Jak włączyć protokół TLS 1.2 na serwerach lokacji i w zdalnych systemach lokacji

Dotyczy: Configuration Manager (Current Branch)

Podczas włączania protokołu TLS 1.2 dla środowiska programu Configuration Manager zacznij od włączenia protokołu TLS 1.2 dla klientów. Następnie włącz protokół TLS 1.2 na serwerach lokacji i w zdalnych systemach lokacji. Na koniec przetestuj komunikację między klientem a systemem lokacji przed potencjalnym wyłączeniem starszych protokołów po stronie serwera. Następujące zadania są potrzebne do włączenia protokołu TLS 1.2 na serwerach lokacji i w zdalnych systemach lokacji:

• Upewnij się, że protokół TLS 1.2 jest włączony jako protokół dla programu SChannel na poziomie systemu operacyjnego
• Aktualizowanie i konfigurowanie programu .NET Framework do obsługi protokołu TLS 1.2
• Aktualizowanie składników programu SQL Server i klientów
• Aktualizowanie usług Windows Server Update Services (WSUS)

Aby uzyskać więcej informacji na temat zależności określonych funkcji i scenariuszy programu Configuration Manager, zobacz Informacje o włączaniu protokołu TLS 1.2.

Upewnij się, że protokół TLS 1.2 jest włączony jako protokół dla programu SChannel na poziomie systemu operacyjnego

W większości przypadków użycie protokołu jest kontrolowane na trzech poziomach: na poziomie systemu operacyjnego, platformy lub platformy i aplikacji. Protokół TLS 1.2 jest domyślnie włączony na poziomie systemu operacyjnego. Po upewnieniu się, że wartości rejestru platformy .NET są ustawione tak, aby włączyć protokół TLS 1.2, oraz po sprawdzeniu, czy w środowisku prawidłowo używany jest protokół TLS 1.2 w sieci, można edytować klucz rejestru SChannel\Protocols , aby wyłączyć starsze, mniej bezpieczne protokoły. Aby uzyskać więcej informacji na temat wyłączania protokołu TLS 1.0 i 1.1, zobacz Konfigurowanie protokołów Schannel w rejestrze systemu Windows.

Aktualizowanie i konfigurowanie programu .NET Framework do obsługi protokołu TLS 1.2

Określanie wersji platformy .NET

Najpierw określ zainstalowane wersje platformy .NET. Aby uzyskać więcej informacji, zobacz artykuł Określanie, które wersje i poziomy dodatku Service Pack struktury oprogramowania .NET Framework są zainstalowane.

Zainstaluj aktualizacje platformy .NET.

Zainstaluj aktualizacje platformy .NET, aby włączyć mocną kryptografię. Niektóre wersje programu .NET Framework mogą wymagać aktualizacji w celu włączenia mocnej kryptografii. Należy zastosować się do następujących wytycznych:

• Program .NET Framework 4.6.2 i nowsze obsługują TLS 1.1 i TLS 1.2. Potwierdź ustawienia rejestru, ale nie wprowadzaj żadnych innych zmian.

  Uwaga

  Począwszy od wersji 2107, program Configuration Manager wymaga platformy Microsoft .NET Framework w wersji 4.6.2 dla serwerów lokacji, określonych systemów lokacji, klientów i konsoli. Jeśli to możliwe, w Twoim środowisku zainstaluj najnowszą wersję oprogramowania .NET w wersji 4.8.

• Aktualizacja oprogramowania .NET Framework 4.6 i wcześniejszych do obsługi protokołu TLS 1.1 i TLS 1.2. hhhb Aby uzyskać więcej informacji, zobacz .NET Framework wersje i zależności.

• Jeśli korzystasz z programu .NET Framework 4.5.1 lub 4.5.2 w systemie Windows 8.1, Windows Server 2012 R2 lub Windows Server 2012, firma Microsoft zaleca zainstalowanie najnowszych aktualizacji zabezpieczeń dla wersji 4.5.1 i 4.5.2 programu .NET Framework, aby zapewnić możliwość włączenia protokołu TLS 1.2 właściwie.

  Dla przypomnienia: protokół TLS 1.2 został po raz pierwszy wprowadzony do programu .NET Framework 4.5.1 i 4.5.2 z następującymi pakietami zbiorczymi poprawek:

  • Dla Windows 8.1 i Server 2012 R2: Pakiet zbiorczy poprawek 3099842
  • Dla Windows Server 2012: Pakiet zbiorczy poprawek 3099844

Konfigurowanie pod kątem mocnej kryptografii

Skonfiguruj platformę .NET Framework do obsługi mocnej kryptografii. SchUseStrongCrypto Zmień ustawienie rejestru na DWORD:00000001. Ta wartość wyłącza szyfr strumieniowy RC4 i wymaga ponownego uruchomienia komputera. Aby uzyskać więcej informacji na temat tego ustawienia, zobacz Poradnik zabezpieczeń firmy Microsoft 296038.

