サイト サーバーおよびリモート サイト システムで TLS 1.2 を有効にする方法

Configuration Manager (現在のブランチ) に適用

Configuration Manager 環境で TLS 1.2 を有効にする場合は、まずクライアントに対して TLS 1.2 を有効にします。 次に、サイト サーバーとリモート サイト システムで TLS 1.2 を有効にします。 最後に、サーバー側で古いプロトコルを無効にする前に、クライアントとサイト システムの通信をテストします。 サイト サーバーおよびリモート サイト システムで TLS 1.2 を有効にするには、次のタスクが必要です。

• オペレーティング システム レベルで SChannel のプロトコルとして TLS 1.2 が有効になっているか確認する
• TLS 1.2 をサポートするように .NET Framework を更新および構成する
• SQL Server およびクライアント コンポーネントの更新
• Windows Server Update Services (WSUS) を更新する

特定の Configuration Manager の機能とシナリオの依存関係の詳細については、「TLS 1.2 の有効化について」を参照してください。

オペレーティング システム レベルで SChannel のプロトコルとして TLS 1.2 が有効になっているか確認する

ほとんどの場合、プロトコルの使用は、オペレーティング システム レベル、フレームワークまたはプラットフォーム レベル、およびアプリケーション レベルの 3 つのレベルで制御されます。 TLS 1.2 は、オペレーティング システム レベルで既定で有効になっています。 .NET レジストリ値が TLS 1.2 を有効にするように設定されていることを確認し、環境がネットワークで TLS 1.2 を適切に利用していることを確認したら、 SChannel\Protocols レジストリ キーを編集して、古くなくてセキュリティの低いプロトコルを無効にすることができます。 TLS 1.0 および 1.1 を無効にする方法の詳細については、「 Windows レジストリでの Schannel プロトコルの構成」を参照してください。

TLS 1.2 をサポートするように .NET Framework を更新および構成する

.NET のバージョンの確認

まず、インストールされている .NET のバージョンを確認します。 詳細については、「インストールされている Microsoft .NET Framework のバージョンおよび Service Pack のレベルを確認する」を参照してください。

.NET 更新プログラムのインストール

.NET 更新プログラムをインストールして、強力な暗号化を有効にできるようにします。 .NET Framework の一部のバージョンでは、強力な暗号化を有効にするための更新が必要になる場合があります。 次のガイドラインを使用してください：

• NET Framework 4.6.2 以降では、TLS 1.1 および TLS 1.2 がサポートされます。 レジストリの設定を確認しますが、追加変更は必要ありません。

  注:

  バージョン 2107 以降、Configuration Manager を使用するには、サイト サーバー、特定のサイト システム、クライアント、およびコンソール用の Microsoft .NET Framework バージョン 4.6.2 が必要です。 可能な場合は、最新バージョンの .NET バージョン 4.8 をインストールしてください。

• NET Framework 4.6 以前のバージョンを更新して、TLS 1.1 および TLS 1.2 をサポートします。 詳細については、「.NET Framework のバージョンおよび依存関係」を参照してください。

• Windows 8.1、Windows Server 2012 R2、または Windows Server 2012 で .NET Framework 4.5.1 または 4.5.2 を使用している場合は、TLS 1.2 を適切に有効にするために、.Net Framework 4.5.1 および 4.5.2 の最新のセキュリティ更新プログラムをインストールすることを強くお勧めします。

  参考までに、TLS 1.2 は、次の修正プログラムのロールアップによって .Net Framework 4.5.1 および 4.5.2 に最初に導入されました。

  • Windows 8.1 および Server 2012 R2: 修正プログラムのロールアップ 3099842
  • Windows Server 2012向け: 修正プログラムのロールアップ 3099844

強力な暗号化の構成

強力な暗号化をサポートするように .NET Framework を構成します。 SchUseStrongCrypto レジストリ設定を DWORD:00000001 に設定します。 この値は RC4 ストリームの暗号を無効にし、再起動が必要になります。 この設定の詳細については、 マイクロソフト セキュリティ アドバイザリ 296038を参照してください。

