Come abilitare TLS 1.2 nei server del sito e nei sistemi del sito remoti

Si applica a: Configuration Manager (Current Branch)

Quando abiliti TLS 1.2 per l'ambiente di Configuration Manager, inizia abilitando TLS 1.2 per i client. Quindi, abilitare TLS 1.2 nei server del sito e nei sistemi del sito remoto. Infine, testare le comunicazioni del sistema da client a sito prima di disabilitare potenzialmente i vecchi protocolli sul lato server. Per abilitare TLS 1.2 nei server del sito e nei sistemi del sito remoto, sono necessarie le attività seguenti:

• Verificare che TLS 1.2 sia abilitato come protocollo per SChannel a livello di sistema operativo
• Aggiornare e configurare il .NET Framework per supportare TLS 1.2
• Aggiornare SQL Server e i componenti client
• Aggiornare Windows Server Update Services (WSUS)

Per altre informazioni sulle dipendenze per specifiche funzionalità e scenari di Configuration Manager, vedi Informazioni sull'abilitazione di TLS 1.2.

Verificare che TLS 1.2 sia abilitato come protocollo per SChannel a livello di sistema operativo

Per la maggior parte, l'utilizzo del protocollo è controllato a tre livelli, il livello del sistema operativo, il livello del framework o della piattaforma e il livello dell'applicazione. TLS 1.2 è abilitato per impostazione predefinita a livello di sistema operativo. Dopo essersi assicurati che i valori del Registro di sistema .NET siano impostati per abilitare TLS 1.2 e aver verificato che l'ambiente utilizzi correttamente TLS 1.2 sulla rete, è possibile modificare la SChannel\Protocols chiave del Registro di sistema per disabilitare i protocolli meno recenti e sicuri. Per altre informazioni sulla disabilitazione di TLS 1.0 e 1.1, vedere Configurazione dei protocolli Schannel nel Registro di sistema di Windows.

Aggiornare e configurare il .NET Framework per supportare TLS 1.2

Determinare la versione di .NET

Determinare innanzitutto le versioni di .NET installate. Per ultieriori informazioni, consultare Come determinare la versione e il livello di Service Pack di Microsoft .NET Framework installati.

Installare gli aggiornamenti di .NET

Installare gli aggiornamenti .NET in modo da abilitare la crittografia avanzata. Alcune versioni di .NET Framework potrebbero richiedere aggiornamenti per abilitare la crittografia avanzata. Linee guida:

• NET Framework 4.6.2 e versioni successive supporta TLS 1.1 e TLS 1.2. Verifica le impostazioni del Registro di sistema, ma non sono necessarie altre modifiche.

  Nota

  A partire dalla versione 2107, Configuration Manager richiede Microsoft .NET Framework versione 4.6.2 per i server del sito, i sistemi del sito specifici, i client e la console. Se possibile nel proprio ambiente, installare la versione più recente di .NET versione 4.8.

• Aggiornare NET Framework 4.6 e le versioni precedenti per supportare TLS 1.1 e TLS 1.2. Per ulteriori informazioni, visitare Versioni e dipendenze di .NET Framework.

• Se si usa .NET Framework 4.5.1 o 4.5.2 in Windows 8.1, Windows Server 2012 R2 o Windows Server 2012, è consigliabile installare gli aggiornamenti della sicurezza più recenti per .NET Framework 4.5.1 e 4.5.2 per garantire che TLS 1.2 possa essere abilitato correttamente.

  Per riferimento, TLS 1.2 è stato introdotto per la prima volta in .Net Framework 4.5.1 e 4.5.2 con gli aggiornamenti cumulativi hotfix seguenti:

  • Per Windows 8.1 e Server 2012 R2: 3099842 di aggiornamento rapido (aggiornamento cumulativo)
  • Per Windows Server 2012: Aggiornamento cumulativo 3099844

Configurare per la crittografia avanzata

Configurare .NET Framework per supportare la crittografia avanzata. Imposta l'impostazione del SchUseStrongCrypto Registro di sistema su DWORD:00000001. Questo valore disabilita la crittografia del flusso RC4 e richiede un riavvio. Per ulteriori informazioni su questa impostazione, vedere l'avviso di sicurezza Microsoft 296038.