Upewnij się, że poniższe klucze rejestru zostały ustawione na wszystkich komputerach, które komunikują się w sieci z systemem obsługującym protokół TLS 1.2. Na przykład klienci programu Configuration Manager, role zdalnego systemu lokacji, które nie są zainstalowane na serwerze lokacji i sam serwer lokacji.

Zaktualizuj następujące wartości podkluczy dla aplikacji 32-bitowych z 32-bitowymi systemami operacyjnymi i 64-bitowych aplikacji z 64-bitowymi systemami operacyjnymi:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001

Zaktualizuj następujące wartości podklucza dla 32-bitowych aplikacji działających w 64-bitowych systemach operacyjnych:

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v2.0.50727]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001

Aktualizowanie składników programu SQL Server i klientów

Wersje programu SQL Server obsługiwane obecnie przez program Configuration Manager obsługują TLS 1.1 i TLS 1.2. Biblioteki zależne mogą nadal wymagać aktualizacji. Aby uzyskać więcej informacji, zobacz artykuł 3135244: obsługa protokołu TLS 1.2 w usłudze Microsoft SQL Server.

Dodatkowe serwery lokacji muszą używać co najmniej programu SQL Server 2017 Express z aktualizacją zbiorczą 2 (CU2) lub nowszą.

Klient natywny programu SQL Server

Upewnij się, że klient SQL Server Native Client został zaktualizowany co najmniej do wersji programu SQL Server 2012 z dodatkiem SP4 (11.*.7001.0). To wymaganie jest sprawdzeniem wymagań wstępnych (ostrzeżeniem).

Program Configuration Manager używa programu SQL Server Native Client w następujących rolach systemu lokacji:

• Serwer lokacji bazy danych
• Serwer lokacji: centralna lokacja administracyjna, lokacja główna lub lokacja dodatkowa
• Punkt zarządzania
• Punkt zarządzania urządzeniami
• Punkt migracji stanów
• Dostawca SMS
• Punkt aktualizacji oprogramowania
• Punkt dystrybucji z obsługą multiemisji
• Punkt usługi aktualizacji analizy zasobów
• Punkt usług Reporting Services
• Punkt rejestracji
• Punkt ochrony punktu końcowego
• Punkt połączenia usługi
• Punkt rejestracji certyfikatu
• Punkt obsługi hurtowni danych

Włączanie protokołu TLS 1.2 na dużą skalę przy użyciu usługi Automanage Machine Configuration i usługi Azure Arc

Automatycznie konfiguruj protokół TLS 1.2 na kliencie i serwerze dla komputerów działających w środowisku platformy Azure, lokalnym lub wielochmurowym. Aby rozpocząć konfigurowanie protokołu TLS 1.2 na komputerach, połącz je z platformą Azure przy użyciu serwerów z obsługą usługi Azure Arc, która domyślnie zawiera wymaganie wstępne konfiguracji komputera.

Po nawiązaniu połączenia skonfiguruj protokół TLS 1.2 z prostotą typu "wskaż i kliknij", wdrażając wbudowaną definicję zasad w programie Azure Portal: Skonfiguruj bezpieczne protokoły komunikacyjne (TLS 1.1 lub TLS 1.2) na serwerach z systemem Windows. Przypisz zakres zasad na poziomie subskrypcji, grupy zasobów lub grupy zarządzania i wyklucz wszystkie zasoby z definicji zasad.

Po przypisaniu konfiguracji możesz wyświetlić stan zgodności zasobów, przechodząc do strony Przypisania gościa i ograniczając zakres do zasobów, na które ma to wpływ.

Aby uzyskać szczegółowy samouczek krok po kroku, zobacz Spójne uaktualnianie protokołu TLS serwera przy użyciu usługi Azure Arc i usługi Automanage Machine Configuration.

Aktualizowanie usług Windows Server Update Services (WSUS)

Program WSUS obsługuje protokół TLS 1.2 domyślnie we wszystkich obecnie obsługiwanych wersjach systemu Windows Server.

Aby obsługiwać protokół TLS 1.2 we wcześniejszych wersjach programu WSUS, należy zainstalować następującą aktualizację na serwerze programu WSUS:

• W przypadku serwerów usług WSUS działających w Windows Server 2012 r. zainstaluj 4022721 aktualizacji lub nowszy pakiet zbiorczy.

• W przypadku serwerów usług WSUS działających Windows Server 2012 R2 zainstaluj aktualizację 4022720 lub nowszy pakiet zbiorczy aktualizacji.

Następny krok

• Typowe problemy podczas włączania protokołu TLS 1.2