Wymuszanie protokołu TLS 1.2 dla programu Operations Manager

W tym artykule opisano sposób zezwalania programowi System Center Operations Manager na korzystanie z protokołu Transport Layer Security (TLS) 1.2.

1. Zainstaluj sterownik MICROSOFT OLE DB dla programu SQL w wersji 18.7.4 na wszystkich serwerach zarządzania i serwerze konsoli sieci Web.

2. Zainstaluj sterownik MICROSOFT ODBC dla programu SQL w wersji 17.10.6 na wszystkich serwerach zarządzania i serwerze konsoli sieci Web.

3. Skonfiguruj system Windows tak, aby używał tylko protokołu TLS 1.2.

4. Skonfiguruj program .NET Framework, aby domyślnie korzystać z wyższych poziomów kryptografii.

5. Skonfiguruj usługi Audit Collection Services, jeśli są zainstalowane.

Uwaga

W przypadku korzystania z szyfrowania połączeń z programem SQL Server zainstaluj następujące wersje sterowników:

• Sterownik MICROSOFT OLE DB 19: https://aka.ms/downloadmsoledbsql
• Sterownik Microsoft ODBC 18: https://aka.ms/downloadmsodbcsql

Więcej informacji na temat konfigurowania szyfrowania połączeń SQL można znaleźć tutaj: Konfigurowanie aparatu bazy danych programu SQL Server pod kątem szyfrowania połączeń

Konfigurowanie systemu operacyjnego Windows do używania tylko protokołu TLS 1.2

Użyj jednej z następujących metod, aby skonfigurować system Windows do używania tylko protokołu TLS 1.2.

Metoda 1. Ręczne modyfikowanie rejestru

Ważne

Należy rozważnie wykonywać czynności podane w tej sekcji. Poważne problemy mogą wystąpić, jeśli rejestr jest niepoprawnie modyfikowany. Przed wprowadzeniem zmian wykonaj kopię zapasową rejestrów w przypadku wystąpienia problemów.

Aby uzyskać więcej informacji, zobacz: Jak utworzyć kopię zapasową i przywrócić rejestr w systemie Windows

Wykonaj poniższe kroki, aby zmodyfikować protokoły SChannel dla całego systemu. Zalecamy jawne włączenie protokołu TLS 1.2.

Uwaga

Wprowadzanie tych zmian rejestru nie ma wpływu na użycie protokołów Kerberos ani NTLM.

1. Zaloguj się na komputerze przy użyciu konta z lokalnymi poświadczeniami administracyjnymi.

2. Uruchom Edytor rejestru, wybierając i trzymając przycisk Start, wprowadź ciąg regedit w polu tekstowym Uruchom i wybierz przycisk OK.

3. Odszukaj następujący podklucz rejestru:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

4. Utwórz podklucz w obszarze Protokoły dla:

   • SSL 2.0
   • SSL 3.0
   • TLS 1.0
   • TLS 1.1
   • TLS 1.2

5. Utwórz podklucz klienta i serwera pod każdy utworzony wcześniej podklucz wersji protokołu. Na przykład podklucz protokołu TLS 1.0 będzie

   • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client
   • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server

6. Aby wyłączyć protokół, utwórz następujące wartości DWORD dla Server i Client:

   • Włączone [Wartość = 0]
   • DisabledByDefault [Wartość = 1]

7. Aby jawnie włączyć protokół TLS 1.2 (domyślnie jest włączony), utwórz następujące klucze rejestru:

   • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client
   • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server

8. Następnie utwórz następujące wartości DWORD w obszarze Serwer i klient:

   • Włączone [Wartość = 1]
   • DisabledByDefault [Wartość = 0]

9. Zamknij Edytor rejestru.

Metoda 2. Modyfikowanie rejestru za pomocą programu PowerShell

Uruchom następujący skrypt programu Windows PowerShell jako administrator, aby skonfigurować system operacyjny Windows do korzystania z protokołu TLS 1.2:

$ProtocolList       = @("SSL 2.0", "SSL 3.0", "TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault  = "DisabledByDefault"
$registryPath       = "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach ($Protocol in $ProtocolList)
{
    foreach ($key in $ProtocolSubKeyList)
    {
        $currentRegPath = $registryPath + $Protocol + "\" + $key
        Write-Output "Current Registry Path: `"$currentRegPath`""

  if (!(Test-Path $currentRegPath))
  {
    Write-Output " `'$key`' not found: Creating new Registry Key"
    New-Item -Path $currentRegPath -Force | out-Null
  }
  if ($Protocol -eq "TLS 1.2")
  {
    Write-Output " Explicitly enable TLS 1.2 (default is enabled)"
    New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
    New-ItemProperty -Path $currentRegPath -Name 'Enabled' -Value "1" -PropertyType DWORD -Force | Out-Null
  }
  else
  {
    Write-Output " Disabling - $Protocol"
    New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
    New-ItemProperty -Path $currentRegPath -Name 'Enabled' -Value "0" -PropertyType DWORD -Force | Out-Null
  }
  Write-Output " "
}

Konfigurowanie programu .NET Framework do używania wyższych poziomów kryptografii

Program .NET Framework zwykle wymaga, aby aplikacja zdefiniowała protokół TLS, który ma być używany do komunikacji. W przypadku programu Operations Manager musimy jednak poinformować cały system .NET Framework o tym, który protokół ma być używany.

Po zakończeniu konfiguracji wszystkich wymagań wstępnych programu Operations Manager wykonaj następujące kroki na wszystkich serwerach programu Operations Manager i na wszystkich agentach systemu Windows.

Ważne

Należy rozważnie wykonywać czynności podane w tej sekcji. Poważne problemy mogą wystąpić, jeśli rejestr jest niepoprawnie modyfikowany. Przed wprowadzeniem zmian wykonaj kopię zapasową rejestrów w przypadku wystąpienia problemów.

Aby uzyskać więcej informacji, zobacz: Jak utworzyć kopię zapasową i przywrócić rejestr w systemie Windows

Metoda 1. Ręczne modyfikowanie rejestru

1. Otwórz Edytor rejestru
2. Znajdź następujący podklucz rejestru: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727
   1. Utwórz następujące pary wartości DWORD:
      • SchUseStrongCrypto [Wartość = 1]
      • SystemDefaultTlsVersions [Wartość = 1]
3. Znajdź następujący podklucz rejestru: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v2.0.50727
   1. Utwórz następujące pary wartości DWORD:
      • SchUseStrongCrypto [Wartość = 1]
      • SystemDefaultTlsVersions [Wartość = 1]
4. Znajdź następujący podklucz rejestru: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319
   1. Utwórz następujące pary wartości DWORD:
      • SchUseStrongCrypto [Wartość = 1]
      • SystemDefaultTlsVersions [Wartość = 1]
5. Znajdź następujący podklucz rejestru: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319
   1. Utwórz następujące pary wartości DWORD:
      • SchUseStrongCrypto [Wartość = 1]
      • SystemDefaultTlsVersions [Wartość = 1]
6. Uruchom ponownie system, aby ustawienia zaczęły obowiązywać.

Metoda 2. Modyfikowanie rejestru za pomocą programu PowerShell

Uruchom następujący skrypt programu Windows PowerShell w trybie administratora, aby automatycznie skonfigurować program .NET Framework, aby zapobiec dziedziczeniu struktury zależności protokołu TLS 1.0:

# Allow .NET Framework to use higher levels of Cryptography
$NetRegistryPath1 = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v2.0.50727" 
New-ItemProperty -Path $NetRegistryPath1 -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null 
New-ItemProperty -Path $NetRegistryPath1 -Name "SystemDefaultTlsVersions" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath2 = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319" 
New-ItemProperty -Path $NetRegistryPath2 -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null
New-ItemProperty -Path $NetRegistryPath2 -Name "SystemDefaultTlsVersions" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath3 = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v2.0.50727" 
New-ItemProperty -Path $NetRegistryPath3 -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null 
New-ItemProperty -Path $NetRegistryPath3 -Name "SystemDefaultTlsVersions" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath4 = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319" 
New-ItemProperty -Path $NetRegistryPath4 -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null
New-ItemProperty -Path $NetRegistryPath4 -Name "SystemDefaultTlsVersions" -Value "1" -PropertyType DWORD -Force | Out-Null

Ustawienia dodatkowe

Jeśli monitorujesz obsługiwaną wersję serwerów Linux za pomocą programu Operations Manager, postępuj zgodnie z instrukcjami na odpowiedniej stronie internetowej dla dystrybucji Linux, aby skonfigurować TLS 1.2.

