Oktatóprogram: Szoftverfrissítési pont konfigurálása TLS/SSL PKI-tanúsítvánnyal való használatára

A következőre vonatkozik: Configuration Manager (aktuális ág)

A Windows Server Update Services (WSUS) kiszolgálók és a hozzájuk tartozó szoftverfrissítési pontok (SUP) TLS/SSL használatára való konfigurálása csökkentheti a potenciális támadók azon képességét, hogy távolról feltörjék az ügyfeleket, és magasabb jogosultságokat szerezzenek. A lehető legjobb biztonsági protokollok biztosítása érdekében erősen ajánlott a TLS/SSL protokoll használata a szoftverfrissítési infrastruktúra biztonságossá tételéhez. Ez a cikk végigvezeti az egyes WSUS-kiszolgálók és szoftverfrissítési pontok HTTPS használatára való konfigurálásához szükséges lépéseken. A WSUS biztonságossá tételéről további információt a WSUS dokumentációjának "WSUS védelme a Secure Sockets Layer Protocol protokollal " című cikkében talál.

Ebben az oktatóanyagban a következőket fogja elvégezni:

  • Szükség esetén szerezzen be egy PKI-tanúsítványt
  • A tanúsítvány kötése a WSUS felügyeleti webhelyéhez
  • A WSUS-webszolgáltatások konfigurálása az SSL használatára
  • A WSUS-alkalmazás konfigurálása az SSL használatára
  • Annak ellenőrzése, hogy a WSUS-konzol kapcsolata használhatja-e az SSL-t
  • A szoftverfrissítési pont konfigurálása a WSUS-kiszolgálóval folytatott SSL-kommunikáció megkövetelésére
  • Működés ellenőrzése a Configuration Manager segítségével

Megfontolandó szempontok és korlátozások

A WSUS TLS/SSL használatával hitelesíti az ügyfélszámítógépeket és az alsóbb rétegbeli WSUS-kiszolgálókat a felsőbb szintű WSUS-kiszolgáló felé. A WSUS TLS/SSL használatával is titkosítja a frissítési metaadatokat. A WSUS nem használ TLS/SSL-t a frissítések tartalomfájljaihoz. A tartalomfájlok le lesznek írva, a fájl kivonata pedig szerepel a frissítés metaadatai között. Mielőtt az ügyfél letöltené és telepítené a fájlokat, ellenőrzi a digitális aláírást és a kivonatot is. Ha valamelyik ellenőrzés sikertelen, a frissítés nem telepíthető.

Ha TLS/SSL használatával véd egy WSUS-környezetet, vegye figyelembe az alábbi korlátozásokat:

  • A TLS/SL használata növeli a kiszolgáló terhelését. A hálózaton keresztül küldött összes metaadat titkosítása kis teljesítménycsökkenést okozhat.
  • Ha távoli SQL Server-adatbázissal használja a WSUS-t, a WSUS-kiszolgáló és az adatbázis-kiszolgáló közötti kapcsolatot nem biztosítja TLS/SSL. Ha az adatbázis-kapcsolat biztonságos, vegye figyelembe az alábbi javaslatokat:
    • Helyezze át a WSUS-adatbázist a WSUS-kiszolgálóra.
    • Helyezze át a távoli adatbázis-kiszolgálót és a WSUS-kiszolgálót egy magánhálózatba.
    • Telepítsen IPsec-titkosítást a hálózati forgalom biztonságossá tétele érdekében.

A WSUS-kiszolgálók és szoftverfrissítési pontjaik TLS/SSL használatára történő konfigurálásakor érdemes szakaszosan bevezetni a módosításokat a nagy Configuration Manager-hierarchiákra. Ha úgy dönt, hogy fokozatosan vezeti be ezeket a változtatásokat, kezdje a hierarchia aljánál, és haladjon felfelé, egészen a központi adminisztrációs helyig.

Előfeltételek

Ez az oktatóanyag az Internet Information Services (IIS) szolgáltatáshoz használt tanúsítványok beszerzésének legáltalánosabb módját ismerteti. Bármelyik módszert is használja a szervezete, győződjön meg arról, hogy a tanúsítvány megfelel a Configuration Manager szoftverfrissítési pontra vonatkozó PKI-tanúsítványra vonatkozó követelményeknek. Mint minden tanúsítvány esetében, a WSUS-kiszolgálóval kommunikáló eszközöknek megbízhatónak kell lenniük a hitelesítésszolgáltatóban.

  • WSUS-kiszolgáló telepített szoftverfrissítési pont szerepkörrel
  • Ellenőrizze, hogy a TLS/SSL engedélyezése előtt követte-e az újrahasznosítás letiltására és a memóriakorlátok konfigurálására vonatkozó ajánlott eljárásokat a WSUS számára.
  • Az alábbi két lehetőség egyike:
    • Egy megfelelő PKI-tanúsítvány már szerepel a WSUS-kiszolgáló személyestanúsítvány-tárolójában .
    • A megfelelő PKI-tanúsítvány kérésének és beszerzésének lehetősége a WSUS-kiszolgálóhoz a vállalati főtanúsítványszolgáltatótól (CA).
      • Alapértelmezés szerint a legtöbb tanúsítványsablon, beleértve a WebServer-tanúsítványsablont, csak a tartománygazdáknak állít ki szolgáltatást. Ha a bejelentkezett felhasználó nem tartományi rendszergazda, akkor a felhasználói fiókjához Regisztráció engedélyt kell adni a tanúsítványsablonon.

