Zelfstudie: Een software-updatepunt configureren voor het gebruik van TLS/SSL met een PKI-certificaat

Van toepassing op: Configuration Manager (current branch)

Het configureren van Windows Server Update Services (WSUS)-servers en de bijbehorende software-updatepunten (SUP) voor het gebruik van TLS/SSL kan de mogelijkheid van een potentiële aanvaller om op afstand een client te hacken verminderen en bevoegdheden verhogen. Om ervoor te zorgen dat de beste beveiligingsprotocollen aanwezig zijn, raden we u ten zeerste aan het TLS/SSL-protocol te gebruiken om uw software-update-infrastructuur te beveiligen. In dit artikel wordt uitgelegd hoe u elk van uw WSUS-servers en het software-updatepunt moet configureren voor het gebruik van HTTPS. Zie het artikel Secure WSUS met het Secure Sockets Layer Protocol in de WSUS-documentatie voor meer informatie over het beveiligen van WSUS.

In deze zelfstudie leert u:

Overwegingen en beperkingen

WSUS gebruikt TLS/SSL om clientcomputers en downstream WSUS-servers te verifiëren bij de upstream WSUS-server. WSUS gebruikt ook TLS/SSL om metagegevens van updates te versleutelen. WSUS gebruikt geen TLS/SSL voor de inhoudsbestanden van een update. De inhoudsbestanden worden ondertekend en de hash van het bestand wordt opgenomen in de metagegevens van de update. Voordat de bestanden worden gedownload en geïnstalleerd door de client, worden zowel de digitale handtekening als de hash gecontroleerd. Als een van beide controles mislukt, wordt de update niet geïnstalleerd.

Houd rekening met de volgende beperkingen wanneer u TLS/SSL gebruikt om een WSUS-implementatie te beveiligen:

• Het gebruik van TLS/SSL verhoogt de werkbelasting van de server. U kunt een klein prestatieverlies verwachten door het versleutelen van alle metagegevens die via het netwerk worden verzonden.
• Als u WSUS gebruikt met een externe SQL Server-database, is de verbinding tussen de WSUS-server en de databaseserver niet beveiligd met TLS/SSL. Als de databaseverbinding moet worden beveiligd, kunt u de volgende aanbevelingen overwegen:
  • Verplaats de WSUS-database naar de WSUS-server.
  • Verplaats de externe databaseserver en de WSUS-server naar een particulier netwerk.
  • Implementeer IPsec (Internet Protocol Security) om netwerkverkeer te beveiligen.

Wanneer u WSUS-servers en de bijbehorende software-updatepunten configureert voor het gebruik van TLS/SSL, is het raadzaam om de wijzigingen voor grote Configuration Manager-hiërarchieën geleidelijk in te voeren. Als u ervoor kiest om deze wijzigingen gefaseerd door te voeren, begint u onderaan de hiërarchie en gaat u omhoog tot aan de centrale beheersite.

Vereisten

In deze zelfstudie wordt de meest gebruikte methode behandeld voor het verkrijgen van een certificaat voor gebruik met IIS (Internet Information Services). Welke methode uw organisatie ook gebruikt, zorg ervoor dat het certificaat voldoet aan de PKI-certificaatvereisten voor een Configuration Manager-software-updatepunt. Net als bij elk certificaat moet de certificeringsinstantie worden vertrouwd door apparaten die communiceren met de WSUS-server.

• Een WSUS-server waarop de rol software-updatepunt is geïnstalleerd
• Controleer of u de aanbevolen procedures voor het uitschakelen van recycling en het configureren van geheugenlimieten voor WSUS hebt gevolgd voordat u TLS/SSL inschakelt.
• Een van de volgende twee opties:
  • Een geschikt PKI-certificaat dat al aanwezig is in het persoonlijke certificaatarchief van de WSUS-server.
  • De mogelijkheid om een geschikt PKI-certificaat voor de WSUS-server aan te vragen en te verkrijgen bij uw Enterprise Root Certificate Authority (CA).
    • Standaard worden de meeste certificaatsjablonen, waaronder de WebServer-certificaatsjabloon, alleen uitgegeven aan domeinbeheerders. Als de aangemelde gebruiker geen domeinbeheerder is, moet aan zijn of haar gebruikersaccount de machtiging Inschrijven voor de certificaatsjabloon worden verleend.

