TLS 1.2 を有効にする方法

Configuration Manager (現在のブランチ) に適用

トランスポート層セキュリティ (TLS) は、Secure Sockets Layer (SSL) と同様に、ネットワーク経由で転送されるときにデータを安全に保つことを目的とした暗号化プロトコルです。 これらの記事では、Configuration Manager のセキュリティで保護された通信で TLS 1.2 プロトコルを使用するために必要な手順について説明します。 また、これらの資料では、よく使用されるコンポーネントの更新要件と一般的な問題のトラブルシューティングについても説明します。

TLS 1.2 の有効化

Configuration Manager は、安全な通信のためにさまざまなコンポーネントに依存します。 特定の接続に使用されるプロトコルは、クライアント側とサーバー側の両方の関連コンポーネントの機能によって異なります。 コンポーネントが古くなっているか適切に構成されていない場合は、通信で古く、よりセキュリティ レベルの低いプロトコルが使用されている可能性があります。 すべてのセキュリティで保護された通信で TLS 1.2 をサポートするために Configuration Manager を正しく有効にするには、すべての必要なコンポーネントに対して TLS 1.2 を有効にする必要があります。 必要なコンポーネントは、環境および使用する Configuration Manager の機能によって異なります。

Configuration Manager クライアント、サイト サーバー、およびリモート サイト システムのタスク

安全な通信のために Configuration Manager が依存するコンポーネントに対して TLS 1.2 を有効にするには、クライアントとサイト サーバーの両方で複数のタスクを実行する必要があります。

Configuration Manager クライアントに対して TLS 1.2 を有効にする

• Windows 8.0、Windows Server 2012 (非 R2) およびそれ以前で Windows と WinHTTP を更新する
• TLS 1.2 が OS レベルで SChannel のプロトコルとして有効になっていることを確認する
• TLS 1.2 をサポートするように .NET Framework を更新および構成する

Configuration Manager サイト サーバーとリモート サイト システム用に TLS 1.2 を有効にする

• TLS 1.2 が OS レベルで SChannel のプロトコルとして有効になっていることを確認する
• TLS 1.2 をサポートするように .NET Framework を更新および構成する
• SQL Server および SQL Server Native Client を更新する
• Windows Server Update Services (WSUS) を更新する

機能とシナリオの依存関係

このセクションでは、特定の Configuration Manager の機能とシナリオの依存関係について説明します。 次の手順を決定するには、環境に適用する項目を見つけます。

よく寄せられる質問

Configuration Manager で TLS 1.2 を使用する理由

TLS 1.2 は、SSL 2.0、SSL 3.0、TLS 1.0、TLS 1.1 などの以前の暗号化プロトコルよりも安全です。 基本的に、TLS 1.2 は、ネットワーク経由で転送されるデータの安全性を高めます。

Configuration Manager では TLS 1.2 などの暗号化プロトコルがどこで使用されますか?

Configuration Manager が TLS 1.2 などの暗号化プロトコルを使用する領域は、基本的に 5 つあります。

• HTTPS を使用するように構成されている場合の、IIS ベースのサイト サーバーの役割に対するクライアント通信。 これらの役割の例には、配布ポイント、ソフトウェアの更新ポイント、管理ポイントがあります。
• 管理ポイント、SMS エグゼクティブ、および SMS プロバイダーと SQL との通信。 Configuration Manager は常に SQL Server 通信を暗号化します。
• WSUS が HTTPS を使用するように構成されている場合、サイト サーバーと WSUS 間の通信。
• SSRS が HTTPS を使用するように構成されている場合、SQL Server Reporting Services (SSRS) への Configuration Manager コンソール。
• インターネット ベースのサービスへの接続。 たとえば、クラウド管理ゲートウェイ (CMG)、サービス接続ポイントの同期、Microsoft Update からの更新プログラムのメタデータの同期などがあります。

使用される暗号化プロトコルは何によって決まりますか?

HTTPS は、暗号化された会話でクライアントとサーバーの両方でサポートされている最上位のプロトコル バージョンを常にネゴシエートします。 接続が確立されると、クライアントは利用可能な最高のプロトコルを使用してサーバーにメッセージを送信します。 サーバーが同じバージョンをサポートしている場合、サーバーはそのバージョンを使用してメッセージを送信します。 このネゴシエートされたバージョンは、接続に使用されるバージョンです。 クライアントによって提示されたバージョンがサーバーでサポートされていない場合、サーバー メッセージは使用できる最上位のバージョンを指定します。 TLS ハンドシェイク プロトコルの詳細については、「 TLS を使用したセキュア セッションの確立」を参照してください。

クライアントとサーバーが使用できるプロトコル バージョンは何によって決まりますか?

一般に、次の項目によって、使用されるプロトコル バージョンが決定されます。

• アプリケーションでは、ネゴシエートする特定のプロトコル バージョンを指示できます。
  • ベスト プラクティスは、アプリケーション レベルで特定のプロトコル バージョンをハードコーディングせず、コンポーネントおよび OS プロトコル レベルで定義された構成に従うことです。
  • Configuration Manager は、このベスト プラクティスに従います。
• .NET Framework を使用して記述されたアプリケーションの場合、既定のプロトコル バージョンはコンパイルされたフレームワークのバージョンによって異なります。
  • 4.6.3 より前の .NET バージョンでは、既定でネゴシエーション用のプロトコルの一覧に TLS 1.1 および 1.2 は含まれていませんでした。
• HTTPS 通信に WinHTTP を使用するアプリケーション (Configuration Manager クライアントなど) は、プロトコル バージョンのサポートのために、OS バージョン、パッチ レベル、構成によって異なります。

その他のリソース

• 暗号化コントロールのテクニカル リファレンス
• .NET Framework を使用したトランスポート層セキュリティ (TLS) のベスト プラクティス
• KB 3135244: Microsoft SQL Server の TLS 1.2 サポート

次の手順

• クライアントで TLS 1.2 を有効にする
• サイト サーバーで TLS 1.2 を有効にする