服务器启用tls协议,在服务器上启用 TLS 1.2 - Configuration Manager | Microsoft Docs

如何在站点服务器和远程站点系统上启用 TLS 1.2

05/04/2021

本文内容

适用范围： Configuration Manager (Current Branch)

为 Configuration Manager 环境启用 TLS 1.2 时，请先从为客户端启用 TLS 1.2开始。 然后再在站点服务器和远程站点系统上启用 TLS 1.2。 最后，测试客户端到站点系统的通信，然后在服务器端禁用较旧的协议(若适用)。 在站点服务器和远程站点系统上启用 TLS 1.2 需要完成以下任务：

确保在操作系统级别启用 TLS 1.2 作为 SChannel 协议

更新并配置 .NET Framework 以支持 TLS 1.2

更新 SQL Server 和客户端组件

更新 Windows Server Update Services (WSUS)

有关特定 Configuration Manager 功能和场景依赖项的详细信息，请参阅关于启用 TLS 1.2。

确保在操作系统级别启用 TLS 1.2 作为 SChannel 协议

默认情况下启用 TLS 1.2。 因此，不需要更改这些项即可启用它。 在遵循本文中的其他指南并验证环境在仅启用 TLS 1.2 也可用后，可以在 Protocols 下进行更改以禁用 TLS 1.0 和 TLS 1.1。

验证 \SecurityProviders\SCHANNEL\Protocols 注册表子项设置，如 .NET Framework 中的传输层安全性 (TLS) 最佳做法所示。

更新并配置 .NET Framework 以支持 TLS 1.2

确定 .NET 版本

安装 .NET 更新

安装 .NET 更新以便启用强加密。 某些 .NET Framework 版本可能需要更新来启用强加密。 使用以下准则：

NET Framework 4.6.2 及更高版本支持 TLS 1.1 和 TLS 1.2。 确认注册表设置，但无需额外更改。

更新 NET Framework 4.6 和更低版本以支持 TLS 1.1 和 TLS 1.2。 有关详细信息，请参阅 .NET Framework 版本和依赖关系。

如果在 Windows 8.1 或 Windows Server 2012 上使用 .NET Framework 4.5.1 或 4.5.2，也可从下载中心获取相关更新和详细信息。

配置强加密

将 .NET Framework 配置为支持强加密。 将 SchUseStrongCrypto 注册表设置设置为 DWORD:00000001。 此值将禁用 RC4 流密码，并需要重新启动。 若要了解有关此设置的详细信息，请参阅 Microsoft 安全公告 296038。

请务必在跨网络与启用了 TLS 1.2 的系统通信的所有计算机上设置以下注册表项。 例如 Configuration Manager 客户端、未在站点服务器安装的远程站点系统角色，以及站点服务器本身。

对于在 32 位 OS 上运行的 32 位应用程序和在 64 位 OS 上运行的 64 位应用程序，请更新以下子项值：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727]

"SystemDefaultTlsVersions" = dword:00000001

"SchUseStrongCrypto" = dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]

"SystemDefaultTlsVersions" = dword:00000001

"SchUseStrongCrypto" = dword:00000001

对于在 64 位 OS 上运行的 32 位应用程序，请更新以下子项值：

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v2.0.50727]

"SystemDefaultTlsVersions" = dword:00000001

"SchUseStrongCrypto" = dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319]

"SystemDefaultTlsVersions" = dword:00000001

"SchUseStrongCrypto" = dword:00000001

备注

SchUseStrongCrypto 设置允许 .NET 使用 TLS 1.1 和 TLS 1.2。 SystemDefaultTlsVersions 设置允许 .NET 使用操作系统配置。 有关详细信息，请参阅 .NET Framework 中的传输层安全性 (TLS) 最佳做法。

更新 SQL Server 和客户端组件

Microsoft SQL Server 2016 及更高版本支持 TLS 1.1 和 TLS 1.2。 早期版本和依赖库可能需要更新。 有关详细信息，请参阅 KB 3135244：支持 Microsoft SQL Server 的 TLS 1.2。

辅助站点服务器需要至少使用包含服务包 2 (13.2.50.26) 的 SQL Server 2016 Express，或更高版本。

SQL Server Native Client

备注

KB 3135244 还介绍了 SQL Server 客户端组件的要求。

此外，还要务必将 SQL Server Native Client 至少更新到 SQL Server 2012 SP4 (11.*.7001.0) 版本。 此要求属于先决条件检查(警告)。

Configuration Manager 对以下站点系统角色使用 SQL Server Native Client：

站点数据库服务器

站点服务器：管理中心站点、主站点或辅助站点

管理点

设备管理点

状态迁移点

SMS 提供程序

软件更新点

启用多播的分发点

资产智能更新服务点

Reporting Services 点

注册点

Endpoint Protection 点

服务连接点

证书注册点

数据仓库服务点

更新 Windows Server Update Services (WSUS)

若要在 WSUS 的早期版本中支持 TLS 1.2，请在 WSUS 服务器上安装以下更新：

对于运行 Windows Server 2012 的 WSUS 服务器，安装更新 4022721 或更高版本的汇总更新。

对于运行 Windows Server 2012 R2 的 WSUS 服务器，安装更新 4022720 或更高版本的汇总更新。

从 Windows Server 2016 开始，WSUS 默认支持 TLS 1.2。 只需在 Windows Server 2012 和 Windows Server 2012 R2 WSUS 服务器上进行 TLS 1.2 更新。

后续步骤