Haal het certificaat zo nodig op bij de certificeringsinstantie

Als u al een geschikt certificaat in het persoonlijke certificaatarchief van de WSUS-server hebt, slaat u deze sectie over en begint u met de sectie Het certificaat binden . Als u een certificaataanvraag wilt versturen naar uw interne certificeringsinstantie om een nieuw certificaat te installeren, volgt u de instructies in deze sectie.

1. Open vanaf de WSUS-server een administratieve opdrachtprompt en voer uit certlm.msc. Uw gebruikersaccount moet dat van een lokale beheerder zijn om certificaten voor de lokale computer te beheren.

   Het hulpprogramma Certificaatbeheer voor het lokale apparaat wordt weergegeven.

2. Vouw Persoonlijk uit en klik met de rechtermuisknop op Certificaten.

3. Selecteer Alle taken en vervolgens Nieuw certificaat aanvragen.

4. Kies Volgende om de certificaatinschrijving te starten.

5. Kies het type certificaat dat u wilt registreren. Het certificaatdoel is Serververificatie en de te gebruiken Microsoft-certificaatsjabloon is Webserver of een aangepaste sjabloon waarvoor Serververificatie is opgegeven als Uitgebreid sleutelgebruik. U wordt mogelijk om aanvullende informatie gevraagd om het certificaat te registreren. Doorgaans moet u ten minste de volgende informatie opgeven:

   • Algemene naam: Stel op het tabblad Onderwerp de waarde in op de FQDN van de WSUS-server.
   • Beschrijvende naam: Deze vindt u op het tabblad Algemeen en stelt de waarde in op een beschrijvende naam zodat u het certificaat later gemakkelijker kunt herkennen.

   

6. Selecteer Inschrijven en vervolgens Voltooien om de inschrijving te voltooien.

7. Open het certificaat als u er details over wilt zien, zoals de vingerafdruk van het certificaat.

Bind het certificaat aan de WSUS-beheersite

Zodra u het certificaat in het persoonlijke certificaatarchief van de WSUS-server hebt geplaatst, bindt u het aan de WSUS-beheersite in IIS.

1. Open IIS-beheer (Internet Information Services) op de WSUS-server.

2. Ga naar Sites>: WSUS-beheer.

3. Selecteer bindingen in het actiemenu of door met de rechtermuisknop op de site te klikken.

4. Selecteer in het venster Sitebindingen de lijn voor https en selecteer vervolgens Bewerken....

   • Verwijder niet de HTTP-sitebinding. WSUS gebruikt HTTP voor de inhoudsbestanden van de update.

5. Kies onder de optie SSL-certificaat het certificaat dat u wilt koppelen aan de WSUS-beheersite. De beschrijvende naam van het certificaat wordt weergegeven in de vervolgkeuzelijst. Als er geen beschrijvende IssuedTo naam is opgegeven, wordt het veld van het certificaat weergegeven. Als u niet zeker weet welk certificaat u moet gebruiken, selecteert u Weergeven en controleert u of de vingerafdruk overeenkomt met de vingerafdruk die u hebt verkregen.

   

6. Selecteer OK wanneer u klaar bent en vervolgens Sluiten om de sitebindingen af te sluiten. Houd IIS-beheer (Internet Information Services) open voor de volgende stappen.

De WSUS-webservices configureren voor het vereisen van SSL

1. Ga in IIS-beheer op de WSUS-server naar Sites>WSUS-beheer.

2. Vouw de WSUS-beheersite uit zodat u de lijst met webservices en virtuele mappen voor WSUS ziet.

3. Voor elk van de onderstaande WSUS-webservices:

   • ApiRemoting30
   • ClientWebService
   • DSSAuthWebService
   • ServerSyncWebService
   • SimpleAuthWebService

   Breng de volgende wijzigingen aan:

   1. SSL-instellingen selecteren.
   2. Schakel de optie SSL vereisen in.
   3. Controleer of de optie Clientcertificaten is ingesteld op Negeren.
   4. Selecteer Toepassen.

