Implementace zabezpečení přenosové vrstvy 1.2

Tento článek popisuje, jak system Center Operations Manageru povolit využití protokolu TLS (Transport Layer Security) 1.2.

Provedením následujících kroků implementujte protokol TLS verze 1.2 v Operations Manageru:

Operations Manager generuje certifikáty podepsané svým držitelem SHA1 a SHA2. To je nutné k povolení protokolu TLS 1.2. Pokud se používají certifikáty podepsané certifikační autoritou, ujistěte se, že certifikáty jsou SHA1 nebo SHA2.

Konfigurace operačního systému Windows tak, aby používal pouze protokol TLS 1.2

Pomocí jedné z následujících metod nakonfigurujte Systém Windows tak, aby používal pouze protokol TLS 1.2.

Metoda 1: Ruční úprava registru

Pomocí následujících kroků povolte nebo zakažte všechny protokoly SCHANNEL v celém systému. Doporučujeme povolit protokol TLS 1.2 pro veškerou příchozí komunikaci a odchozí komunikaci.

1. Přihlaste se k serveru pomocí účtu, který má oprávnění místního správce.

2. Spusťte Editor registru tak, že vyberete a podržíte Start, zadáte příkaz regedit do textového pole Spustit a vyberete OK.

3. Vyhledejte následující podklíč registru:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

4. V části Protokoly vytvořte podklíč pro:

   1. SSL 2.0
   2. SSL 3.0
   3. TLS 1.0
   4. TLS 1.1
   5. TLS 1.2.

5. Podklíč klienta a serveru vytvořte podklíč verze každého protokolu, který jste vytvořili dříve. Například podklíč protokolu TLS 1.0 by byl

   • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client
   • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server

6. Pokud chcete zakázat každý protokol, vytvořte v části Server a Klient následující hodnoty DWORD:

   • Povoleno [Hodnota = 0]
   • DisabledByDefault [Value = 1]

7. Pokud chcete povolit protokol TLS 1.2, vytvořte následující klíče registru:

   • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client
   • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server:

8. Pak v části Server a Klient vytvořte následující hodnoty DWORD:

   • Povoleno [Hodnota = 1]
   • DisabledByDefault [Value = 0]

9. Zavřete Editor registru.

Metoda 2: Automatická úprava registru

Spuštěním následujícího skriptu Windows PowerShellu jako správce automaticky nakonfigurujte operační systém Windows tak, aby používal pouze protokol TLS 1.2:

$ProtocolList       = @("SSL 2.0", "SSL 3.0", "TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault  = "DisabledByDefault"
$registryPath       = "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach ($Protocol in $ProtocolList)
{
    foreach ($key in $ProtocolSubKeyList)
    {
        $currentRegPath = $registryPath + $Protocol + "\" + $key
        Write-Output "Current Registry Path: `"$currentRegPath`""

  if (!(Test-Path $currentRegPath))
  {
    Write-Output " `'$key`' not found: Creating new Registry Key"
    New-Item -Path $currentRegPath -Force | out-Null
  }
  if ($Protocol -eq "TLS 1.2")
  {
    Write-Output " Enabling - TLS 1.2"
    New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
    New-ItemProperty -Path $currentRegPath -Name 'Enabled' -Value "1" -PropertyType DWORD -Force | Out-Null
  }
  else
  {
    Write-Output " Disabling - $Protocol"
    New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
    New-ItemProperty -Path $currentRegPath -Name 'Enabled' -Value "0" -PropertyType DWORD -Force | Out-Null
  }
  Write-Output " "
}

Konfigurace rozhraní .NET Framework pro použití pouze protokolu TLS 1.2

.NET obvykle vyžaduje, aby aplikace definovala, jaký protokol TLS se má použít pro komunikaci, v instanci SCOM ale budeme muset informovat .NET o tom, jaký protokol použít.

Po dokončení konfigurace všech požadavků nástroje Operations Manager proveďte následující kroky na všech serverech pro správu, serveru, který je hostitelem role webové konzoly, a na jakémkoli počítači s Windows, na který je agent nainstalovaný.

Ruční úprava registru

1. Otevření Editoru registru
2. Vyhledejte následující podklíč registru: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727
   1. Vytvořte následující páry hodnot DWORD:
      • SchUseStrongCrypto [Hodnota = 1]
      • SystemDefaultTlsVersions [Hodnota = 1]
3. Vyhledejte následující podklíč registru: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v2.0.50727
   1. Vytvořte následující páry hodnot DWORD:
      • SchUseStrongCrypto [Hodnota = 1]
      • SystemDefaultTlsVersions [Hodnota = 1]
4. Vyhledejte následující podklíč registru: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319
   1. Vytvořte následující páry hodnot DWORD:
      • SchUseStrongCrypto [Hodnota = 1]
      • SystemDefaultTlsVersions [Hodnota = 1]
5. Vyhledejte následující podklíč registru: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319
   1. Vytvořte následující páry hodnot DWORD:
      • SchUseStrongCrypto [Hodnota = 1]
      • SystemDefaultTlsVersions [Hodnota = 1]
6. Restartujte systém, aby se nastavení projevilo.

Automatická úprava registru

Spuštěním následujícího skriptu Prostředí Windows PowerShell v režimu správce automaticky nakonfigurujte rozhraní .NET Framework, aby se zabránilo závislostem protokolu TLS 1.0 zděděným architekturou:

# Tighten up the .NET Framework
$NetRegistryPath1 = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v2.0.50727" 
New-ItemProperty -Path $NetRegistryPath1 -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null 
New-ItemProperty -Path $NetRegistryPath1 -Name "SystemDefaultTlsVersions" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath2 = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319" 
New-ItemProperty -Path $NetRegistryPath2 -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null
New-ItemProperty -Path $NetRegistryPath2 -Name "SystemDefaultTlsVersions" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath3 = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v2.0.50727" 
New-ItemProperty -Path $NetRegistryPath3 -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null 
New-ItemProperty -Path $NetRegistryPath3 -Name "SystemDefaultTlsVersions" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath4 = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319" 
New-ItemProperty -Path $NetRegistryPath4 -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null
New-ItemProperty -Path $NetRegistryPath4 -Name "SystemDefaultTlsVersions" -Value "1" -PropertyType DWORD -Force | Out-Null

Další nastavení

Pokud monitorujete podporovanou verzi linuxového serveru pomocí Operations Manageru, postupujte podle pokynů na příslušném webu pro vaši distribuci a nakonfigurujte protokol TLS 1.2.

Další kroky

• Úplný seznam použitých portů, směr komunikace a pokud je možné porty nakonfigurovat, najdete v tématu Konfigurace brány firewall pro Operations Manager.

• Celkový přehled o tom, jak jsou data mezi komponentami ve skupině pro správu chráněná, najdete v tématu Ověřování a šifrování dat v Operations Manageru.