnota = 1]
   Povolené [Hodnota = 0]

8. V ponuke Súbor kliknite na tlačidlo Skončiť.

Metóda 2: Automatická úprava databázy Registry

Spustením nasledujúceho skriptu Windows PowerShell v režime správcu automaticky nakonfigurujte Windows tak, aby používal iba protokol TLS 1.2:

$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

Nastavenie system center na používanie iba TLS 1.2

Nastavte System Center tak, aby používal iba protokol TLS 1.2. Najprv sa uistite, že sú splnené všetky predpoklady. Potom vykonajte nasledujúce nastavenia pre súčasti System Center a všetky ostatné servery, na ktorých sú nainštalované agenti.

Použite jednu z nasledujúcich metód.

Metóda 1: Manuálna úprava databázy Registry

Dôležité
Postupujte opatrne podľa krokov v tejto časti. Ak databázu Registry upravíte nesprávne, môžu nastať vážne problémy. Pred vykonaním úprav zálohujte databázu Registry na obnovenie v prípade výskytu problémov.

Ak chcete povoliť inštaláciu na podporu protokolu TLS 1.2, postupujte takto:

1. Spustite Editor databázy Registry. Ak to chcete urobiť, kliknite pravým tlačidlom myši na tlačidlo Štart, do poľa Spustiť zadajte príkaz regedit a potom kliknite na tlačidlo OK.

2. Vyhľadajte nasledujúci podkľúč databázy Registry:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319

3. Pod týmto kľúčom vytvorte nasledujúcu hodnotu DWORD:

   SchUseStrongCrypto [Hodnota = 1]

4. Vyhľadajte nasledujúci podkľúč databázy Registry:

   HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319

5. Pod týmto kľúčom vytvorte nasledujúcu hodnotu DWORD:

   SchUseStrongCrypto [Hodnota = 1]

6. Reštartujte systém.

Metóda 2: Automatická úprava databázy Registry

Spustením nasledujúceho skriptu Windows PowerShell v režime správcu automaticky nakonfigurujte System Center tak, aby používalo iba protokol TLS 1.2:

# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

Ďalšie nastavenia

Vyhlásenie kontaktu tretej strany

Spoločnosť Microsoft poskytuje kontaktné informácie tretích strán, ktoré vám pomôžu nájsť ďalšie informácie o tejto téme. Tieto kontaktné informácie sa môžu zmeniť bez predchádzajúceho upozornenia. Spoločnosť Microsoft nezaručuje presnosť kontaktných informácií tretích strán.