Erzwingen von TLS 1.2 für Operations Manager

In diesem Artikel wird beschrieben, wie System Center Operations Manager die Verwendung von Transport Layer Security (TLS) 1.2 ermöglicht.

1. Installieren Sie Microsoft OLE DB-Treiber für SQL , Version 18.7.4, auf allen Verwaltungsservern und auf dem Webkonsolenserver.

2. Installieren Sie Microsoft ODBC-Treiber für SQL , Version 17.10.6, auf allen Verwaltungsservern und auf dem Webkonsolenserver.

3. Konfigurieren Sie Windows so, dass nur TLS 1.2 verwendet wird.

4. Konfigurieren Sie .NET Framework so, dass sie standardmäßig höhere Kryptografieebenen verwenden.

5. Konfigurieren Sie die Audit-Erfassungsdienste, falls diese installiert sind.

Hinweis

Wenn Sie die SQL Server-Verbindungsverschlüsselung verwenden, installieren Sie stattdessen diese Treiberversionen:

• Microsoft OLE DB-Treiber 19: https://aka.ms/downloadmsoledbsql
• Microsoft ODBC-Treiber 18: https://aka.ms/downloadmsodbcsql

Weitere Informationen zum Konfigurieren der SQL-Verbindungsverschlüsselung finden Sie hier: Konfigurieren von SQL Server-Datenbank-Engine zum Verschlüsseln von Verbindungen

Konfigurieren des Windows-Betriebssystems für die ausschließliche Verwendung des TLS 1.2-Protokolls

Verwenden Sie eine der folgenden Methoden, um Windows so zu konfigurieren, dass nur das TLS 1.2-Protokoll verwendet wird.

Methode 1: Manuelles Ändern der Registrierung

Wichtig

Folgen Sie den Schritten in diesem Abschnitt sorgfältig. Schwerwiegende Probleme können auftreten, wenn die Registrierung falsch geändert wird. Bevor Sie Änderungen vornehmen, sichern Sie die Registrierungen, falls Probleme auftreten.

Weitere Informationen finden Sie unter: Sichern und Wiederherstellen der Registrierung in Windows

Führen Sie die folgenden Schritte aus, um SChannel-Protokolle systemweit zu ändern. Es wird empfohlen, das TLS 1.2-Protokoll explizit zu aktivieren.

Hinweis

Diese Änderungen in der Registrierung haben keine Auswirkungen auf die Verwendung der Kerberos‑ oder NTLM-Protokolle.

1. Melden Sie sich auf dem Server mit einem Konto an, das über lokale Administratoranmeldeinformationen verfügt.

2. Starten Sie den Registrierungs-Editor, indem Sie Start auswählen und gedrückt halten, regedit im Textfeld Ausführen eingeben und dann auf OK klicken.

3. Suchen Sie den folgenden Registrierungsunterschlüssel:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

4. Erstellen Sie unter "Protokolle" einen Unterschlüssel für:

   • SSL 2.0
   • SSL 3.0
   • TLS 1.0
   • TLS 1.1
   • TLS 1.2-

5. Erstellen Sie einen -Client--Unterschlüssel und einen -Server--Unterschlüssel unter jedem zuvor erstellten Protokollversionsunterschlüssel. Beispielsweise wäre der Unterschlüssel für TLS 1.0

   • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client
   • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server

6. Um eines Protokolls zu deaktivieren, erstellen Sie die folgenden DWORD-Werte unter Server- und Client-:

   • Enabled [Value = 0]
   • DisabledByDefault [Value = 1]

7. Um explizit das TLS 1.2-Protokoll zu aktivieren (Standard ist aktiviert), erstellen Sie die folgenden Registrierungsschlüssel:

   • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client
   • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server

8. Erstellen Sie dann die folgenden DWORD-Werte unter Server und Client:

   • Enabled [Wert = 1]
   • DisabledByDefault [Wert = 0]

9. Schließen Sie den Registrierungs-Editor.

Methode 2: Ändern der Registrierung mit PowerShell

Führen Sie das folgende Windows PowerShell-Skript als Administrator aus, um das Windows-Betriebssystem für die Verwendung des TLS 1.2-Protokolls zu konfigurieren:

$ProtocolList       = @("SSL 2.0", "SSL 3.0", "TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault  = "DisabledByDefault"
$registryPath       = "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach ($Protocol in $ProtocolList)
{
    foreach ($key in $ProtocolSubKeyList)
    {
        $currentRegPath = $registryPath + $Protocol + "\" + $key
        Write-Output "Current Registry Path: `"$currentRegPath`""

  if (!(Test-Path $currentRegPath))
  {
    Write-Output " `'$key`' not found: Creating new Registry Key"
    New-Item -Path $currentRegPath -Force | out-Null
  }
  if ($Protocol -eq "TLS 1.2")
  {
    Write-Output " Explicitly enable TLS 1.2 (default is enabled)"
    New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
    New-ItemProperty -Path $currentRegPath -Name 'Enabled' -Value "1" -PropertyType DWORD -Force | Out-Null
  }
  else
  {
    Write-Output " Disabling - $Protocol"
    New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
    New-ItemProperty -Path $currentRegPath -Name 'Enabled' -Value "0" -PropertyType DWORD -Force | Out-Null
  }
  Write-Output " "
}

Konfigurieren von .NET Framework für die Verwendung höherer Kryptografieebenen

.NET Framework erfordert in der Regel, dass die Anwendung definiert, welches TLS-Protokoll für die Kommunikation verwendet werden soll. In der Instanz von Operations Manager müssen wir .NET Framework jedoch systemweit mitteilen, welches Protokoll verwendet werden soll.

Führen Sie nach Abschluss der Konfiguration aller Voraussetzungen für Operations Manager die folgenden Schritte auf allen Operations Manager-Servern und auf allen Windows-Agents aus.

Wichtig

Folgen Sie den Schritten in diesem Abschnitt sorgfältig. Schwerwiegende Probleme können auftreten, wenn die Registrierung falsch geändert wird. Bevor Sie Änderungen vornehmen, sichern Sie die Registrierungen, falls Probleme auftreten.

Weitere Informationen finden Sie unter: Sichern und Wiederherstellen der Registrierung in Windows

Methode 1: Manuelles Ändern der Registrierung

1. Öffnen Sie den Registrierungs-Editor.
2. Suchen Sie den folgenden Registrierungsunterschlüssel: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727
   1. Erstellen Sie die folgenden DWORD-Wertpaare:
      • SchUseStrongCrypto [Wert = 1]
      • SystemDefaultTlsVersions [Wert = 1]
3. Suchen Sie den folgenden Registrierungsunterschlüssel: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v2.0.50727
   1. Erstellen Sie die folgenden DWORD-Wertpaare:
      • SchUseStrongCrypto [Wert = 1]
      • SystemDefaultTlsVersions [Wert = 1]
4. Suchen Sie den folgenden Registrierungsunterschlüssel: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319
   1. Erstellen Sie die folgenden DWORD-Wertpaare:
      • SchUseStrongCrypto [Wert = 1]
      • SystemDefaultTlsVersions [Wert = 1]
5. Suchen Sie den folgenden Registrierungsunterschlüssel: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319
   1. Erstellen Sie die folgenden DWORD-Wertpaare:
      • SchUseStrongCrypto [Wert = 1]
      • SystemDefaultTlsVersions [Wert = 1]
6. Starten Sie das System neu, damit die Einstellungen wirksam werden.

Methode 2: Ändern der Registrierung mit PowerShell

Führen Sie das folgende Windows PowerShell-Skript im Administratormodus aus, um .NET Framework automatisch zu konfigurieren, um frameworkvererbte TLS 1.0-Abhängigkeiten zu verhindern:

# Allow .NET Framework to use higher levels of Cryptography
$NetRegistryPath1 = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v2.0.50727" 
New-ItemProperty -Path $NetRegistryPath1 -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null 
New-ItemProperty -Path $NetRegistryPath1 -Name "SystemDefaultTlsVersions" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath2 = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319" 
New-ItemProperty -Path $NetRegistryPath2 -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null
New-ItemProperty -Path $NetRegistryPath2 -Name "SystemDefaultTlsVersions" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath3 = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v2.0.50727" 
New-ItemProperty -Path $NetRegistryPath3 -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null 
New-ItemProperty -Path $NetRegistryPath3 -Name "SystemDefaultTlsVersions" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath4 = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319" 
New-ItemProperty -Path $NetRegistryPath4 -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null
New-ItemProperty -Path $NetRegistryPath4 -Name "SystemDefaultTlsVersions" -Value "1" -PropertyType DWORD -Force | Out-Null

Zusätzliche Einstellungen

Wenn Sie eine unterstützte Version von Linux-Server mit Operations Manager überwachen, befolgen Sie die Anweisungen auf der entsprechenden Website, um TLS 1.2 zu konfigurieren.