Usługi Zbierania Audytów

W przypadku usług Audit Collection Services (ACS) należy wprowadzić dodatkowe zmiany w rejestrze na serwerze modułu zbierającego ACS. Usługa ACS używa nazwy źródła danych ODBC (DSN) do nawiązywania połączeń z bazą danych. Upewnij się, że ustawienia DSN zostały zaktualizowane, aby były funkcjonalne dla protokołu TLS 1.2.

1. Zaloguj się na komputerze przy użyciu konta z lokalnymi poświadczeniami administracyjnymi.

2. Uruchom Edytor rejestru, wybierając i trzymając przycisk Start, wprowadź ciąg regedit w polu tekstowym Uruchom i wybierz przycisk OK.

3. Znajdź następujący podklucz ODBC dla programu OpsMgrAC: HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC.

   Uwaga

   Domyślną nazwą DSN jest OpsMgrAC.

4. W podkluczu Źródła danych ODBC wybierz nazwę DSN OpsMgrAC. Zawiera on nazwę sterownika ODBC, który ma być używany na potrzeby połączenia z bazą danych. Jeśli zainstalowano sterownik ODBC 17, zmień tę nazwę na sterownik ODBC 17 dla serwera SQL Server.

5. W podkluczu OpsMgrAC zaktualizuj sterownik dla zainstalowanej wersji ODBC.

   • Jeśli na przykład zainstalowano sterownik ODBC 17, zmień wpis Sterownik na %WINDIR%\system32\msodbcsql17.dll.
   • Sprawdź nazwę biblioteki DLL dla bieżącej wersji sterownika ODBC zainstalowanego, jeśli jest inaczej.

Plik rejestru

Alternatywnie utwórz i zapisz następujący plik .reg w Notatniku lub innym edytorze tekstów. Aby uruchomić zapisany plik .reg , kliknij dwukrotnie plik.

• W przypadku ODBC 17 utwórz następujący plik ODBC 17.reg:

  Windows Registry Editor Version 5.00
  
  [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\ODBC Data Sources]
  "OpsMgrAC"="ODBC Driver 17 for SQL Server"
  
  [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC]
  "Driver"="%WINDIR%\system32\msodbcsql17.dll"
  

PowerShell

Alternatywnie uruchom następujące polecenia programu PowerShell, aby zautomatyzować zmianę.

• Pamiętaj, aby zastąpić ścieżkę pliku dll do odpowiedniej wersji, jeśli jest używana wersja sterownika ODBC inna niż 17.

  New-ItemProperty -Path "HKLM:\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC" -Name "Driver" -Value "%WINDIR%\system32\msodbcsql7.dll" -PropertyType STRING -Force | Out-Null
  New-ItemProperty -Path "HKLM:\SOFTWARE\ODBC\ODBC.INI\ODBC Data Sources" -Name "OpsMgrAC" -Value "ODBC Driver 17 for SQL Server" -PropertyType STRING -Force | Out-Null
  

Następne kroki

• Aby uzyskać więcej informacji na temat protokołu TLS 1.0 od naszego zespołu inżynierów ds. zabezpieczeń, zobacz Rozwiązywanie problemów z protokołem TLS 1.0.
• Aby uzyskać pełną listę używanych portów, kierunek komunikacji i jeśli porty można skonfigurować, zobacz Konfigurowanie zapory dla programu Operations Manager.
• Aby zapoznać się z ogólnym przeglądem sposobu ochrony danych między składnikami w grupie zarządzania, zobacz Authentication and Data Encryption in Operations Manager (Uwierzytelnianie i szyfrowanie danych w programie Operations Manager).