TLS 1.2 Protocol Support Deployment Guide for System Center 2016

Gäller för

.NET Framework 4.6.2 System Center 2016 Data Protection Manager System Center 2016 Operations Manager System Center 2016 Virtual Machine Manager System Center Service Management Automation, version 1807 System Center Service Provider Foundation, version 1807

Sammanfattning

I den här artikeln beskrivs hur du aktiverar TLS-protokoll (Transport Layer Security) version 1.2 i en Microsoft System Center 2016-miljö.

Mer information

Så här aktiverar du TLS-protokollversion 1.2 i System Center-miljön:

Installera uppdateringar från versionen.

Obs!
- Service Management Automation (SMA) och Service Provider Foundation (SPF) måste uppgraderas till den senaste samlade uppdateringen eftersom UR4 inte har några uppdateringar av dessa komponenter.
- För Service Management Automation (SMA) uppgraderar du till Samlad uppdatering 1 och uppdaterar även SMA-hanteringspaketet (MP) från den här Microsoft Download Center-webbsidan.
- För Service Provider Foundation (SPF) uppgraderar du till Samlad uppdatering 2.
- System Center Virtual Machine Manager (SCVMM) bör uppgraderas till minst Samlad uppdatering 3.
Kontrollera att konfigurationen är lika funktionell som den var innan du införde uppdateringarna. Kontrollera till exempel om du kan starta konsolen.
Ändra konfigurationsinställningarna för att aktivera TLS 1.2.
Kontrollera att alla nödvändiga SQL Server tjänster körs.

Installera uppdateringar

Uppdatera aktivitet	SCOM¹	SCVMM²	SCDPM³	SCO⁴	SMA⁵	SPF⁶	SM⁷
Kontrollera att alla aktuella säkerhetsuppdateringar är installerade för Windows Server 2012 R2 eller Windows Server 2016	Ja	Ja	Ja	Ja	Ja	Ja	Ja
Kontrollera att .NET Framework 4.6 är installerat på alla System Center-komponenter	Ja	Ja	Ja	Ja	Ja	Ja	Ja
Installera den nödvändiga SQL Server -uppdateringen som stöder TLS 1.2	Ja	Ja	Ja	Ja	Ja	Ja	Ja
Installera nödvändiga uppdateringar för System Center 2016	Ja	Nej	Ja	Ja	Nej	Nej	Ja
Kontrollera att CA-signerade certifikat är antingen SHA1 eller SHA2	Ja	Ja	Ja	Ja	Ja	Ja	Ja

¹ System Center Operations Manager (SCOM)
² System Center Virtual Machine Manager (SCVMM)
³ System Center Data Protection Manager (SCDPM)
⁴ System Center Orchestrator (SCO)
⁵ Service Management Automation (SMA)
⁶ Service Provider Foundation (SPF)
⁷ Service Manager (SM)

Ändra konfigurationsinställningar

Konfigurationsuppdatering	SCOM¹	SCVMM²	SCDPM³	SCO⁴	SMA⁵	SPF⁶	SM⁷
Inställning i Windows för att endast använda TLS 1.2-protokoll	Ja	Ja	Ja	Ja	Ja	Ja	Ja
Inställning i System Center för att endast använda TLS 1.2-protokoll	Ja	Ja	Ja	Ja	Ja	Ja	Ja
Ytterligare inställningar	Ja	Nej	Ja	Ja	Nej	Nej	Nej

.NET Framework

Kontrollera att .NET Framework 4.6 är installerat på alla System Center-komponenter. Följ instruktionerna nedan.

TLS 1.2-stöd

Installera den nödvändiga SQL Server -uppdateringen som stöder TLS 1.2. Om du vill göra det läser du följande artikel i Microsoft Knowledge Base:

3135244 TLS 1.2-stöd för Microsoft SQL Server

Nödvändiga uppdateringar för System Center 2016

SQL Server 2012 Native Client 11.0 bör installeras på alla följande System Center-komponenter.

