TLS 1.2 inschakelen op de siteservers en externe sitesystemen

Van toepassing op: Configuration Manager (Current Branch)

Wanneer u TLS 1.2 inschakelt voor uw Configuration Manager-omgeving, moet u eerst TLS 1.2 inschakelen voor de clients. Schakel vervolgens TLS 1.2 op de siteservers en externe sitesystemen in. Test ten slotte de communicatie tussen clients in het systeem voordat u de oudere protocollen aan de serverzijde uitschakelt. De volgende taken zijn nodig om TLS 1.2 op de siteservers en externe sitesystemen in te schakelen:

• Zorg ervoor dat TLS 1.2 is ingeschakeld als protocol voor SChannel op het niveau van het besturingssysteem
• Werk het .NET Framework bij en configureer het om TLS 1.2 te ondersteunen
• Werk SQL Server- en clientcomponenten bij
• Update voor Windows Server Update Services (WSUS)

Zie TLS 1.2 inschakelen voor meer informatie over afhankelijkheden voor specifieke functies en scenario's van Configuration Manager.

Zorg ervoor dat TLS 1.2 is ingeschakeld als protocol voor SChannel op het niveau van het besturingssysteem

Het protocolgebruik wordt voornamelijk beheerd op drie niveaus: het besturingssysteemniveau, het framework- of platformniveau en het toepassingsniveau. TLS 1.2 is standaard ingeschakeld op het niveau van het besturingssysteem. Zodra u ervoor hebt gezorgd dat de registerwaarden voor .NET TLS 1.2 zijn ingeschakeld en hebt geverifieerd dat TLS 1.2 correct wordt gebruikt in het netwerk, wilt u misschien de SChannel\Protocols registersleutel bewerken om de oudere, minder veilige protocollen uit te schakelen. Zie Schannel-protocollen configureren in het Windows-register voor meer informatie over het uitschakelen van TLS 1.0 en 1.1.

Werk het .NET Framework bij en configureer het om TLS 1.2 te ondersteunen

Versie van .NET bepalen

Bepaal eerst de geïnstalleerde .NET-versies. Raadpleeg voor meer informatie Bepalen welke versies en servicepackniveaus van .NET Framework zijn geïnstalleerd.

.Net-updates installeren

Installeer de .NET-updates, zodat u krachtige codering kunt inschakelen. Voor sommige versies van .NET Framework zijn mogelijk updates vereist om krachtige codering mogelijk te maken. Volg deze richtlijnen:

• NET Framework 4.6.2 en hoger ondersteunen TLS 1.1 en TLS 1.2. Bevestig de registerinstellingen, maar er zijn geen extra wijzigingen nodig.

  Opmerking

  Vanaf versie 2107 vereist Configuration Manager Microsoft .NET Framework versie 4.6.2 voor siteservers, specifieke sitesystemen, clients en de console. Installeer, indien mogelijk in uw omgeving, de nieuwste versie van .NET versie 4.8.

• Werk NET Framework 4.6 en eerdere versies bij om TLS 1.1 en TLS 1.2 te ondersteunen. Raadpleeg .NET Framework versies en afhankelijkheden voor meer informatie.

• Als u gebruikmaakt van .NET Framework 4.5.1 of 4.5.2 op Windows 8.1, Windows Server 2012 R2 of Windows Server 2012, wordt het ten zeerste aangeraden de meest recente beveiligingsupdates voor .NET Framework 4.5.1 en 4.5.2 te installeren om ervoor te zorgen dat TLS 1.2 correct kan worden ingeschakeld.

  Ter referentie: TLS 1.2 werd voor het eerst geïntroduceerd in .Net Framework 4.5.1 en 4.5.2 met de volgende hotfix-rollups:

  • Voor Windows 8.1 en Server 2012 R2: Hotfix-rollup 3099842
  • Voor Windows Server 2012: Hotfix-rollup 3099844

Configureren voor krachtige codering

Configureer .NET Framework voor ondersteuning van krachtige codering. Stel de SchUseStrongCrypto registerinstelling in op DWORD:00000001. Met deze waarde wordt het RC4-stroomcijfer uitgeschakeld en moet er opnieuw worden opgestart. Zie het Microsoft-beveiligingsadvies 296038 voor meer informatie over deze instelling.