Szükség esetén szerezze be a tanúsítványt a hitelesítésszolgáltatótól

Ha már rendelkezik megfelelő tanúsítvánnyal a WSUS-kiszolgáló személyes tanúsítványtárolójában, hagyja ki ezt a szakaszt, és kezdje a Tanúsítvány kötése szakasszal. Ha tanúsítványkérelmet szeretne küldeni a belső hitelesítésszolgáltatónak egy új tanúsítvány telepítéséhez, kövesse a jelen szakasz utasításait.

  1. A WSUS-kiszolgálóról nyisson meg egy rendszergazdai parancssort, és futtassa a parancsot certlm.msc. A helyi számítógép tanúsítványainak kezeléséhez a felhasználói fiókjának helyi rendszergazdának kell lennie.

    Megjelenik a helyi eszköz Tanúsítványkezelő eszköze.

  2. Bontsa ki a Személyes csomópontot, majd kattintson a jobb gombbal a Tanúsítványok elemre.

  3. Jelölje ki az összes tevékenységet , majd kérjen új tanúsítványt.

  4. A tanúsítványigénylés megkezdéséhez válassza a Tovább gombot .

  5. Válassza ki az igényelni kívánt tanúsítvány típusát. A tanúsítvány célja a kiszolgálóhitelesítés, a Microsoft-tanúsítványsablon pedig webkiszolgáló vagy egy olyan egyéni sablon, amelynél kiszolgálóhitelesítés van megadva kibővített kulcshasználatként. A tanúsítvány igényléséhez a rendszer további információk megadására kérheti. Általában legalább az alábbi adatokat meg kell adnia:

    • Köznapi név: A Tárgy lapon állítsa be az értéket a WSUS-kiszolgáló teljes tartománynevére.
    • Felhasználóbarát név: Az Általános lapon található értéket adjon meg egy jól ismertető névre, hogy később könnyebben azonosíthassa a tanúsítványt.

    A tanúsítvány tulajdonságai ablak, ahol további információk adhatók meg az igényléssel kapcsolatban

  6. Válassza a Regisztráció, majd a Befejezés lehetőséget a regisztráció befejezéséhez.

  7. Nyissa meg a tanúsítványt, ha meg szeretné nézni a vele kapcsolatos részleteket, például a tanúsítvány ujjlenyomatát.

Tipp

Ha a WSUS-kiszolgáló internetkapcsolatú, szüksége lesz a külső teljes tartománynévre a tanúsítvány Tulajdonos vagy tulajdonos alternatív neve (SAN) mezőben.

A tanúsítvány kötése a WSUS felügyeleti helyéhez

Miután a tanúsítvány bekerült a WSUS-kiszolgáló személyes tanúsítványtárolójába, kösse össze a WSUS felügyeleti helyével az IIS-ben.

  1. A WSUS-kiszolgálón nyissa meg az Internet Information Services (IIS) kezelőjét.

  2. Nyissa meg a Webhelyek>WSUS-felügyelet lapot.

  3. Válassza a Kötések parancsot a művelet menüben vagy a webhelyre jobb gombbal kattintva.

  4. A Webhely kötései ablakban jelölje ki a https-sort, majd válassza a Szerkesztés lehetőséget.

    • Ne távolítsa el a HTTP-webhely kötését. A WSUS HTTP-t használ a frissítés tartalomfájljaihoz.

  5. Az SSL-tanúsítvány beállításnál válassza ki a WSUS felügyeleti helyéhez kötni kívánt tanúsítványt. A tanúsítvány rövid neve megjelenik a legördülő menüben. Ha nem adott meg rövid nevet, akkor a IssuedTo tanúsítvány mezője jelenik meg. Ha nem biztos abban, hogy melyik tanúsítványt használja, válassza a Megtekintés lehetőséget, és ellenőrizze, hogy az ujjlenyomat megegyezik-e azzal, amit kapott.

    Webhelykötés szerkesztése ablak az SSL-tanúsítvány kiválasztásával

  6. Ha végzett, válassza az OK, majd a Bezárás gombot a webhelykötések kilépéséhez. Tartsa megnyitva az Internet Information Services (IIS) kezelőjét a következő lépésekhez.

A WSUS-webszolgáltatások konfigurálása az SSL használatára

  1. A WSUS-kiszolgáló IIS-kezelőjében válassza a Helyek>WSUS felügyelete lehetőséget.

  2. Bontsa ki a WSUS felügyeleti webhelyét, hogy megtekinthesse a WSUS webszolgáltatásainak és virtuális könyvtárainak listáját.