TLS 1.2 対応システムとネットワーク経由で通信するコンピューターで、次のレジストリ キーを設定してください。 たとえば、Configuration Manager クライアント、サイト サーバーにインストールされていないリモート サイト システムの役割、サイト サーバー自体などです。

32 ビット OS で実行されている 32 ビット アプリケーション、および 64 ビット OS で実行されている 64 ビット アプリケーションの場合、次のサブキー値を更新します。

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001

64 ビット OS で実行されている 32 ビット アプリケーションの場合、次のサブキー値を更新します。

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v2.0.50727]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001

SQL Server およびクライアント コンポーネントの更新

Microsoft SQL Server 2016 以降では、TLS 1.1 および TLS 1.2 がサポートされています。 以前のバージョンと依存ライブラリでは、更新が必要になる場合があります。 詳細については、「KB 3135244: Microsoft SQL Server の TLS 1.2 サポート」を参照してください。

セカンダリ サイト サーバーでは、少なくとも SQL Server 2016 Express Service Pack 2 (13.2.50.26) 以降を使用する必要があります。

SQL Server Native Client

また、SQL Server Native Client を少なくともバージョン SQL Server 2012 SP4 (11.*.7001.0) に更新してください。 この要件は、前提条件チェック (警告) です。

Configuration Manager は、次のサイト システムの役割で SQL Server Native Client を使用します。

• サイト データベース サーバー
• サイト サーバー: 中央管理サイト、プライマリ サイト、またはセカンダリ サイト
• 管理ポイント
• デバイス管理ポイント
• 状態移行ポイント
• SMS プロバイダー
• ソフトウェアの更新ポイント
• マルチキャスト対応の配布ポイント
• 資産インテリジェンス更新サービス ポイント
• レポート サービス ポイント
• 登録ポイント
• Endpoint Protection ポイント
• サービス接続ポイント
• 証明書の登録ポイント
• データ ウェアハウス サービス ポイント

Automanage Machine Configuration と Azure Arc を使用して TLS 1.2 を大規模に有効化する

Azure、オンプレミス、またはマルチクラウド環境で実行されているマシンに対して、クライアントとサーバーの両方で TLS 1.2 を自動的に構成します。 マシン全体で TLS 1.2 の構成を開始するには、既定でマシン構成の前提条件が付属している Azure Arc 対応サーバーを使用してマシンを Azure に接続します。 接続したら、Azure portal の組み込みポリシー定義をデプロイすることで、ポイント アンド クリックで簡単に TLS 1.2 を構成できます: Windows サーバーでセキュリティで保護された通信プロトコル (TLS 1.1 または TLS 1.2) を構成します。 ポリシー スコープは、サブスクリプション、リソース グループ、または管理グループのレベルで割り当てることができ、ポリシー定義からリソースを除外することもできます。

構成が割り当てられたら、[ゲストの割り当て] ページに移動し、影響を受けるリソースを絞り込むことで、リソースのコンプライアンス状態を詳細に表示できます。

詳細な手順ごとのチュートリアルについては、「Azure Arc とマシン構成の自動管理を使用してサーバー TLS プロトコルを一貫してアップグレードする」を参照してください。

Windows Server Update Services (WSUS) を更新する

TLS 1.2 は、現在サポートされているすべてのバージョンの Windows Server の WSUS に対して既定でサポートされます。

以前のバージョンの WSUS で TLS 1.2 をサポートするには、WSUS サーバーに次の更新プログラムをインストールします。

• Windows Server 2012を実行している WSUS サーバーの場合は、更新プログラム 4022721 またはそれ以降のロールアップ更新プログラムをインストールします。

• Windows Server 2012 R2 を実行している WSUS サーバーの場合は、更新プログラム 4022720 以降のロールアップ更新プログラムをインストールします。

次の手順

• TLS 1.2 を有効にするときの一般的な問題