トランスポート層セキュリティ 1.2 を実装する方法

[アーティクル]
07/10/2024

この記事では、System Center Operations Manager 管理グループに対してトランスポート層セキュリティ (TLS) プロトコルバージョン 1.2 を有効にする方法について説明します。

Note

Operations Manager では、オペレーティングシステムレベルで構成されたプロトコルが使用されます。たとえば、TLS 1.0、TLS 1.1、TLS 1.2 がオペレーティングシステムレベルで有効になっている場合、Operations Manager では次の優先順で 3 つのプロトコルのいずれかが選択されます。

TLS バージョン 1.2
TLS バージョン 1.1
TLS バージョン 1.0

次に、Schannel SSP によって、クライアントとサーバーがサポートできる最も優先順位の高い認証プロトコルが選択されます。

TLS プロトコルバージョン 1.2 を有効にするには、次の手順を実行します。

Note

Microsoft OLE DB Driver 18 for SQL Server (推奨) は、Operations Manager 2016 UR9 以降でサポートされています。

SQL Server 2012 Native Client 11.0 または Microsoft OLE DB Driver 18 for SQL Server をすべての管理サーバーと Web コンソールサーバーにインストールします。
Operations Manager データベースとレポートサーバーの役割をホストするすべての管理サーバー、ゲートウェイサーバー、Web コンソールサーバー、および SQL Server に .NET Framework 4.6 をインストールします。
TLS 1.2 をサポートする Required SQL Server 更新プログラムをインストールします。
すべての管理サーバー ODBC 11.0 または ODBC 13.0 をインストールします。
System Center 2016 - Operations Manager の場合は、更新プログラムのロールアップ 4 以降をインストールします。
TLS 1.2 のみを使用するように Windows を構成します。
TLS 1.2 のみを使用するように Operations Manager を構成します。

Microsoft OLE DB Driver バージョン 18.2 から 18.7.2 をすべての管理サーバーと Web コンソールサーバーにインストールします。
Operations Manager データベースとレポートサーバーの役割をホストするすべての管理サーバー、ゲートウェイサーバー、Web コンソールサーバー、および SQL Server に .NET Framework 4.6 をインストールします。
TLS 1.2 をサポートする Required SQL Server 更新プログラムをインストールします。
すべての管理サーバー ODBC Driver バージョン 17.3 から 17.10.6 をインストールします。
TLS 1.2 のみを使用するように Windows を構成します。
TLS 1.2 のみを使用するように Operations Manager を構成します。

Operations Manager では、SHA1 と SHA2 の自己署名証明書が生成されます。これは、TLS 1.2 を有効にするために必要です。 CA 署名付き証明書が使用されている場合は、証明書が SHA1 または SHA2 であることを確認します。

Note

セキュリティポリシーで TLS 1.0 と 1.1 が制限されている場合、セットアップメディアに TLS 1.2 をサポートするための更新プログラムが含まれていないため、新しい Operations Manager 2016 管理サーバー、ゲートウェイサーバー、Web コンソール、および Reporting Services ロールのインストールは失敗します。これらの役割をインストールできる唯一の方法は、システムで TLS 1.0 を有効にし、更新プログラムのロールアップ 4 を適用してから、システムで TLS 1.2 を有効にすることです。

TLS 1.2 プロトコルのみを使用するように Windows オペレーティングシステムを構成する

次のいずれかの方法を使用して、TLS 1.2 プロトコルのみを使用するように Windows を構成します。

方法 1: 手動でレジストリを変更する

重要

慎重にこのセクションの手順に従います。レジストリを正しく変更しないと、重大な問題が発生する可能性があります。変更する前に、問題が発生した場合に復元するためにレジストリをバックアップします。

システム全体のすべての SCHANNEL プロトコルを有効または無効にするには、次の手順を使用します。着信と発信のすべての通信で TLS 1.2 プロトコルを有効にすることをお勧めします。