Stel de SSL-instellingen niet in op de WSUS-beheersite op het hoogste niveau, aangezien voor bepaalde functies, zoals inhoud, HTTP moet worden gebruikt.

De WSUS-toepassing configureren voor het gebruik van SSL

Zodra de webservices zijn ingesteld op het vereisen van SSL, moet de WSUS-toepassing hiervan op de hoogte worden gesteld zodat deze aanvullende configuratie kan uitvoeren ter ondersteuning van de wijziging.

1. Open een beheerdersopdrachtprompt op de WSUS-server. Het gebruikersaccount waarop deze opdracht wordt uitgevoerd, moet lid zijn van de WSUS-beheerdersgroep of de lokale groep Administrators.

2. Verander de map naar de map hulpprogramma's voor WSUS:

   cd "c:\Program Files\Update Services\Tools"

3. Configureer WSUS voor gebruik van SSL met de volgende opdracht:

   WsusUtil.exe configuressl server.contoso.com

   Waar server.contoso.com de FQDN van de WSUS-server is.

4. WsusUtil retourneert de URL van de WSUS-server met het poortnummer dat aan het einde is opgegeven. De poort wordt 8531 (standaard) of 443. Controleer of de geretourneerde URL is wat u verwachtte. Als u iets verkeerd hebt getypt, kunt u de opdracht opnieuw uitvoeren.

   

Controleer of de WSUS-console verbinding kan maken via SSL

De WSUS-console gebruikt de ApiRemoting30-webservice voor de verbinding. Het software-updatepunt (SUP) van de Configuration Manager gebruikt ook dezelfde webservice om WSUS bepaalde acties te laten uitvoeren, zoals:

• Een synchronisatie van software-updates starten
• De juiste upstream-server voor WSUS instellen, die afhankelijk is van waar de SUP-site zich bevindt in de hiërarchie van uw Configuration Manager
• Producten en classificaties toevoegen of verwijderen voor synchronisatie van de WSUS-server op het hoogste niveau van de hiërarchie.
• Verlopen updates verwijderen

Open de WSUS-console om te controleren of u een SSL-verbinding met de ApiRemoting30-webservice van de WSUS-server kunt gebruiken. Enkele andere webservices worden later getest.

1. Open de WSUS-console en selecteer Actieverbinding>maken met server.

2. Voer de FQDN van de WSUS-server in voor de optie Servernaam .

3. Kies het poortnummer dat wordt geretourneerd in de URL van WSUSutil.

4. De optie Secure Sockets Layer (SSL) gebruiken om verbinding te maken met deze server wordt automatisch ingeschakeld wanneer 8531 (standaard) of 443 wordt gekozen.

   

5. Als de server van uw Configuration Manager-site zich op afstand van het software-updatepunt bevindt, start u de WSUS-console vanaf de siteserver en controleert u of de WSUS-console verbinding kan maken via SSL.

   • Als de externe WSUS-console geen verbinding kan maken, duidt dit waarschijnlijk op een probleem met het vertrouwen van het certificaat, de naamomzetting of het blokkeren van de poort.

Het software-updatepunt configureren om SSL-communicatie met de WSUS-server te vereisen

Zodra WSUS is ingesteld voor het gebruik van TLS/SSL, moet u het bijbehorende software-updatepunt van Configuration Manager bijwerken om ook SSL te vereisen. Wanneer u deze wijziging aanbrengt, zal Configuration Manager:

• Controleer of de WSUS-server kan worden geconfigureerd voor het software-updatepunt
• Leid clients om de SSL-poort wanneer hen wordt gevraagd om te scannen op deze WSUS-server.