Komponent	Roll	Nödvändig SQL-drivrutin
Operations Manager	Management Server and Web Consoles	SQL Server 2012 Native Client 11.0 eller Microsoft OLE DB Driver 18 för SQL Server (rekommenderas). Anteckning Microsoft OLE DB Driver 18 för SQL Server stöds med Operations Manager 2016 UR9 och senare.
Virtual Machine Manager	(Krävs inte)	(Krävs inte)
Orchestrator	Hanteringsserver	SQL Server 2012 Native Client 11.0 eller Microsoft OLE DB Driver 18 för SQL Server (rekommenderas). Anteckning Microsoft OLE DB Driver 18 för SQL Server stöds med Orchestrator 2016 UR8 och senare.
Data Protection Manager	Hanteringsserver	SQL Server 2012 Native client 11.0
Service Manager	Hanteringsserver	SQL Server 2012 Native Client 11.0 eller Microsoft OLE DB Driver 18 för SQL Server (rekommenderas). Anteckning Microsoft OLE DB-drivrutin 18 för SQL Server stöds med Service Manager 2016 UR9 och senare.

Information om hur du laddar ned och installerar Microsoft SQL Server 2012 Native Client 11.0 finns på den här webbsidan för Microsoft Download Center.

Information om hur du laddar ned och installerar Microsoft OLE DB Driver 18 finns på den här Microsoft Download Center-webbsidan.

För System Center Operations Manager och Service Manager måste du ha ODBC 11.0 eller ODBC 13.0 installerat på alla hanteringsservrar.

Installera de nödvändiga uppdateringarna för System Center 2016 från följande artikel i Knowledge Base:

4043305 Beskrivning av samlad uppdatering 4 för Microsoft System Center 2016

Komponent	2016
Operations Manager	Samlad uppdatering 4 för System Center 2016 Operations Manager
Service Manager	Samlad uppdatering 4 för System Center 2016 Service Manager
Orchestrator	Samlad uppdatering 4 för System Center 2016 Orchestrator
Data Protection Manager	Samlad uppdatering 4 för System Center 2016 Data Protection Manager

Anteckning Se till att du expanderar filinnehållet och installerar MSP-filen för motsvarande roll.

SHA1- och SHA2-certifikat

System Center-komponenter genererar nu både SHA1- och SHA2-självsignerade certifikat. Detta krävs för att aktivera TLS 1.2. Om CA-signerade certifikat används kontrollerar du att certifikaten är SHA1 eller SHA2.

Ange att Windows endast ska använda TLS 1.2

Använd någon av följande metoder för att konfigurera Windows att endast använda TLS 1.2-protokollet.

Metod 1: Ändra registret manuellt

Viktigt
Följ stegen i det här avsnittet noggrant. Om du ändrar registret på fel sätt kan det orsaka allvarliga problem. Innan du ändrar det måste du säkerhetskopiera registret för återställning om problem skulle uppstå.

Gör så här för att aktivera/inaktivera alla SCHANNEL-protokoll i hela systemet. Vi rekommenderar att du aktiverar TLS 1.2-protokollet för inkommande kommunikation. och aktivera protokollen TLS 1.2, TLS 1.1 och TLS 1.0 för all utgående kommunikation.

Anteckning Dessa registerändringar påverkar inte användningen av Kerberos- eller NTLM-protokollen.

Starta Registereditorn. Det gör du genom att högerklicka på Start, skriva regedit i rutan Kör och sedan klicka på OK.
Leta upp följande registerundernyckel:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols
Högerklicka på protokollnyckeln , peka på Nytt och klicka sedan på Nyckel.
Skriv SSL 3 och tryck sedan på Retur.
Upprepa steg 3 och 4 för att skapa nycklar för TLS 0, TLS 1.1 och TLS 1.2. Dessa tangenter liknar kataloger.
Skapa en klientnyckel och en servernyckel under var och en av SSL 3-, TLS 1.0-, TLS 1.1- och TLS 1.2-nycklarna .
Om du vill aktivera ett protokoll skapar du DWORD-värdet under varje klient- och servernyckel på följande sätt:
DisabledByDefault [Värde = 0]
Enabled [Value = 1]
Om du vill inaktivera ett protokoll ändrar du DWORD-värdet under varje klient- och servernyckel enligt följande:
DisabledByDefault [värde = 1]
Enabled [Value = 0]
Klicka på Avsluta på Arkiv-menyn.