Note

これらのレジストリを変更しても、Kerberos または NTLM プロトコルの使用には影響しません。

ローカルの管理資格情報を持つアカウントを使って、サーバーにログインします。
レジストリエディターを起動するには、Start を選択し、Run ボックスに「regedit」と入力し、OK を選択します。
次のレジストリサブキーを見つけます: HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols。
SSL 2.0、SSL 3.0、TLS 1.0、TLS 1.1、および TLS 1.2 のProtocolsの下にサブキーを作成します。
前に作成した各プロトコルバージョンのサブキーの下に、 Client と Server サブキーを作成します。たとえば、TLS 1.0 のサブキーは HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client され、 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Serverされます。
各プロトコルを無効にするには、 Server および Client の下に次の DWORD 値を作成します。
- Enabled [Value = 0]
- DisabledByDefault [値 = 1]
TLS 1.2 プロトコルを有効にするには、 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client と HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Serverの下に次の DWORD 値を作成します。
- Enabled [値 = 1]
- DisabledByDefault [値 = 0]
レジストリエディターを閉じます。

方法 2: レジストリを自動的に変更する

次の Windows PowerShell スクリプトを管理者として実行して、TLS 1.2 プロトコルのみを使用するように Windows オペレーティングシステムを自動的に構成します。

$ProtocolList       = @("SSL 2.0", "SSL 3.0", "TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault  = "DisabledByDefault"
$registryPath       = "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach ($Protocol in $ProtocolList)
{
	foreach ($key in $ProtocolSubKeyList)
	{
		$currentRegPath = $registryPath + $Protocol + "\" + $key
		Write-Output "Current Registry Path: `"$currentRegPath`""

		if (!(Test-Path $currentRegPath))
		{
			Write-Output " `'$key`' not found: Creating new Registry Key"
			New-Item -Path $currentRegPath -Force | out-Null
		}
		if ($Protocol -eq "TLS 1.2")
		{
			Write-Output " Enabling - TLS 1.2"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name 'Enabled' -Value "1" -PropertyType DWORD -Force | Out-Null
		}
		else
		{
			Write-Output " Disabling - $Protocol"
			New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
			New-ItemProperty -Path $currentRegPath -Name 'Enabled' -Value "0" -PropertyType DWORD -Force | Out-Null
		}
		Write-Output " "
	}
}

TLS 1.2 のみを使用するように Operations Manager を構成する

Operations Manager のすべての前提条件の構成を完了したら、すべての管理サーバー、Web コンソールロールをホストしているサーバー、およびエージェントがインストールされているすべての Windows コンピューターで、次の手順を実行します。

重要

慎重にこのセクションの手順に従います。レジストリを正しく変更しないと、重大な問題が発生する可能性があります。変更を加える前に、問題が発生した場合に備え、復元のためにレジストリをバックアップしてください。

Note

Windows OS 2012 で実行されている SCOM 2012 R2 では、UNIX/LINUX 監視に TLS 1.2 over HTTP を使用するための追加の変更が必要です。 Windows で WinHTTP で TLS 1.2 を既定のセキュリティプロトコルとして有効にするには、Windows の WinHTTP で TLS 1.1 と TLS 1.2 を既定のセキュリティで保護されたプロトコルとして有効にするために、 Update に従って次の変更を行う必要があります。

UNIX/LINUX リソースプール内の管理サーバー/ゲートウェイサーバーに KB3140245 をインストールします。
KB 記事で説明されているように変更されたレジストリをバックアップします。
UNIX/LINUX リソースプールの管理サーバー/ゲートウェイで Easy Fix ツールをダウンロードして実行します。
サーバーを再起動します。