Voer de volgende stappen uit om het software-updatepunt zodanig te configureren dat SSL-communicatie met de WSUS-server is vereist:

1. Open de Configuration Manager-console en maak verbinding met uw centrale beheersite of de primaire siteserver voor het software-updatepunt dat u wilt bewerken.

2. Ga naar Beheeroverzicht>>,Siteconfiguratieservers>en Sitesysteemrollen.

3. Selecteer de sitesysteemserver waarop WSUS is geïnstalleerd en selecteer vervolgens het software-updatepunt, sitesysteemfunctie.

4. Kies Eigenschappen op het lint.

5. Schakel de optie SSL-communicatie vereisen met de WSUS-server in.

   

6. In de WCM.log voor de site ziet u de volgende vermeldingen wanneer u de wijziging toepast:

   SCF change notification triggered.
   Populating config from SCF
   Setting new configuration state to 1 (WSUS_CONFIG_PENDING)
   ...
   Attempting connection to local WSUS server
   Successfully connected to local WSUS server
   ...
   Setting new configuration state to 2 (WSUS_CONFIG_SUCCESS)
   

Voorbeelden van logboekbestanden zijn bewerkt om overbodige informatie voor dit scenario te verwijderen.

Functionaliteit controleren met Configuration Manager

Controleren of de siteserver updates kan synchroniseren

1. Verbind de Configuration Manager-console met de site op het hoogste niveau.

2. Ga naaroverzicht>van de softwarebibliotheek>Software-UpdatesAlle>software-Updates.

3. Selecteer op het lint de optie Software synchroniseren Updates.

4. Selecteer Ja voor de melding waarin u wordt gevraagd of u een sitebrede synchronisatie voor software-updates wilt starten.

   • Aangezien de WSUS-configuratie is gewijzigd, vindt er een volledige synchronisatie van software-updates plaats in plaats van een deltasynchronisatie.

5. Open de wsyncmgr.log voor de site. Als u toezicht houdt op een onderliggende site, moet u wachten totdat eerst de synchronisatie van de bovenliggende site is voltooid. Controleer of de server goed synchroniseert door het logboek te controleren op vermeldingen zoals de volgende:

   Starting Sync
   ...
   Full sync required due to changes in main WSUS server location.
   ...
   Found active SUP SERVER.CONTOSO.COM from SCF File.
   ...
   https://SERVER.CONTOSO.COM:8531
   ...
   Done synchronizing WSUS Server SERVER.CONTOSO.COM
   ...
   sync: Starting SMS database synchronization
   ...
   Done synchronizing SMS with WSUS Server SERVER.CONTOSO.COM
   

Controleren of een client kan zoeken naar updates

Wanneer u het software-updatepunt zodanig wijzigt dat SSL is vereist, ontvangen Configuration Manager-clients de bijgewerkte WSUS-URL wanneer een locatieaanvraag voor een software-updatepunt wordt gedaan. Door een klant te testen, kunnen we:

• Bepaal of de client het certificaat van de WSUS-server vertrouwt.
• Als de SimpleAuthWebService en de ClientWebService voor WSUS functioneel zijn.
• Of de virtuele map voor WSUS-inhoud functioneel is, als de client tijdens de scan toevallig een gebruiksrechtovereenkomst heeft ontvangen

1. Identificeer een client die scant op het software-updatepunt dat onlangs is gewijzigd in TLS/SSL. Gebruik Scripts uitvoeren met het onderstaande PowerShell-script als u hulp nodig hebt bij het identificeren van een klant:

   $Last = (Get-CIMInstance -Namespace "root\CCM\Scanagent" -Class "CCM_SUPLocationList").LastSuccessScanPath
   $Current= Write-Output (Get-CIMInstance -Namespace "root\CCM\Scanagent" -Class "CCM_SUPLocationList").CurrentScanPath
   Write-Host "LastGoodSUP- $last"
   Write-Host "CurrentSUP- $current"
   

   Tip

   Open dit script in de communityhub. Zie Directe koppelingen naar items in de communityhub voor meer informatie.

