Didacticiel : configurer un point de mise à jour logicielle pour utiliser TLS/SSL avec un certificat PKI

S’applique à : Configuration Manager (branche actuelle)

La configuration des serveurs Windows Server Update Services (WSUS) et de leurs points de mise à jour logicielle (SUP) correspondants pour utiliser TLS/SSL peut réduire la capacité d’un attaquant potentiel à compromettre à distance un client et à élever les privilèges. Pour vous assurer que les meilleurs protocoles de sécurité sont en place, nous vous recommandons vivement d’utiliser le protocole TLS/SSL pour sécuriser votre infrastructure de mise à jour logicielle. Cet article vous guide tout au long des étapes nécessaires pour configurer chacun de vos serveurs WSUS et le point de mise à jour logicielle pour utiliser HTTPS. Pour plus d’informations sur la sécurisation de WSUS, consultez l’article Sécuriser WSUS avec le protocole Secure Sockets Layer dans la documentation WSUS.

Dans ce didacticiel, vous allez :

Considérations et limitations

WSUS utilise TLS/SSL pour authentifier les ordinateurs clients et les serveurs WSUS en aval sur le serveur WSUS en amont. WSUS utilise également TLS/SSL pour chiffrer les métadonnées de mise à jour. WSUS n’utilise pas TLS/SSL pour les fichiers de contenu d’une mise à jour. Les fichiers de contenu sont signés et le hachage du fichier est inclus dans les métadonnées de la mise à jour. Avant le téléchargement et l’installation des fichiers par le client, la signature numérique et le hachage sont vérifiés. Si l’une des deux cases activées échoue, la mise à jour n’est pas installée.

Prenez en compte les limitations suivantes lorsque vous utilisez TLS/SSL pour sécuriser un déploiement WSUS :

• L’utilisation de TLS/SSL augmente la charge de travail du serveur. Vous pouvez vous attendre à une légère perte de performances du chiffrement de toutes les métadonnées envoyées sur le réseau.
• Si vous utilisez WSUS avec une base de données SQL Server distante, la connexion entre le serveur WSUS et le serveur de base de données n’est pas sécurisée par TLS/SSL. Si la connexion à la base de données doit être sécurisée, tenez compte des recommandations suivantes :
  • Déplacez la base de données WSUS vers le serveur WSUS.
  • Déplacez le serveur de base de données distant et le serveur WSUS vers un réseau privé.
  • Déployez la sécurité du protocole Internet (IPsec) pour sécuriser le trafic réseau.

Lors de la configuration des serveurs WSUS et de leurs points de mise à jour logicielle pour utiliser TLS/SSL, vous souhaiterez peut-être introduire progressivement les modifications pour les hiérarchies Configuration Manager volumineuses. Si vous choisissez d’introduire progressivement ces modifications, commencez par le bas de la hiérarchie et progressez jusqu’au site d’administration centrale.

Configuration requise

Ce didacticiel décrit la méthode la plus courante pour obtenir un certificat à utiliser avec Internet Information Services (IIS). Quelle que soit la méthode utilisée par votre organisation, assurez-vous que le certificat répond aux exigences de certificat PKI pour un point de mise à jour logicielle Configuration Manager. Comme pour tout certificat, l’autorité de certification doit être approuvée par les appareils qui communiquent avec le serveur WSUS.

• Un serveur WSUS avec le rôle de point de mise à jour logicielle installé
• Vérifiez que vous avez suivi les meilleures pratiques en matière de désactivation, de recyclage et de configuration des limites de mémoire pour WSUS avant d’activer TLS/SSL.
• L’une des deux options suivantes :
  • Un certificat PKI approprié se trouve déjà dans le magasin de certificats personnel du serveur WSUS.
  • La possibilité de demander et d’obtenir un certificat PKI approprié pour le serveur WSUS auprès de votre autorité de certification racine d’entreprise.
    • Par défaut, la plupart des modèles de certificat, y compris le modèle de certificat WebServer, ne sont émis qu’aux administrateurs de domaine. Si l’utilisateur connecté n’est pas un administrateur de domaine, son compte d’utilisateur devra disposer de l’autorisation d’inscription sur le modèle de certificat.

