Принудительное применение TLS 1.2 для Operations Manager

В этой статье описывается, как разрешить System Center Operations Manager использовать протокол TLS 1.2.

1. Установите Microsoft OLE DB Driver for SQL версии 18.7.4 на всех серверах управления и на сервере веб-консоли.

2. Установите Microsoft ODBC Driver for SQL версии 17.10.6 на всех серверах управления и на сервере веб-консоли.

3. Настройте Windows только для использования TLS 1.2.

4. Настройте .NET Framework для использования более высоких уровней криптографии по умолчанию.

5. Настройте службы сбора аудита, если они установлены.

Примечание.

При использовании шифрования подключений SQL Server установите следующие версии драйверов:

• Microsoft OLE DB Driver 19: https://aka.ms/downloadmsoledbsql
• Microsoft ODBC Driver 18: https://aka.ms/downloadmsodbcsql

Дополнительные сведения о настройке шифрования подключений SQL см. здесь: Настройка SQL Server Database Engine для шифрования подключений

Настройка операционной системы Windows на использование только протокола TLS 1.2

Используйте один из следующих методов, чтобы настроить Windows для использования только протокола TLS 1.2.

Метод 1. Изменение реестра вручную

Важно!

Точно следуйте всем указаниям из этого раздела. Серьезные проблемы могут возникнуть, если реестр изменен неправильно. Перед внесением изменений создайте резервную копию реестров в случае возникновения проблем.

Дополнительные сведения см. в статье Резервное копирование и восстановление реестра в Windows

Чтобы изменить системные протоколы SChannel, выполните следующие действия. Мы рекомендуем явно включить протокол TLS 1.2.

Примечание.

Внесение этих изменений в реестр не влияет на использование протоколов Kerberos или NTLM.

1. Выполните вход на сервер с помощью учетной записи с учетными данными локального администратора.

2. Запустите редактор реестра, нажав кнопку "Пуск", введите regedit в текстовом поле "Запуск" и нажмите кнопку "ОК".

3. Найдите следующий подраздел реестра:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

4. Создайте подраздел в разделе "Протоколы " для:

   • SSL 2.0
   • SSL 3.0
   • TLS 1.0
   • TLS 1.1
   • TLS 1.2

5. Создайте клиента и Server подраздел подключа версии протокола, созданного ранее. Например, подключ для TLS 1.0 будет

   • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client
   • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server

6. Чтобы отключить протокол, создайте следующие значения DWORD в разделе Server и Client:

   • Включено [значение = 0]
   • ОтключеноПоУмолчанию [Значение = 1]

7. Чтобы явно включить протокол TLS 1.2 (по умолчанию включен), создайте следующие ключи реестра:

   • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client
   • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server

8. Затем создайте следующие значения DWORD в разделе "Сервер " и "Клиент".

   • Enabled [значение = 1];
   • DisabledByDefault [значение = 0].

9. Закройте Редактор реестра.

Метод 2. Изменение реестра с помощью PowerShell

Выполните следующий сценарий Windows PowerShell от имени администратора, чтобы настроить операционную систему Windows для использования протокола TLS 1.2:

$ProtocolList       = @("SSL 2.0", "SSL 3.0", "TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault  = "DisabledByDefault"
$registryPath       = "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach ($Protocol in $ProtocolList)
{
    foreach ($key in $ProtocolSubKeyList)
    {
        $currentRegPath = $registryPath + $Protocol + "\" + $key
        Write-Output "Current Registry Path: `"$currentRegPath`""

  if (!(Test-Path $currentRegPath))
  {
    Write-Output " `'$key`' not found: Creating new Registry Key"
    New-Item -Path $currentRegPath -Force | out-Null
  }
  if ($Protocol -eq "TLS 1.2")
  {
    Write-Output " Explicitly enable TLS 1.2 (default is enabled)"
    New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
    New-ItemProperty -Path $currentRegPath -Name 'Enabled' -Value "1" -PropertyType DWORD -Force | Out-Null
  }
  else
  {
    Write-Output " Disabling - $Protocol"
    New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
    New-ItemProperty -Path $currentRegPath -Name 'Enabled' -Value "0" -PropertyType DWORD -Force | Out-Null
  }
  Write-Output " "
}

Настройка .NET Framework для использования более высоких уровней шифрования

.NET Framework обычно требует, чтобы приложение определило протокол TLS, используемый для обмена данными. Однако в случае Operations Manager необходимо указать всей системе .NET Framework, какой протокол следует использовать.

После завершения настройки всех необходимых компонентов для Operations Manager выполните следующие действия на всех серверах Operations Manager и на всех агентах Windows.

Важно!

Точно следуйте всем указаниям из этого раздела. Серьезные проблемы могут возникнуть, если реестр изменен неправильно. Перед внесением изменений создайте резервную копию реестров в случае возникновения проблем.

