Hướng dẫn Triển khai Hỗ trợ Giao thức TLS 1.2 cho System Center 2016

Tóm tắt

Bài viết này mô tả cách bật giao thức Transport Layer Security (TLS) phiên bản 1.2 trong môi trường Microsoft System Center 2016.

Thông tin Bổ sung

Để bật giao thức TLS phiên bản 1.2 trong môi trường Trung tâm Hệ thống, hãy làm theo các bước sau:

1. Cài đặt các bản cập nhật từ bản phát hành.
   
   Ghi chú

   • Tự động hóa Quản lý Dịch vụ (SMA) và Nền tảng Nhà cung cấp Dịch vụ (SPF) phải được nâng cấp lên bản tổng hợp cập nhật gần đây nhất của họ vì UR4 không có bất kỳ bản cập nhật nào cho các cấu phần này.

   • Đối với Tự động hóa Quản lý Dịch vụ (SMA), hãy nâng cấp lên Bản tổng hợp Cập nhật 1 và cũng cập nhật gói quản lý SMA (MP) từ trang web Trung tâm Tải xuống của Microsoft này.

   • Đối với Service Provider Foundation (SPF), hãy nâng cấp lên Bản tổng hợp Cập nhật 2.

   • System Center Virtual Machine Manager (SCVMM) phải được nâng cấp lên tối thiểu bản Cập nhật Tổng hợp 3.

2. Đảm bảo rằng thiết lập hoạt động như trước khi bạn áp dụng các bản cập nhật. Ví dụ: kiểm tra xem bạn có thể khởi động bảng điều khiển hay không.

3. Thay đổi cài đặt cấu hình để bật TLS 1.2.

4. Đảm bảo rằng tất cả các dịch SQL Server vụ bắt buộc đều đang chạy.

Đặt Windows để chỉ sử dụng TLS 1.2

Sử dụng một trong các phương pháp sau đây để đặt cấu hình Windows chỉ sử dụng giao thức TLS 1.2.

Phương pháp 1: Sửa đổi thủ công sổ đăng ký

Quan trọng
Làm theo các bước trong phần này một cách cẩn thận. Có thể xảy ra sự cố nghiêm trọng nếu bạn sửa đổi sổ đăng ký không đúng cách. Trước khi bạn sửa đổi, hãy sao lưu sổ đăng ký để khôi phục trong trường hợp xảy ra sự cố.

Sử dụng các bước sau để bật/tắt tất cả giao thức SCHANNEL trên toàn hệ thống. Chúng tôi khuyên bạn nên bật giao thức TLS 1.2 cho thông tin liên lạc đến; và bật giao thức TLS 1.2, TLS 1.1 và TLS 1.0 cho tất cả các thông tin liên lạc đi.

Chú ý Việc thực hiện các thay đổi trong sổ đăng ký này không ảnh hưởng đến việc sử dụng giao thức Kerberos hoặc NTLM.

1. Khởi động Registry Editor. Để thực hiện điều này, hãy bấm chuột phải vào Bắt đầu, nhậpregedit trong hộp Chạy, rồi bấm OK.

2. Định vị khóa đăng ký phụ sau:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

3. Bấm chuột phải vào phím Protocol , trỏ tới Mới, rồi bấm Khóa.
   
   

4. Nhập SSL 3, rồi nhấn Enter.

5. Lặp lại bước 3 và 4 để tạo khóa cho TLS 0, TLS 1.1 và TLS 1.2. Những phím này giống như các thư mục.

6. Tạo khóa Máy khách và khóa Máy chủ bên dưới mỗi khóa SSL 3, TLS 1.0, TLS 1.1 và TLS 1.2 .

7. Để bật giao thức, hãy tạo giá trị DWORD bên dưới mỗi khóa Client và Server như sau:

   DisabledByDefault [Giá trị = 0]
   Đã bật [Giá trị = 1]
   Để vô hiệu hóa một giao thức, hãy thay đổi giá trị DWORD bên dưới mỗi khóa Client và Server như sau:

   DisabledByDefault [Giá trị = 1]
   Đã bật [Giá trị = 0]

8. Trên menu Tệp, bấm vào Thoát.

Phương pháp 2: Tự động sửa đổi sổ đăng ký

Chạy tập lệnh Windows PowerShell sau đây trong chế độ Người quản trị để tự động đặt cấu hình Windows để chỉ sử dụng Giao thức TLS 1.2:

$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
	foreach($key in $ProtocolSubKeyList)
	{		
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Host " Current Registry Path $currentRegPath"
		
		if(!(Test-Path $currentRegPath))
		{
		    Write-Host "creating the registry"
			New-Item -Path $currentRegPath -Force | out-Null			
		}
		if($Protocol -eq "TLS 1.2")
		{
		    Write-Host "Working for TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null
		
		}
		else
		{
		    Write-Host "Working for other protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
		}	
	}
}

Exit 0

Đặt Trung tâm Hệ thống để chỉ sử dụng TLS 1.2

Đặt Trung tâm Hệ thống để chỉ sử dụng giao thức TLS 1.2. Để làm điều này, trước tiên hãy đảm bảo rằng tất cả các điều kiện tiên quyết được đáp ứng. Sau đó, thực hiện các cài đặt sau trên các cấu phần Trung tâm Hệ thống và tất cả các máy chủ khác mà trên đó tác nhân được cài đặt.

Sử dụng một trong các phương pháp sau.

Phương pháp 1: Sửa đổi thủ công sổ đăng ký

Quan trọng
Làm theo các bước trong phần này một cách cẩn thận. Có thể xảy ra sự cố nghiêm trọng nếu bạn sửa đổi sổ đăng ký không đúng cách. Trước khi bạn sửa đổi, hãy sao lưu sổ đăng ký để khôi phục trong trường hợp xảy ra sự cố.

Để cho phép cài đặt hỗ trợ giao thức TLS 1.2, hãy làm theo các bước sau:

1. Khởi động Registry Editor. Để thực hiện điều này, hãy bấm chuột phải vào Bắt đầu, nhậpregedit trong hộp Chạy, rồi bấm OK.

2. Định vị khóa đăng ký phụ sau:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319

3. Tạo giá trị DWORD sau dưới khóa này:

   SchUseStrongCrypto [Giá trị = 1]

4. Định vị khóa đăng ký phụ sau:

   HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319

5. Tạo giá trị DWORD sau dưới khóa này:

   SchUseStrongCrypto [Giá trị = 1]

6. Khởi động lại hệ thống.

Phương pháp 2: Tự động sửa đổi sổ đăng ký

Chạy tập lệnh sau Windows PowerShell chế độ Người quản trị để tự động đặt cấu hình Trung tâm Hệ thống để chỉ sử dụng Giao thức TLS 1.2:

# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

Cài đặt bổ sung

Tuyên bố miễn trừ trách nhiệm liên hệ bên thứ ba

Microsoft cung cấp thông tin liên hệ bên thứ ba để giúp bạn tìm thêm thông tin về chủ đề này. Thông tin liên hệ này có thể thay đổi mà không cần thông báo. Microsoft không đảm bảo tính chính xác của thông tin liên hệ bên thứ ba.