Obtenir le certificat de l’autorité de certification si nécessaire

Si vous disposez déjà d’un certificat approprié dans le magasin de certificats personnel du serveur WSUS, sautez cette section et commencez par la section Lier le certificat . Pour envoyer une demande de certificat à votre autorité de certification interne pour installer un nouveau certificat, suivez les instructions de cette section.

1. À partir du serveur WSUS, ouvrez une invite de commandes d’administration et exécutez certlm.msc. Votre compte d’utilisateur doit être un administrateur local pour gérer les certificats de l’ordinateur local.

   L’outil Gestionnaire de certificats de l’appareil local s’affiche.

2. Développez Personnel, puis cliquez avec le bouton droit sur Certificats.

3. Sélectionnez Toutes les tâches , puis demandez un nouveau certificat.

4. Choisissez suivant pour commencer l’inscription du certificat.

5. Choisissez le type de certificat à inscrire. L’objectif du certificat est l’authentification serveur et le modèle de certificat Microsoft à utiliser est un serveur Web ou un modèle personnalisé dont l’authentification serveur est spécifiée en tant qu’utilisation avancée de clé. Vous pouvez être invité à fournir des informations supplémentaires pour inscrire le certificat. En règle générale, vous spécifiez au minimum les informations suivantes :

   • Nom commun : Sous l’onglet Objet , définissez la valeur sur le nom de domaine complet du serveur WSUS.
   • Nom convivial : Sous l’onglet Général , définissez un nom descriptif pour vous aider à identifier le certificat ultérieurement.

   

6. Sélectionnez S’inscrire , puis Terminer pour terminer l’inscription.

7. Ouvrez le certificat si vous souhaitez afficher des détails le concernant, tels que l’empreinte du certificat.

Lier le certificat au site d’administration WSUS

Une fois que vous avez le certificat dans le magasin de certificats personnel du serveur WSUS, liez-le au site d’administration WSUS dans IIS.

1. Sur le serveur WSUS, ouvrez le Gestionnaire des services IIS.

2. Allez sur Sites>: Administration de WSUS.

3. Sélectionnez Liaisons dans le menu d’action ou en cliquant avec le bouton droit sur le site.

4. Dans la fenêtre Liaisons de site , sélectionnez la ligne pour https, puis sélectionnez Modifier....

   • Ne supprimez pas la liaison de site HTTP. WSUS utilise HTTP pour les fichiers de contenu de mise à jour.

5. Sous l’option Certificat SSL , choisissez le certificat à lier au site d’administration WSUS. Le nom convivial du certificat s’affiche dans le menu déroulant. Si aucun nom convivial n’a été spécifié, le champ du IssuedTo certificat s’affiche. Si vous ne savez pas quel certificat utiliser, sélectionnez Afficher et vérifiez que l’empreinte correspond à celle que vous avez obtenue.

   

6. Sélectionnez OK lorsque vous avez terminé, puis Fermer pour quitter les liaisons de site. Laissez le Gestionnaire des services IIS ouvert pour les étapes suivantes.

Configurez les services web WSUS pour exiger SSL

1. Dans le Gestionnaire des services Internet sur le serveur WSUS, accédez à Administration des sites>WSUS.

2. Développez le site Administration WSUS afin de voir la liste des services web et des répertoires virtuels pour WSUS.

3. Pour chacun des services web WSUS ci-dessous :

   • ApiRemoting30
   • ClientWebService
   • DSSAuthWebService
   • ServerSyncWebService
   • SimpleAuthWebService

   Apportez les modifications suivantes :

   1. Sélectionnez Paramètres SSL.
   2. Activez l’option Exiger SSL .
   3. Vérifiez que l’option Certificats clients est définie sur Ignorer.
   4. Sélectionnez Appliquer.