レジストリを手動で変更する

ローカルの管理資格情報を持つアカウントを使って、サーバーにログインします。
Start を選択してレジストリエディターを起動し、Run ボックスに「regedit」と入力し、OK を選択します。
次のレジストリサブキーを見つけます: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319。
このサブキーの下に、DWORD 値 SchUseStrongCrypto を値 1 で作成します。
次のレジストリサブキーを見つけます: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319。
このサブキーの下に、DWORD 値 SchUseStrongCrypto を値 1 で作成します。
設定を有効にするためにシステムを再起動します。

レジストリを自動的に変更する

管理者モードで次の Windows PowerShell スクリプトを実行して、TLS 1.2 プロトコルのみを使用するように Operations Manager を自動的に構成します。

# Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

追加設定

これが System Center 2016 - Operations Manager で実装されている場合は、更新プログラムロールアップ 4 を適用した後、このロールアップに含まれる管理パックを必ずインポートしてください。 \Program Files\Microsoft System Center 2016\Operations Manager\Server\Management Pack for Update Rollups。

サポートされているバージョンの Linux サーバーを Operations Manager で監視している場合は、ディストリビューションの該当する Web サイトの指示に従って TLS 1.2 を構成してください。

コレクションサービスの監査

監査コレクションサービス (ACS) の場合は、ACS コレクターサーバー上のレジストリに追加の変更を加える必要があります。 ACS は DSN を使用してデータベースに接続します。 DSN 設定を更新して、TLS 1.2 で機能させる必要があります。

ローカルの管理資格情報を持つアカウントを使って、サーバーにログインします。
レジストリエディターを起動するには、Start を選択し、Run ボックスに「regedit」と入力し、OK を選択します。
OpsMgrAC の次の ODBC サブキーを見つけます: HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC。

Note

DSN の既定の名前は OpsMgrAC です。
ODBC データソースサブキーで、DSN 名 OpsMgrAC を選択します。これには、データベース接続に使用する ODBC ドライバーの名前が含まれます。 ODBC 11.0 がインストールされている場合は、この名前を ODBC Driver 11 for SQL Server に変更するか ODBC 13.0 がインストールされている場合は、この名前を ODBC Driver 13 for SQL Server に変更します。

OpsMgrAC サブキーで、インストールされている ODBC バージョンの Driver を更新します。

ODBC 11.0 がインストールされている場合は、Driver エントリを %WINDIR%\system32\msodbcsql11.dll に変更します。
ODBC 13.0 がインストールされている場合は、Driver エントリを %WINDIR%\system32\msodbcsql13.dll に変更します。

レジストリファイル

または、次の .reg ファイルをメモ帳または別のテキストエディターに作成して保存します。保存した .reg ファイルを実行するには、ファイルをダブルクリックします。

ODBC 11.0 の場合は、次の ODBC 11.reg ファイルを作成します。

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\ODBC Data Sources]
"OpsMgrAC"="ODBC Driver 11 for SQL Server"

[HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC]
"Driver"="%WINDIR%\system32\msodbcsql11.dll"

ODBC 13.0 の場合は、次の ODBC 13.reg ファイルを作成します。

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\ODBC Data Sources]
"OpsMgrAC"="ODBC Driver 13 for SQL Server"

[HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC]
"Driver"="%WINDIR%\system32\msodbcsql13.dll"

PowerShell

または、次の PowerShell コマンドを実行して変更を自動化することもできます。

ODBC 11.0 の場合は、次の PowerShell コマンドを実行します。

New-ItemProperty -Path "HKLM:\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC" -Name "Driver" -Value "%WINDIR%\system32\msodbcsql11.dll" -PropertyType STRING -Force | Out-Null
New-ItemProperty -Path "HKLM:\SOFTWARE\ODBC\ODBC.INI\ODBC Data Sources" -Name "OpsMgrAC" -Value "ODBC Driver 11 for SQL Server" -PropertyType STRING -Force | Out-Null