Metod 2: Ändra registret automatiskt

Kör följande Windows PowerShell skript i administratörsläge för att automatiskt konfigurera Windows att endast använda TLS 1.2-protokollet:


$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

Ange att System Center endast ska använda TLS 1.2

Ange att System Center endast ska använda TLS 1.2-protokollet. Om du vill göra det kontrollerar du först att alla krav uppfylls. Gör sedan följande inställningar på System Center-komponenter och alla andra servrar där agenter är installerade.

Använd någon av följande metoder.

Metod 1: Ändra registret manuellt

Så här aktiverar du installationen för att stödja TLS 1.2-protokollet:

Starta Registereditorn. Det gör du genom att högerklicka på Start, skriva regedit i rutan Kör och sedan klicka på OK.
Leta upp följande registerundernyckel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319
Skapa följande DWORD-värde under den här nyckeln:
SchUseStrongCrypto [Värde = 1]
Leta upp följande registerundernyckel:
HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319
Skapa följande DWORD-värde under den här nyckeln:
SchUseStrongCrypto [Värde = 1]
Starta om systemet.

Metod 2: Ändra registret automatiskt

Kör följande Windows PowerShell skript i administratörsläge för att automatiskt konfigurera System Center att endast använda TLS 1.2-protokollet:


# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

Ytterligare inställningar

Operations Manager

Hanteringspaket

Importera hanteringspaketen för System Center 2016 Operations Manager. Dessa finns i följande katalog när du har installerat serveruppdateringen:

\Program Files\Microsoft System Center 2016\Operations Manager\Server\Management Pack for Update Rollups

ACS-inställningar

För gransknings- och insamlingstjänster (ACS) måste du göra ytterligare ändringar i registret. ACS använder DSN för att upprätta anslutningar till databasen. Du måste uppdatera DSN-inställningarna så att de fungerar för TLS 1.2.

Leta upp följande undernyckel för ODBC i registret.

Anteckning Standardnamnet på DSN är OpsMgrAC.
I undernyckeln ODBC-datakällor markerar du posten för DSN-namnet, OpsMgrAC. Här står namnet på den ODBC-drivrutin som ska användas för databasanslutningen. Om du har ODBC 11.0 installerat ändrar du det här namnet till ODBC-drivrutin 11 för SQL Server. Om du har ODBC 13.0 installerat ändrar du det här namnet till ODBC-drivrutin 13 för SQL Server.
I undernyckeln OpsMgrAC uppdaterar du drivrutinsposten för den ODBS-version som är installerad.
- Om ODBC 11.0 är installerat ändrar du drivrutinsposten till %WINDIR%\system32\msodbcsql11.dll.
- Om ODBC 13.0 är installerat ändrar du drivrutinsposten till %WINDIR%\system32\msodbcsql13.dll.
- Du kan också skapa och spara följande .reg fil i Anteckningar eller någon annan textredigerare. Om du vill köra den sparade .reg filen dubbelklickar du på filen.
  
  För ODBC 11.0 skapar du följande ODBC 11.0.reg-fil:
  [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\ODBC-datakällor] "OpsMgrAC"="ODBC-drivrutin 11 för SQL Server" [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC] [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC] "Drivrutin"="%WINDIR%\\system32\\msodbcsql11.dll"
  
  För ODBC 13.0 skapar du följande ODBC 13.0.reg-fil:
  [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\ODBC-datakällor] "OpsMgrAC"="ODBC-drivrutin 13 för SQL Server" [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC] [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC] "Drivrutin"="%WINDIR%\\system32\\msodbcsql13.dll"

TLS-härdning i Linux

Följ instruktionerna på lämplig webbplats för att konfigurera TLS 1.2 i din Red Hat - eller Apache-miljö .

Data Protection Manager

Om du vill att Data Protection Manager ska fungera tillsammans med TLS 1.2 för säkerhetskopiering till molnet aktiverar du de här stegen på Data Protection Manager-servern.

Orchestrator

När orkestreringsuppdateringarna har installerats konfigurerar du om orkestreringsdatabasen med hjälp av den befintliga databasen enligt dessa riktlinjer.

Ansvarsfriskrivning för kontakter från tredje part

Microsoft tillhandahåller kontaktinformation från tredje part som hjälper dig att hitta ytterligare information om det här ämnet. Denna kontaktinformation kan ändras utan föregående meddelande. Microsoft garanterar inte på något sätt att kontaktinformationen från tredje part är korrekt.