Ne définissez pas les paramètres SSL sur le site d’administration WSUS de niveau supérieur, car certaines fonctions, telles que le contenu, doivent utiliser HTTP.

Configurer l’application WSUS pour utiliser SSL

Une fois que les services web sont configurés pour exiger SSL, l’application WSUS doit en être informée afin qu’elle puisse effectuer une configuration supplémentaire pour prendre en charge la modification.

1. Ouvrez une invite de commandes d’administrateur sur le serveur WSUS. Le compte utilisateur exécutant cette commande doit être membre du groupe Administrateurs WSUS ou du groupe Administrateurs local.

2. Remplacez le répertoire par le dossier tools pour WSUS :

   cd "c:\Program Files\Update Services\Tools"

3. Configurez WSUS pour utiliser SSL avec la commande suivante :

   WsusUtil.exe configuressl server.contoso.com

   Où server.contoso.com est le nom de domaine complet du serveur WSUS.

4. WsusUtil renvoie l’URL du serveur WSUS avec le numéro de port spécifié à la fin. Le port sera 8531 (par défaut) ou 443. Vérifiez que l’URL renvoyée correspond à celle que vous attendiez. Si quelque chose a été mal saisi, vous pouvez exécuter la commande à nouveau.

   

Vérifiez que la console WSUS peut se connecter à l’aide de SSL

La console WSUS utilise le service web ApiRemoting30 pour la connexion. Le point de mise à jour logicielle (SUP) du Configuration Manager utilise également ce même service web pour demander à WSUS d’effectuer certaines actions, telles que :

• Lancement d’une synchronisation de mise à jour logicielle
• Configuration du serveur amont approprié pour WSUS, qui dépend de l’emplacement du site SUP dans votre hiérarchie Configuration Manager
• Ajout ou suppression de produits et de classifications à synchroniser à partir du serveur WSUS de niveau supérieur de la hiérarchie.
• Suppression des mises à jour expirées

Ouvrez la console WSUS pour vérifier que vous pouvez utiliser une connexion SSL au service web ApiRemoting30 du serveur WSUS. Nous testerons d’autres services web ultérieurement.

1. Ouvrez la console WSUS et sélectionnez Action>Connect to Server.

2. Entrez le nom de domaine complet du serveur WSUS pour l’option Nom du serveur .

3. Choisissez le numéro de port renvoyé dans l’URL à partir de WSUSutil.

4. L’option Utiliser SSL (Secure Sockets Layer) pour se connecter à ce serveur s’active automatiquement lorsque 8531 (par défaut) ou 443 est sélectionné.

   

5. Si votre serveur de site Configuration Manager est distant du point de mise à jour logicielle, lancez la console WSUS à partir du serveur de site et vérifiez qu’elle peut se connecter via SSL.

   • Si la console WSUS distante ne peut pas se connecter, cela indique probablement un problème d’approbation du certificat, de résolution de noms ou de blocage du port.

Configurez le point de mise à jour logicielle pour exiger une communication SSL avec le serveur WSUS

Une fois que WSUS est configuré pour utiliser TLS/SSL, vous devez mettre à jour le point de mise à jour du logiciel Configuration Manager correspondant pour exiger également SSL. Lorsque vous apportez cette modification, le Configuration Manager :

• Vérifiez qu’il peut configurer le serveur WSUS pour le point de mise à jour logicielle
• Demandez aux clients d’utiliser le port SSL lorsqu’ils sont invités à effectuer une analyse sur ce serveur WSUS.

Pour configurer le point de mise à jour logicielle de sorte à exiger une communication SSL avec le serveur WSUS, procédez comme suit :

1. Ouvrez la console du Configuration Manager et connectez-vous à votre site d’administration centrale ou au serveur de site principal pour le point de mise à jour logicielle que vous devez modifier.

