Посібник із розгортання протоколу TLS 1.2 для System Center 2016

Загальні відомості

У цій статті описано, як увімкнути протокол TLS версії 1.2 в середовищі Microsoft System Center 2016.

Додаткові відомості

Щоб увімкнути протокол TLS версії 1.2 в середовищі System Center, виконайте такі дії:

1. Інсталюйте оновлення з випуску.
   
   Нотатки

   • Автоматизацію керування службами (SMA) і службу Provider Foundation (SPF) слід оновити до останнього зведеного оновлення, оскільки UR4 не містить оновлень для цих компонентів.

   • Для автоматизації керування службами (SMA) оновіть до зведеного оновлення 1, а також оновіть пакет керування SMA (MP) з цієї веб-сторінки Центру завантажень Microsoft.

   • Для постачальника послуг Foundation (SPF) оновіть систему до зведеного оновлення 2.

   • System Center Virtual Machine Manager (SCVMM) слід оновити принаймні до зведеного оновлення 3.

2. Переконайтеся, що налаштування працює так само, як і раніше, ніж ви застосували оновлення. Наприклад, перевірте, чи можна запустити консоль.

3. Змініть параметри конфігурації , щоб увімкнути TLS 1.2.

4. Переконайтеся, що запущено всі необхідні SQL Server служби.

Налаштування Windows на використання лише TLS 1.2

Скористайтеся одним із наведених нижче способів, щоб настроїти Windows на використання лише протоколу TLS 1.2.

Спосіб 1. Змінення реєстру вручну

Важливо
Уважно виконайте кроки, описані в цьому розділі. Неправильне змінення реєстру може призвести до серйозних проблем. Перш ніж змінювати його, сновіть резервну копію реєстру для відновлення на випадок виникнення проблем.

Щоб увімкнути або вимкнути всі системні протоколи SCHANNEL, виконайте наведені нижче дії. Радимо ввімкнути протокол TLS 1.2 для вхідних повідомлень; і ввімкніть протоколи TLS 1.2, TLS 1.1 і TLS 1.0 для всіх вихідних повідомлень.

Примітка. Внесення цих змін до реєстру не впливає на використання протоколів Kerberos або NTLM.

1. Запустіть редактор реєстру. Для цього клацніть правою кнопкою миші кнопку Пуск, у полі Виконати введіть regedit і натисніть кнопку OK.

2. Знайдіть такий підрозділ реєстру:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

3. Клацніть правою кнопкою миші клавішу Protocol (Протокол), наведіть вказівник миші на пункт New (Створити) і виберіть Key (Ключ).
   
   

4. Введіть SSL 3, а потім натисніть клавішу Enter.

5. Повторіть кроки 3 та 4, щоб створити ключі для TLS 0, TLS 1.1 і TLS 1.2. Ці ключі схожі на каталоги.

6. Створіть ключ клієнта та ключ сервера під кожним ключем SSL 3, TLS 1.0, TLS 1.1 і TLS 1.2 .

7. Щоб увімкнути протокол, створіть значення DWORD під кожним ключем клієнта та сервера, як зазначено нижче.

   DisabledByDefault [Значення = 0]
   Увімкнуто [Значення = 1]
   Щоб вимкнути протокол, змініть значення DWORD під кожним ключем клієнта та сервера, як зазначено нижче.

   DisabledByDefault [Значення = 1]
   Увімкнуто [Значення = 0]

8. У меню Файл натисніть кнопку Вийти.

Спосіб 2. Автоматичне змінення реєстру

Запустіть наведений нижче сценарій Windows PowerShell в режимі адміністратора, щоб автоматично настроїти Windows на використання лише протоколу TLS 1.2:

$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

Налаштування System Center на використання лише TLS 1.2

Установіть для System Center використання лише протоколу TLS 1.2. Для цього спочатку переконайтеся, що виконано всі попередні вимоги. Потім зробіть наведені нижче параметри на компонентах System Center і всіх інших серверах, на яких інстальовано агентів.

Скористайтеся одним із наведених нижче способів.

Спосіб 1. Змінення реєстру вручну

Важливо
Уважно виконайте кроки, описані в цьому розділі. Неправильне змінення реєстру може призвести до серйозних проблем. Перш ніж змінювати його, сновіть резервну копію реєстру для відновлення на випадок виникнення проблем.

Щоб увімкнути інсталяцію для підтримки протоколу TLS 1.2, виконайте такі дії:

1. Запустіть редактор реєстру. Для цього клацніть правою кнопкою миші кнопку Пуск, у полі Виконати введіть regedit і натисніть кнопку OK.

2. Знайдіть такий підрозділ реєстру:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319

3. Створіть під цим ключем таке значення DWORD:

   SchUseStrongCrypto [Значення = 1]

4. Знайдіть такий підрозділ реєстру:

   HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319

5. Створіть під цим ключем таке значення DWORD:

   SchUseStrongCrypto [Значення = 1]

6. Перезавантажте систему.

Спосіб 2. Автоматичне змінення реєстру

Виконайте наведений нижче сценарій Windows PowerShell в режимі адміністратора, щоб автоматично настроїти System Center на використання лише протоколу TLS 1.2:

# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

Додаткові параметри

Відмова від відповідальності щодо контактів від сторонніх постачальників

Корпорація Майкрософт надає контактну інформацію від сторонніх постачальників, щоб допомогти вам знайти додаткову інформацію про цю статтю. Ця контактна інформація може змінюватися без попередження. Корпорація Майкрософт не гарантує точність контактної інформації сторонніх постачальників.