Zorg ervoor dat u de volgende registersleutels instelt op elke computer die via het netwerk communiceert met een TLS 1.2-systeem. Bijvoorbeeld Configuration Manager-clients, externe sitesysteemrollen die niet zijn geïnstalleerd op de siteserver en de siteserver zelf.

Voor 32-bits toepassingen die worden uitgevoerd op 32-bits besturingssystemen en voor 64-bits toepassingen die worden uitgevoerd op 64-bits besturingssystemen werkt u de volgende subsleutelwaarden bij:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001

Voor 32-bits toepassingen die worden uitgevoerd op 64-bits besturingssystemen, werkt u de volgende subsleutelwaarden bij:

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v2.0.50727]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001

Werk SQL Server- en clientcomponenten bij

Microsoft SQL Server 2016 en hoger ondersteunen TLS 1.1 en TLS 1.2. Voor eerdere versies en afhankelijke bibliotheken zijn mogelijk updates vereist. Zie KB 3135244: TLS 1.2-ondersteuning voor Microsoft SQL Server voor meer informatie.

Voor secundaire siteservers moet minimaal SQL Server 2016 Express met Service Pack 2 (13.2.50.26) of hoger worden gebruikt.

SQL Server Native Client

Zorg ervoor dat u ook de SQL Server Native Client bijwerkt naar ten minste versie van SQL Server 2012 SP4 (11.*.7001.0). Deze vereiste is een noodzakelijke controle (waarschuwing).

Configuration Manager gebruikt SQL Server Native Client op de volgende sitesysteemrollen:

• Sitedatabaseserver
• Siteserver: site voor centraal beheer, primaire site of secundaire site
• Beheerpunt
• Punt voor apparaatbeheer
• Statusmigratiepunt
• SMS-provider
• Software-updatepunt
• Distributiepunt met multicast
• Servicepunt voor Asset Intelligence-update
• Reporting Services-punt
• Inschrijvingspunt
• Eindpuntbeveiligingspunt
• Serviceaansluitpunt
• Registratiepunt voor certificaat
• Servicepunt datawarehouse

TLS 1.2 op schaal inschakelen met Automanage Machine Configuration en Azure Arc

Configureert TLS 1.2 automatisch op zowel client als server voor machines die worden uitgevoerd in Azure, on-premises of multi-cloudomgevingen. Als u TLS 1.2 op uw computers wilt gaan configureren, verbindt u ze met Azure met behulp van servers met Azure Arc, die standaard worden geleverd met de vereiste machineconfiguratie. Wanneer TLS 1.2 is verbonden, kan het eenvoudig worden geconfigureerd met point-and-click door de ingebouwde beleidsdefinitie in Azure Portal te implementeren: Configureer veilige communicatieprotocollen (TLS 1.1 of TLS 1.2) op Windows-servers. Het beleidsbereik kan worden toegewezen op abonnements-, resourcegroep- of managementgroepniveau, en resources uitsluiten van de beleidsdefinitie.

Nadat de configuratie is toegewezen, kan de compatibiliteitsstatus van uw resources in detail worden bekeken door te navigeren naar de pagina Gasttoewijzingen en het bereik te beperken tot de betrokken resources.

Voor een gedetailleerde, stapsgewijze zelfstudie, raadpleegt u Consistent het TLS-protocol van uw server upgraden met behulp van Azure Arc en Automanage Machine Configuration.

Update voor Windows Server Update Services (WSUS)

TLS 1.2 wordt standaard ondersteund voor WSUS op alle momenteel ondersteunde versies van Windows Server.

Installeer de volgende update op de WSUS-server om TLS 1.2 te ondersteunen in eerdere versies van WSUS:

• Voor een WSUS-server waarop Windows Server 2012 wordt uitgevoerd, installeert u de update 4022721 of een later updatepakket.

• Voor de WSUS-server die wordt uitgevoerd Windows Server 2012 R2, installeert u update 4022720 of een latere updatepakketupdate.

Volgende stappen

• Veelvoorkomende problemen bij het inschakelen van TLS 1.2