Audit-Sammeldienste

Für Überwachungssammlungsdienste (Audit Collection Services, ACS) müssen zusätzliche Änderungen in der Registrierung auf dem ACS Collector-Server vorgenommen werden. ACS verwendet den ODBC-Datenquellennamen (DSN), um Verbindungen mit der Datenbank herzustellen. Stellen Sie sicher, dass die DSN-Einstellungen aktualisiert werden, damit sie für TLS 1.2 funktionsfähig sind.

1. Melden Sie sich auf dem Server mit einem Konto an, das über lokale Administratoranmeldeinformationen verfügt.

2. Starten Sie den Registrierungs-Editor, indem Sie Start auswählen und gedrückt halten, regedit im Textfeld Ausführen eingeben und dann auf OK klicken.

3. Suchen Sie den folgenden ODBC-Unterschlüssel für OpsMgrAC: HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC.

   Hinweis

   Der Standardname von DSN ist OpsMgrAC.

4. Wählen Sie unter dem Unterschlüssel ODBC-Datenquellen den DSN-Namen OpsMgrAC aus. Dieser enthält den Namen des ODBC-Treibers, der für die Datenbankverbindung verwendet werden soll. Wenn ODBC 17 installiert ist, ändern Sie diesen Namen in ODBC-Treiber 17 für SQL Server.

5. Aktualisieren Sie im Unterschlüssel OpsMgrAC den Treiber für die installierte ODBC-Version.

   • Wenn beispielsweise ODBC 17 installiert ist, ändern Sie den Treibereintrag in %WINDIR%\system32\msodbcsql17.dll.
   • Überprüfen Sie den Namen der DLL für die aktuelle Version des INSTALLIERTen ODBC-Treibers, falls dies anders ist.

Registrierungsdatei

Alternativ können Sie die folgende .reg-Datei im Editor oder einem anderen Texteditor erstellen und speichern. Um die gespeicherte .reg-Datei auszuführen, doppelklicken Sie auf die Datei.

• Erstellen Sie für ODBC 17 die folgende ODBC 17.reg-Datei:

  Windows Registry Editor Version 5.00
  
  [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\ODBC Data Sources]
  "OpsMgrAC"="ODBC Driver 17 for SQL Server"
  
  [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC]
  "Driver"="%WINDIR%\system32\msodbcsql17.dll"
  

PowerShell

Führen Sie alternativ die folgenden PowerShell-Befehle aus, um die Änderung zu automatisieren.

• Stellen Sie sicher, dass Sie den DLL-Dateipfad zu einer geeigneten Version ersetzen, wenn Sie eine andere ODBC-Treiberversion als 17 verwenden.

  New-ItemProperty -Path "HKLM:\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC" -Name "Driver" -Value "%WINDIR%\system32\msodbcsql7.dll" -PropertyType STRING -Force | Out-Null
  New-ItemProperty -Path "HKLM:\SOFTWARE\ODBC\ODBC.INI\ODBC Data Sources" -Name "OpsMgrAC" -Value "ODBC Driver 17 for SQL Server" -PropertyType STRING -Force | Out-Null
  

Nächste Schritte

• Weitere Informationen zu TLS 1.0 aus unserem Security Engineering-Team finden Sie unter Lösung des TLS 1.0-Problems.
• Eine vollständige Auflistung der verwendeten Ports, die Richtung der Kommunikation und die Konfigurationsmöglichkeiten für Ports finden Sie unter Konfigurieren einer Firewall für Operations Manager.
• Eine allgemeine Überprüfung, wie Daten zwischen Komponenten in einer Verwaltungsgruppe geschützt werden, finden Sie unter Authentifizierung und Datenverschlüsselung in Operations Manager.