คู่มือการปรับใช้การสนับสนุนโพรโทคอล TLS 1.2 สําหรับ System Center 2016

สรุป

บทความนี้อธิบายถึงวิธีการเปิดใช้งานโพรโทคอล Transport Layer Security (TLS) เวอร์ชัน 1.2 ในสภาพแวดล้อม Microsoft System Center 2016

ข้อมูลเพิ่มเติม

เมื่อต้องการเปิดใช้งานโพรโทคอล TLS เวอร์ชัน 1.2 ในสภาพแวดล้อม System Center ให้ทําตามขั้นตอนต่อไปนี้:

1. ติดตั้งการอัปเดต จากรุ่น
   
   หมาย เหตุ

   • Service Management Automation (SMA) และ Service Provider Foundation (SPF) ต้องได้รับการอัปเกรดเป็นชุดรวมอัปเดตล่าสุด เนื่องจาก UR4 ไม่มีการอัปเดตคอมโพเนนต์เหล่านี้

   • สําหรับ Service Management Automation (SMA) ให้อัปเกรดเป็น ชุดรวมอัปเดต 1 และอัปเดต SMA Management Pack (MP) จาก เว็บเพจศูนย์ดาวน์โหลด Microsoft นี้ด้วย

   • สําหรับ Service Provider Foundation (SPF) ให้อัปเกรดเป็น ชุดรวมอัปเดต 2

   • System Center Virtual Machine Manager (SCVMM) ควรได้รับการอัปเกรดเป็นชุดรวมอัปเดตอย่างน้อย 3

2. ตรวจสอบให้แน่ใจว่าการตั้งค่าใช้งานได้เหมือนก่อนที่คุณจะใช้การอัปเดต ตัวอย่างเช่น ตรวจสอบว่าคุณสามารถเริ่มคอนโซลได้หรือไม่

3. เปลี่ยน การตั้งค่าการกําหนดค่า เพื่อเปิดใช้งาน TLS 1.2

4. ตรวจสอบให้แน่ใจว่าบริการSQL Serverที่จําเป็นทั้งหมดกําลังทํางานอยู่

ตั้งค่า Windows ให้ใช้เฉพาะ TLS 1.2

ใช้หนึ่งในวิธีต่อไปนี้เพื่อกําหนดค่า Windows ให้ใช้เฉพาะโพรโทคอล TLS 1.2

วิธีที่ 1: ปรับเปลี่ยนรีจิสทรีด้วยตนเอง

สำคัญ
ทําตามขั้นตอนในส่วนนี้อย่างระมัดระวัง ปัญหาร้ายแรงอาจเกิดขึ้นถ้าคุณปรับเปลี่ยนรีจิสทรีอย่างไม่ถูกต้อง ก่อนที่คุณจะปรับเปลี่ยน ให้สํารองข้อมูลรีจิสทรีสําหรับการคืนค่าในกรณีที่มีปัญหาเกิดขึ้น

ใช้ขั้นตอนต่อไปนี้เพื่อเปิด/ปิดใช้งานโพรโทคอล SCHANNEL ทั้งหมดทั้งระบบ เราขอแนะนําให้คุณเปิดใช้งานโพรโทคอล TLS 1.2 สําหรับการติดต่อสื่อสารขาเข้า และเปิดใช้งานโพรโทคอล TLS 1.2, TLS 1.1 และ TLS 1.0 สําหรับการสื่อสารขาออกทั้งหมด

หมายเหตุ การเปลี่ยนแปลงรีจิสทรีเหล่านี้จะไม่ส่งผลกระทบต่อการใช้โพรโทคอล Kerberos หรือ NTLM

1. เริ่ม Registry Editor เมื่อต้องการทําเช่นนี้ ให้คลิกขวาที่ เริ่ม พิมพ์ regedit ในกล่อง เรียกใช้ แล้วคลิก ตกลง

2. ค้นหาคีย์ย่อยของรีจิสทรีต่อไปนี้:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

3. คลิกขวาที่แป้นโพรโทคอล ชี้ไปที่ ใหม่ แล้วคลิก แป้น
   
   

4. พิมพ์ SSL 3 แล้วกด Enter

5. ทําซ้ําขั้นตอนที่ 3 และ 4 เพื่อสร้างคีย์สําหรับ TLS 0, TLS 1.1 และ TLS 1.2 แป้นเหล่านี้มีลักษณะคล้ายกับไดเรกทอรี