2. Voer een scancyclus voor software-updates uit op uw testclient. U kunt een scan afdwingen met het volgende PowerShell-script:

   Invoke-WMIMethod -Namespace root\ccm -Class SMS_CLIENT -Name TriggerSchedule "{00000000-0000-0000-0000-000000000113}"
   

   Tip

   Open dit script in de communityhub. Zie Directe koppelingen naar items in de communityhub voor meer informatie.

3. Bekijk de ScanAgent.log van de client om te controleren of het bericht voor de scan op basis van het software-updatepunt is ontvangen.

   Message received: '<?xml version='1.0' ?>
   <UpdateSourceMessage MessageType='ScanByUpdateSource'>
      <ForceScan>TRUE</ForceScan>
      <UpdateSourceIDs>
    		<ID>{A1B2C3D4-1234-1234-A1B2-A1B2C3D41234}</ID>
      </UpdateSourceIDs>
    </UpdateSourceMessage>'
   

4. Bekijk de LocationServices.log om te controleren of de client de juiste WSUS-URL ziet. LocationServices.log

   WSUSLocationReply : <WSUSLocationReply SchemaVersion="1
   ...
   <LocationRecord WSUSURL="https://SERVER.CONTOSO.COM:8531" ServerName="SERVER.CONTOSO.COM"
   ...
   </WSUSLocationReply>
   

5. Bekijk de WUAHandler.log om te controleren of de client kan scannen.

   Enabling WUA Managed server policy to use server: https://SERVER.CONTOSO.COM:8531
   ...
   Successfully completed scan.
   

TLS-certificaat vastmaken voor apparaten die HTTPS-geconfigureerde WSUS-servers scannen

(Geïntroduceerd in 2103)

Vanaf Configuration Manager 2103 kunt u de beveiliging van HTTPS-scans tegen WSUS verder verbeteren door het vastmaken van certificaten af te dwingen. Als je dit gedrag volledig wilt inschakelen, voeg je certificaten voor je WSUS-servers toe aan het nieuwe WindowsServerUpdateServices certificaatarchief op je clients en zorg je ervoor dat certificaatkoppeling is ingeschakeld via clientinstellingen. Zie voor meer informatie over de wijzigingen in de Windows Update Agent Wijzigingen en certificaten scannen, beveiliging toevoegen voor Windows-apparaten met behulp van WSUS voor updates - Microsoft Tech Community.

Vereisten voor het afdwingen van het vastmaken van TLS-certificaten voor de Windows Update-client

• Configuration Manager versie 2103
• Zorg ervoor dat uw WSUS-servers en software-updatepunten zijn geconfigureerd voor het gebruik van TLS/SSL
• De certificaten voor uw WSUS-servers toevoegen aan het nieuwe WindowsServerUpdateServices certificaatarchief op uw clients
  • Wanneer u certificaatkoppeling gebruikt met een Cloud Management Gateway (CMG), heeft het WindowsServerUpdateServices archief het CMG-certificaat nodig. Als clients overschakelen van internet naar VPN, zijn zowel de CMG- als de WSUS-servercertificaten nodig in het WindowsServerUpdateServices archief.

TLS-certificaatkoppeling in- of uitschakelen voor apparaten die HTTPS-geconfigureerde WSUS-servers scannen

1. Ga vanuit de Configuration Manager-console naarde instellingen van de beheerclient>.
2. Kies de standaardinstellingen voor de client of een aangepaste set clientinstellingen en selecteer vervolgens Eigenschappen op het lint.
3. Selecteer het tabblad Software-Updates in de clientinstellingen
4. Kies een van de volgende opties voor de instelling TLS-certificaatkoppeling afdwingen voor Windows Update-client voor het detecteren van updates:
   • Nee: het afdwingen van TLS-certificaatkoppeling voor WSUS-scannen niet inschakelen
   • Ja: maakt afdwingen van het vastmaken van TLS-certificaten mogelijk voor apparaten tijdens WSUS-scannen (standaard)
5. Controleer of clients kunnen scannen op updates.

Volgende stappen

Software-updates implementeren