Дополнительные сведения см. в статье Резервное копирование и восстановление реестра в Windows

Метод 1. Изменение реестра вручную

1. Открытие редактора реестра
2. Найдите следующий подраздел реестра: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727
   1. Создайте следующие пары значений DWORD:
      • SchUseStrongCrypto [Значение = 1]
      • SystemDefaultTlsVersions [Value = 1]
3. Найдите следующий подраздел реестра: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v2.0.50727
   1. Создайте следующие пары значений DWORD:
      • SchUseStrongCrypto [Значение = 1]
      • SystemDefaultTlsVersions [Value = 1]
4. Найдите следующий подраздел реестра: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319
   1. Создайте следующие пары значений DWORD:
      • SchUseStrongCrypto [Значение = 1]
      • SystemDefaultTlsVersions [Value = 1]
5. Найдите следующий подраздел реестра: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319
   1. Создайте следующие пары значений DWORD:
      • SchUseStrongCrypto [Значение = 1]
      • SystemDefaultTlsVersions [Value = 1]
6. Перезагрузите систему, чтобы параметры вступили в силу.

Метод 2. Изменение реестра с помощью PowerShell

Запустите следующий сценарий Windows PowerShell с правами администратора, чтобы автоматически настроить .NET Framework для предотвращения зависимостей TLS 1.0, наследуемых платформой.

# Allow .NET Framework to use higher levels of Cryptography
$NetRegistryPath1 = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v2.0.50727" 
New-ItemProperty -Path $NetRegistryPath1 -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null 
New-ItemProperty -Path $NetRegistryPath1 -Name "SystemDefaultTlsVersions" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath2 = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319" 
New-ItemProperty -Path $NetRegistryPath2 -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null
New-ItemProperty -Path $NetRegistryPath2 -Name "SystemDefaultTlsVersions" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath3 = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v2.0.50727" 
New-ItemProperty -Path $NetRegistryPath3 -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null 
New-ItemProperty -Path $NetRegistryPath3 -Name "SystemDefaultTlsVersions" -Value "1" -PropertyType DWORD -Force | Out-Null

$NetRegistryPath4 = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319" 
New-ItemProperty -Path $NetRegistryPath4 -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null
New-ItemProperty -Path $NetRegistryPath4 -Name "SystemDefaultTlsVersions" -Value "1" -PropertyType DWORD -Force | Out-Null

Дополнительные параметры

Если вы осуществляете мониторинг поддерживаемой версии сервера Linux, используя Operations Manager, следуйте инструкциям на соответствующем веб-сайте для вашего дистрибутива, чтобы сконфигурировать TLS 1.2.

Аудит служб сбора данных

Для служб сбора аудита (ACS) необходимо внести дополнительные изменения в реестр на сервере сбора ACS. ACS использует имя источника данных ODBC (DSN) для подключения к базе данных. Убедитесь, что параметры DSN обновлены, чтобы сделать их функциональными для TLS 1.2.

1. Выполните вход на сервер с помощью учетной записи с учетными данными локального администратора.

2. Запустите редактор реестра, нажав кнопку "Пуск", введите regedit в текстовом поле "Запуск" и нажмите кнопку "ОК".

3. Найдите следующий подключ ODBC для OpsMgrAC: HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC.

   Примечание.

   Имя DSN по умолчанию — OpsMgrAC.

4. В подразделе Источники данных ODBC выберите имя DSN OpsMgrAC. Он содержит имя драйвера ODBC, который будет использоваться для подключения к базе данных. Если установлен ODBC 17, измените это имя на драйвер ODBC 17 для SQL Server.

5. В подразделе OpsMgrAC обновите драйвер для установленной версии ODBC.

   • Например, если установлен ODBC 17, измените запись Драйвера на %WINDIR%\system32\msodbcsql17.dll.
   • Проверьте имя библиотеки DLL для текущей версии драйвера ODBC, установленной, если она отличается.

Файл реестра

Кроме того, создайте и сохраните следующий файл .reg в Блокноте или другом текстовом редакторе. Чтобы запустить сохраненный файл .reg , дважды щелкните файл.

• Для ODBC 17 создайте следующий файл ODBC 17.reg:

  Windows Registry Editor Version 5.00
  
  [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\ODBC Data Sources]
  "OpsMgrAC"="ODBC Driver 17 for SQL Server"
  
  [HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC]
  "Driver"="%WINDIR%\system32\msodbcsql17.dll"
  

PowerShell

Кроме того, выполните следующие команды PowerShell, чтобы автоматизировать изменение.

• Убедитесь, что путь к файлу dll следует заменить соответствующей версией, если используется драйвер ODBC, отличный от 17.

  New-ItemProperty -Path "HKLM:\SOFTWARE\ODBC\ODBC.INI\OpsMgrAC" -Name "Driver" -Value "%WINDIR%\system32\msodbcsql7.dll" -PropertyType STRING -Force | Out-Null
  New-ItemProperty -Path "HKLM:\SOFTWARE\ODBC\ODBC.INI\ODBC Data Sources" -Name "OpsMgrAC" -Value "ODBC Driver 17 for SQL Server" -PropertyType STRING -Force | Out-Null
  

Следующие шаги

• Дополнительные сведения о TLS 1.0 от нашей команды инженеров по безопасности см. в решении проблемы TLS 1.0.
• Полный список используемых портов, направление связи и возможность настройки портов см. в разделе "Настройка брандмауэра для Operations Manager".
• Общие сведения о том, как данные между компонентами в группе управления защищены, см. в разделе "Проверка подлинности и шифрование данных" в Operations Manager.