6. สร้างคีย์ไคลเอ็นต์และคีย์เซิร์ฟเวอร์ภายใต้แต่ละคีย์ SSL 3, TLS 1.0, TLS 1.1 และ TLS 1.2

7. เมื่อต้องการเปิดใช้งานโพรโทคอล ให้สร้างค่า DWORD ภายใต้แต่ละคีย์ไคลเอ็นต์และเซิร์ฟเวอร์ดังนี้:

   DisabledByDefault [Value = 0]
   เปิดใช้งาน [ค่า = 1]
   เมื่อต้องการปิดใช้งานโพรโทคอล ให้เปลี่ยนค่า DWORD ภายใต้แต่ละคีย์ไคลเอ็นต์และเซิร์ฟเวอร์ดังนี้:

   DisabledByDefault [Value = 1]
   เปิดใช้งาน [ค่า = 0]

8. ในเมนู ไฟล์ ให้คลิก ออก

วิธีที่ 2: ปรับเปลี่ยนรีจิสทรีโดยอัตโนมัติ

เรียกใช้สคริปต์Windows PowerShellต่อไปนี้ในโหมดผู้ดูแลระบบเพื่อกําหนดค่า Windows ให้ใช้เฉพาะโพรโทคอล TLS 1.2 โดยอัตโนมัติ:

$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

ตั้งค่า System Center ให้ใช้เฉพาะ TLS 1.2

ตั้งค่า System Center ให้ใช้เฉพาะโพรโทคอล TLS 1.2 เท่านั้น เมื่อต้องการทําเช่นนี้ ก่อนอื่นให้ตรวจสอบให้แน่ใจว่าตรงตามข้อกําหนดเบื้องต้นทั้งหมด จากนั้นให้ทําการตั้งค่าต่อไปนี้บนคอมโพเนนต์ของ System Center และเซิร์ฟเวอร์อื่นๆ ทั้งหมดที่มีการติดตั้งเอเจนต์

ใช้วิธีใดวิธีหนึ่งต่อไปนี้

วิธีที่ 1: ปรับเปลี่ยนรีจิสทรีด้วยตนเอง

สำคัญ
ทําตามขั้นตอนในส่วนนี้อย่างระมัดระวัง ปัญหาร้ายแรงอาจเกิดขึ้นถ้าคุณปรับเปลี่ยนรีจิสทรีอย่างไม่ถูกต้อง ก่อนที่คุณจะปรับเปลี่ยน ให้สํารองข้อมูลรีจิสทรีสําหรับการคืนค่าในกรณีที่มีปัญหาเกิดขึ้น

เมื่อต้องการเปิดใช้งานการติดตั้งเพื่อสนับสนุนโพรโทคอล TLS 1.2 ให้ทําตามขั้นตอนเหล่านี้:

1. เริ่ม Registry Editor เมื่อต้องการทําเช่นนี้ ให้คลิกขวาที่ เริ่ม พิมพ์ regedit ในกล่อง เรียกใช้ แล้วคลิก ตกลง

2. ค้นหาคีย์ย่อยของรีจิสทรีต่อไปนี้:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319

3. สร้างค่า DWORD ต่อไปนี้ภายใต้คีย์นี้:

   SchUseStrongCrypto [Value = 1]

4. ค้นหาคีย์ย่อยของรีจิสทรีต่อไปนี้:

   HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319

5. สร้างค่า DWORD ต่อไปนี้ภายใต้คีย์นี้:

   SchUseStrongCrypto [Value = 1]

6. รีสตาร์ตระบบ

วิธีที่ 2: ปรับเปลี่ยนรีจิสทรีโดยอัตโนมัติ

เรียกใช้สคริปต์Windows PowerShellต่อไปนี้ในโหมดผู้ดูแลระบบเพื่อกําหนดค่า System Center ให้ใช้โพรโทคอล TLS 1.2 โดยอัตโนมัติ:

# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

การตั้งค่าเพิ่มเติม

การจำกัดความรับผิดต่อข้อมูลติดต่อของบุคคลที่สาม

Microsoft แสดงข้อมูลที่ติดต่อของบริษัทอื่นเพื่อช่วยให้คุณค้นหาข้อมูลเพิ่มเติมเกี่ยวกับหัวข้อนี้ ข้อมูลที่ติดต่อนี้อาจเปลี่ยนแปลงได้โดยไม่ต้องแจ้งให้ทราบล่วงหน้า Microsoft ไม่รับรองความถูกต้องของข้อมูลที่ติดต่อของบริษัทอื่น