2. Accédez àVue d’ensemble> de l’administration>, Serveursde configuration de> siteet Rôles de système de site.

3. Sélectionnez le serveur de système de site sur lequel WSUS est installé, puis sélectionnez le rôle de système de site de point de mise à jour logicielle.

4. Dans le ruban, choisissez Propriétés.

5. Activez l’option Exiger une communication SSL avec le serveur WSUS .

   

6. Dans le WCM.log du site, les entrées suivantes s’affichent lorsque vous appliquez la modification :

   SCF change notification triggered.
   Populating config from SCF
   Setting new configuration state to 1 (WSUS_CONFIG_PENDING)
   ...
   Attempting connection to local WSUS server
   Successfully connected to local WSUS server
   ...
   Setting new configuration state to 2 (WSUS_CONFIG_SUCCESS)
   

Des exemples de fichiers journaux ont été modifiés pour supprimer des informations inutiles pour ce scénario.

Vérifier le fonctionnement à l’aide du Configuration Manager

Vérifier que le serveur de site peut synchroniser les mises à jour

1. Connectez la console du Configuration Manager au site de niveau supérieur.

2. Accéder àla vue d’ensemble> de la bibliothèque>de logiciels Mises à jour>logiciellesToutes les mises à jour logicielles.

3. Dans le ruban, sélectionnez Synchroniser les mises à jour logicielles.

4. Sélectionnez Oui à la notification vous demandant si vous souhaitez lancer une synchronisation à l’échelle du site pour les mises à jour logicielles.

   • Étant donné que la configuration WSUS a changé, une synchronisation complète des mises à jour logicielles se produit au lieu d’une synchronisation delta.

5. Ouvrez le wsyncmgr.log du site. Si vous surveillez un site enfant, vous devez d’abord attendre que le site parent termine la synchronisation. Vérifiez que le serveur se synchronise correctement en examinant le journal pour rechercher des entrées similaires à ce qui suit :

   Starting Sync
   ...
   Full sync required due to changes in main WSUS server location.
   ...
   Found active SUP SERVER.CONTOSO.COM from SCF File.
   ...
   https://SERVER.CONTOSO.COM:8531
   ...
   Done synchronizing WSUS Server SERVER.CONTOSO.COM
   ...
   sync: Starting SMS database synchronization
   ...
   Done synchronizing SMS with WSUS Server SERVER.CONTOSO.COM
   

Vérifier qu’un client peut rechercher des mises à jour

Lorsque vous modifiez le point de mise à jour logicielle pour qu’il exige SSL, les clients de Configuration Manager reçoivent l’URL WSUS mise à jour lorsqu’ils font une demande d’emplacement pour un point de mise à jour logicielle. En testant un client, nous pouvons :

• Déterminez si le client approuve le certificat du serveur WSUS.
• Si SimpleAuthWebService et ClientWebService pour WSUS sont fonctionnels.
• Que le répertoire virtuel de contenu WSUS est fonctionnel, si le client a obtenu un CLUF pendant l’analyse

1. Identifiez un client qui effectue une analyse du point de mise à jour logicielle récemment modifié pour utiliser TLS/SSL. Utilisez Exécuter des scripts avec le script PowerShell ci-dessous si vous avez besoin d’aide pour identifier un client :

   $Last = (Get-CIMInstance -Namespace "root\CCM\Scanagent" -Class "CCM_SUPLocationList").LastSuccessScanPath
   $Current= Write-Output (Get-CIMInstance -Namespace "root\CCM\Scanagent" -Class "CCM_SUPLocationList").CurrentScanPath
   Write-Host "LastGoodSUP- $last"
   Write-Host "CurrentSUP- $current"
   

   Conseil

   Ouvrez ce script dans le hub de la communauté. Pour plus d’informations, consultez Liens directs vers les éléments du hub de la communauté.