Assicurarsi di impostare le chiavi del Registro di sistema seguenti in qualsiasi computer che comunica attraverso la rete con un sistema abilitato per TLS 1.2. Ad esempio, i client di Configuration Manager, i ruoli del sistema del sito remoto non installati nel server del sito e il server del sito stesso.

Per le applicazioni a 32 bit in esecuzione in sistemi operativi a 32 bit e per le applicazioni a 64 bit in esecuzione in sistemi operativi a 64 bit, aggiornare i valori delle sottochiavi seguenti:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001

Per le applicazioni a 32 bit eseguite in sistemi operativi a 64 bit, aggiornare il valore della seguente sottochiave:

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v2.0.50727]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001

Aggiornare SQL Server e i componenti client

Microsoft SQL Server 2016 e versioni successive supportano TLS 1.1 e TLS 1.2. Le versioni precedenti e le librerie dipendenti potrebbero richiedere aggiornamenti. Per altre informazioni, vedere KB 3135244: supporto di TLS 1.2 per Microsoft SQL Server.

I server del sito secondario devono usare almeno SQL Server 2016 Express con Service Pack 2 (13.2.50.26) o versione successiva.

SQL Server Native Client

Assicurarsi di aggiornare anche SQL Server Native Client almeno alla versione di SQL Server 2012 SP4 (11.*.7001.0). Questo requisito è un controllo dei prerequisiti (avviso).

Configuration Manager usa SQL Server Native Client nei ruoli del sistema del sito seguenti:

• Server database del sito
• Server del sito: sito di amministrazione centrale, sito primario o sito secondario
• Punto di gestione
• Punto di gestione dispositivi
• Punto di migrazione stato
• Provider SMS
• Punto di aggiornamento software
• Punto di distribuzione abilitato per il multicast
• Punto di servizio di aggiornamento di Asset Intelligence
• Punto di Reporting Services
• Punto di registrazione
• Punto di protezione degli endpoint
• Punto di connessione del servizio
• Punto di registrazione certificati
• Punto servizio data warehouse

Abilitare TLS 1.2 su larga scala usando Gestione automatica Configurazione computer e Azure Arc

Configura automaticamente TLS 1.2 tra client e server per i computer in esecuzione in ambienti Azure, on-premise o multi-cloud. Per iniziare a configurare TLS 1.2 in tutti i computer, connetterli ad Azure usando server abilitati per Azure Arc, che viene fornito con il prerequisito di configurazione del computer per impostazione predefinita. Una volta connesso, TLS 1.2 può essere configurato con semplicità point-and-click distribuendo la definizione dei criteri predefinita nel portale di Azure: Configurare protocolli di comunicazione sicuri (TLS 1.1 o TLS 1.2) nei server Windows. L'ambito dei criteri può essere assegnato a livello di sottoscrizione, gruppo di risorse o gruppo di gestione, nonché escludere tutte le risorse dalla definizione dei criteri.

Dopo aver assegnato la configurazione, lo stato di conformità delle risorse può essere visualizzato in dettaglio passando alla pagina Assegnazioni guest e specificando l'ambito delle risorse interessate.

Per un'esercitazione dettagliata e dettagliata, vedere Aggiornare in modo coerente il protocollo TLS del server usando Azure Arc e Gestione automatica della configurazione del computer.

Aggiornare Windows Server Update Services (WSUS)

TLS 1.2 è supportato per impostazione predefinita per WSUS in tutte le versioni attualmente supportate di Windows Server.

Per supportare TLS 1.2 nelle versioni precedenti di WSUS, installare l'aggiornamento seguente nel server WSUS:

• Per il server WSUS che esegue Windows Server 2012, installa l'aggiornamento 4022721 o un aggiornamento cumulativo successivo.

• Per il server WSUS che esegue Windows Server 2012 R2, installa l'aggiornamento 4022720 o un aggiornamento cumulativo successivo.

Passaggi successivi

• Problemi comuni durante l'abilitazione di TLS 1.2