Посібник із розгортання протоколу TLS 1.2 для System Center 2012 R2

Загальні відомості

У цій статті описано, як увімкнути протокол TLS версії 1.2 в середовищі Microsoft System Center 2012 R2.

Додаткові відомості

Щоб увімкнути протокол TLS версії 1.2 в середовищі System Center, виконайте такі дії:

1. Інсталюйте оновлення з випуску.
   
   Нотатки

   • Інсталюйте останнє зведене оновлення для всіх компонентів System Center, перш ніж застосовувати зведене оновлення 14.

     • Для диспетчера захисту даних і диспетчера віртуальних машин інсталюйте зведене оновлення 13.

     • Для автоматизації керування службами інсталюйте зведене оновлення 7.

     • Для System Center Orchestrator інсталюйте зведене оновлення 8.

     • Для служби provider Foundation інсталюйте зведене оновлення 12.

     • Для диспетчера служб інсталюйте зведене оновлення 9.

2. Переконайтеся, що налаштування працює так само, як і раніше, ніж ви застосували оновлення. Наприклад, перевірте, чи можна запустити консоль.

3. Змініть параметри конфігурації , щоб увімкнути TLS 1.2.

4. Переконайтеся, що запущено всі необхідні SQL Server служби.

Налаштування Windows на використання лише TLS 1.2

Скористайтеся одним із наведених нижче способів, щоб настроїти Windows на використання лише протоколу TLS 1.2.

Спосіб 1. Змінення реєстру вручну

Щоб увімкнути або вимкнути всі системні протоколи SCHANNEL, виконайте наведені нижче дії. Радимо ввімкнути протокол TLS 1.2 для вхідних повідомлень і ввімкнути протоколи TLS 1.2, TLS 1.1 і TLS 1.0 для всіх вихідних повідомлень.

Примітка. Внесення цих змін до реєстру не впливає на використання протоколів Kerberos або NTLM.

1. Запустіть редактор реєстру. Для цього клацніть правою кнопкою миші кнопку Пуск, у полі Виконати введіть regedit і натисніть кнопку OK.

2. Знайдіть такий підрозділ реєстру:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

3. Клацніть правою кнопкою миші клавішу Protocol (Протокол), наведіть вказівник миші на пункт New (Створити) і виберіть Key (Ключ).
   
   

4. Введіть SSL 3, а потім натисніть клавішу Enter.

5. Повторіть кроки 3 та 4, щоб створити ключі для TLS 0, TLS 1.1 і TLS 1.2. Ці ключі схожі на каталоги.

6. Створіть ключ клієнта та ключ сервера під кожним ключем SSL 3, TLS 1.0, TLS 1.1 і TLS 1.2 .

7. Щоб увімкнути протокол, створіть значення DWORD під кожним ключем клієнта та сервера, як зазначено нижче.

   DisabledByDefault [Значення = 0]
   Увімкнуто [Значення = 1]
   Щоб вимкнути протокол, змініть значення DWORD під кожним ключем клієнта та сервера, як зазначено нижче.

   DisabledByDefault [Значення = 1]
   Увімкнуто [Значення = 0]

8. У меню Файл виберіть Вийти.

Спосіб 2. Автоматичне змінення реєстру

Запустіть наведений нижче сценарій Windows PowerShell в режимі адміністратора, щоб автоматично настроїти Windows на використання лише протоколу TLS 1.2:

$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

Налаштування System Center на використання лише TLS 1.2

Установіть для System Center використання лише протоколу TLS 1.2. Для цього спочатку переконайтеся, що виконано всі попередні вимоги. Потім настройте наведені нижче параметри на компонентах System Center і всіх інших серверах, на яких інстальовано агенти.

Скористайтеся одним із наведених нижче способів.

Спосіб 1. Змінення реєстру вручну

Щоб увімкнути інсталяцію для підтримки протоколу TLS 1.2, виконайте такі дії:

1. Запустіть редактор реєстру. Для цього клацніть правою кнопкою миші кнопку Пуск, у полі Виконати введіть regedit і натисніть кнопку OK.

2. Знайдіть такий підрозділ реєстру:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319

3. Створіть під цим ключем таке значення DWORD:

   SchUseStrongCrypto [Значення = 1]

4. Знайдіть такий підрозділ реєстру:

   HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319

5. Створіть під цим ключем таке значення DWORD:

   SchUseStrongCrypto [Значення = 1]

6. Перезавантажте систему.

Спосіб 2. Автоматичне змінення реєстру

Виконайте наведений нижче сценарій Windows PowerShell в режимі адміністратора, щоб автоматично настроїти System Center на використання лише протоколу TLS 1.2:

# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

Додаткові параметри

Відмова від відповідальності щодо контактів від сторонніх постачальників

Корпорація Майкрософт надає контактну інформацію від сторонніх постачальників, щоб допомогти вам знайти додаткову інформацію про цю статтю. Ця контактна інформація може змінюватися без попередження. Корпорація Майкрософт не гарантує точність контактної інформації сторонніх постачальників.