2. Exécutez un cycle d’analyse de mise à jour logicielle sur votre client de test. Vous pouvez forcer une analyse à l’aide du script PowerShell suivant :

   Invoke-WMIMethod -Namespace root\ccm -Class SMS_CLIENT -Name TriggerSchedule "{00000000-0000-0000-0000-000000000113}"
   

   Conseil

   Ouvrez ce script dans le hub de la communauté. Pour plus d’informations, consultez Liens directs vers les éléments du hub de la communauté.

3. Examinez les ScanAgent.log du client pour vérifier que le message à analyser par rapport au point de mise à jour logicielle a été reçu.

   Message received: '<?xml version='1.0' ?>
   <UpdateSourceMessage MessageType='ScanByUpdateSource'>
      <ForceScan>TRUE</ForceScan>
      <UpdateSourceIDs>
    		<ID>{A1B2C3D4-1234-1234-A1B2-A1B2C3D41234}</ID>
      </UpdateSourceIDs>
    </UpdateSourceMessage>'
   

4. Passez en revue le LocationServices.log pour vérifier que le client voit l’URL WSUS correcte. LocationServices.log

   WSUSLocationReply : <WSUSLocationReply SchemaVersion="1
   ...
   <LocationRecord WSUSURL="https://SERVER.CONTOSO.COM:8531" ServerName="SERVER.CONTOSO.COM"
   ...
   </WSUSLocationReply>
   

5. Examinez le WUAHandler.log pour vérifier que le client peut effectuer une analyse correcte.

   Enabling WUA Managed server policy to use server: https://SERVER.CONTOSO.COM:8531
   ...
   Successfully completed scan.
   

Épinglage de certificat TLS pour les appareils qui analysent les serveurs WSUS configurés en HTTPS

(Introduit dans la version 2103)

À partir de Configuration Manager 2103, vous pouvez renforcer la sécurité des analyses HTTPS sur WSUS en appliquant l’épinglage de certificat. Pour activer complètement ce comportement, ajoutez des certificats pour vos serveurs WSUS au nouveau WindowsServerUpdateServices magasin de certificats sur vos clients et assurez-vous que l’épinglage de certificats est activé via les paramètres client. Pour plus d’informations sur les modifications apportées à l’agent de mise à jour automatique Windows Update, consultez Analyser les modifications et les certificats pour renforcer la sécurité des périphériques Windows en utilisant WSUS pour les mises à jour - Microsoft Tech Community.

Conditions préalables à l’application de l’épinglage de certificat TLS pour le client Windows Update

• Configuration Manager version 2103
• Assurez-vous que vos serveurs WSUS et points de mise à jour logicielle sont configurés pour utiliser TLS/SSL
• Ajoutez les certificats de vos serveurs WSUS au nouveau WindowsServerUpdateServices magasin de certificats sur vos clients
  • Lorsque vous utilisez l’épinglage de certificat avec une passerelle de gestion cloud (CMG), le WindowsServerUpdateServices magasin a besoin du certificat CMG. Si les clients passent d’Internet à VPN, les certificats de serveur CMG et WSUS sont nécessaires dans le WindowsServerUpdateServices magasin.

Activer ou désactiver l’épinglage de certificat TLS pour les appareils qui analysent les serveurs WSUS configurés en HTTPS

1. Dans la console du Configuration Manager, accédez auxparamètres du clientd’administration>.
2. Choisissez les paramètres client par défaut ou un ensemble personnalisé de paramètres client, puis sélectionnez Propriétés dans le ruban.
3. Sélectionnez l’onglet Mises à jour logicielles dans les paramètres du client
4. Choisissez l’une des options suivantes pour le paramètre Appliquer l’épinglage de certificat TLS pour le client Windows Update pour la détection des mises à jour :
   • Non : ne pas activer l’application de l’épinglage de certificat TLS pour l’analyse WSUS
   • Oui : permet de mettre en œuvre l’épinglage de certificat TLS pour les appareils lors de l’analyse WSUS (par défaut)
5. Vérifiez que les clients peuvent rechercher des mises à jour.

Étapes suivantes

Déployer des mises à jour logicielles