ODBC 13.0 の場合は、次の PowerShell コマンドを実行します。

New-ItemProperty -Path "HKLM:\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC" -Name "Driver" -Value "%WINDIR%\system32\msodbcsql13.dll" -PropertyType STRING -Force | Out-Null
New-ItemProperty -Path "HKLM:\SOFTWARE\ODBC\ODBC.INI\ODBC Data Sources" -Name "OpsMgrAC" -Value "ODBC Driver 13 for SQL Server" -PropertyType STRING -Force | Out-Null

コレクションサービスの監査

ローカルの管理資格情報を持つアカウントを使って、サーバーにログインします。
レジストリエディターを起動するには、Start を選択し、Run ボックスに「regedit」と入力し、OK を選択します。
OpsMgrAC の次の ODBC サブキーを見つけます: HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC。

Note

DSN の既定の名前は OpsMgrAC です。
ODBC データソースサブキーで、DSN 名 OpsMgrAC を選択します。これには、データベース接続に使用する ODBC ドライバーの名前が含まれます。 ODBC 17 がインストールされている場合は、この名前を ODBC Driver 17 for SQL Server に変更します。
OpsMgrAC サブキーで、インストールされている ODBC バージョンの Driver を更新します。
- ODBC 17 がインストールされている場合は、Driver エントリを %WINDIR%\system32\msodbcsql17.dll に変更します。
レジストリファイル

または、次の .reg ファイルをメモ帳または別のテキストエディターに作成して保存します。保存した .reg ファイルを実行するには、ファイルをダブルクリックします。
- ODBC 17 の場合は、次の ODBC 17.reg ファイルを作成します。
```
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\ODBC Data Sources]
"OpsMgrAC"="ODBC Driver 17 for SQL Server"

[HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC]
"Driver"="%WINDIR%\system32\msodbcsql17.dll"
```
PowerShell

または、次の PowerShell コマンドを実行して変更を自動化することもできます。
- ODBC 17 の場合は、次の PowerShell コマンドを実行します。
```
New-ItemProperty -Path "HKLM:\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC" -Name "Driver" -Value "%WINDIR%\system32\msodbcsql17.dll" -PropertyType STRING -Force | Out-Null
New-ItemProperty -Path "HKLM:\SOFTWARE\ODBC\ODBC.INI\ODBC Data Sources" -Name "OpsMgrAC" -Value "ODBC Driver 17 for SQL Server" -PropertyType STRING -Force | Out-Null
```

次のステップ

使用されるポートの完全な一覧、通信の方向、およびポートを構成できる場合は、「 Operations Manager のファイアウォールの構成」を参照してください。
管理グループ内のコンポーネント間のデータの保護方法の全体的なレビューについては、「Operations Manager での認証とデータ暗号化を参照してください。

次の方法で共有

トランスポート層セキュリティ 1.2 を実装する方法

TLS 1.2 プロトコルのみを使用するように Windows オペレーティングシステムを構成する

方法 1: 手動でレジストリを変更する

方法 2: レジストリを自動的に変更する

TLS 1.2 のみを使用するように Operations Manager を構成する

レジストリを手動で変更する

レジストリを自動的に変更する

追加設定

コレクションサービスの監査

レジストリファイル

PowerShell

コレクションサービスの監査

レジストリファイル

PowerShell

次のステップ

フィードバック

フィードバック

その他のリソース

次の方法で共有

トランスポート層セキュリティ 1.2 を実装する方法

TLS 1.2 プロトコルのみを使用するように Windows オペレーティング システムを構成する

方法 1: 手動でレジストリを変更する

方法 2: レジストリを自動的に変更する

TLS 1.2 のみを使用するように Operations Manager を構成する

レジストリを手動で変更する

レジストリを自動的に変更する

追加設定

コレクション サービスの監査

レジストリ ファイル

PowerShell

コレクション サービスの監査

レジストリ ファイル

PowerShell

次のステップ

フィードバック

フィードバック

その他のリソース

TLS 1.2 プロトコルのみを使用するように Windows オペレーティングシステムを構成する

コレクションサービスの監査

レジストリファイル

コレクションサービスの監査

レジストリファイル