  3. Az alábbi WSUS-webszolgáltatások mindegyikéhez:

    • ApiRemoting30
    • ClientWebService
    • DSSAuthWebService
    • ServerSyncWebService
    • SimpleAuthWebService

    Hajtsa végre az alábbi módosításokat:

    1. Válassza az SSL-beállítások lehetőséget.
    2. Engedélyezze az SSL megkövetelése beállítást.
    3. Ellenőrizze, hogy az Ügyféltanúsítványok beállítás Mellőzés értékre van-e állítva.
    4. Válassza az Alkalmaz lehetőséget.

Ne adja meg az SSL-beállításokat a legfelső szintű WSUS-felügyeleti webhelyen, mivel bizonyos függvényekhez, például a tartalomhoz a HTTP protokollt kell használniuk.

A WSUS-alkalmazás konfigurálása az SSL használatára

Miután beállította a webszolgáltatások SSL-megkövetelését, értesíteni kell a WSUS-alkalmazást, hogy további konfigurációk végrehajtásával támogathassa a módosítást.

  1. Nyisson meg egy rendszergazdai parancssort a WSUS-kiszolgálón. A parancsot futtató felhasználói fióknak tagjának kell lennie a WSUS Rendszergazdák csoportjának vagy a helyi Rendszergazdák csoportnak.

  2. Módosítsa a könyvtárat a WSUS eszközök mappájára:

    cd "c:\Program Files\Update Services\Tools"

  3. A következő paranccsal konfigurálhatja a WSUS-t az SSL használatára:

    WsusUtil.exe configuressl server.contoso.com

    Ahol server.contoso.com a WSUS-kiszolgáló teljes tartományneve.

  4. A WsusUtil a WSUS-kiszolgáló URL-címét adja vissza a végén megadott portszámmal. A port 8531 (alapértelmezett) vagy 443 lesz. Ellenőrizze, hogy a visszaadott URL-cím megfelel-e a vártnak. Ha valamit elgépelt, futtassa újra a parancsot.

    A WSUS HTTPS URL-címét visszaadó wsusutil configuressl parancs

Tipp

Ha a WSUS-kiszolgáló internetes elérésű, adja meg a külső teljes tartománynevet futás közben WsusUtil.exe configuressl.

Annak ellenőrzése, hogy a WSUS-konzol csatlakozni tud-e az SSL használatával

A WSUS-konzol az ApiRemoting30 webszolgáltatást használja a csatlakozáshoz. A Configuration Manager szoftverfrissítési pont (SUP) ugyanezzel a webszolgáltatással utasítja a WSUS-t bizonyos műveletekre, például:

  • Szoftverfrissítés-szinkronizálás kezdeményezése
  • A megfelelő felsőbb rétegbeli kiszolgáló beállítása a WSUS szolgáltatáshoz, amely attól függ, hogy hol található a szoftverfrissítési pont helye a Configuration Manager hierarchiájában
  • Termékek és besorolások hozzáadása vagy eltávolítása a szinkronizáláshoz a hierarchia legfelső szintű WSUS-kiszolgálójáról.
  • A lejárt frissítések eltávolítása

Nyissa meg a WSUS-konzolt, és ellenőrizze, hogy tud-e SSL-kapcsolatot használni a WSUS-kiszolgáló ApiRemoting30 webszolgáltatásához. A többi webes szolgáltatást később tesztelni fogjuk.

  1. Nyissa meg a WSUS-konzolt, és válassza a Művelet>csatlakozás a kiszolgálóhoz lehetőséget.

  2. Adja meg a WSUS-kiszolgáló teljes tartománynevét a Kiszolgáló neve beállításhoz.

  3. Válassza ki a WSUSutil URL-címében visszaadott portszámot .

  4. A kiszolgálóhoz való csatlakozás Secure Sockets Layer (SSL) használatával beállítás automatikusan engedélyezve van, ha a 8531 (alapértelmezett) vagy a 443 értéket választja.

    Csatlakozás a WSUS-konzolhoz a HTTPS-porton keresztül

  5. Ha a Configuration Manager helykiszolgáló távol van a szoftverfrissítési ponttól, indítsa el a WSUS-konzolt a helykiszolgálóról, és ellenőrizze, hogy a WSUS-konzol csatlakozni tud-e SSL-kapcsolaton keresztül.

    • Ha a távoli WSUS-konzol nem tud csatlakozni, az valószínűleg a tanúsítvány megbízhatóságával, a névfeloldással vagy a letiltott porttal kapcsolatos problémát jelez.

A szoftverfrissítési pont konfigurálása a WSUS-kiszolgálóval folytatott SSL-kommunikáció megkövetelésére

Miután beállította a WSUS TLS/SSL használatát, frissítenie kell a megfelelő Configuration Manager szoftverfrissítési pontot, hogy az SSL-t is igényeljen. A módosítás végrehajtásakor a Configuration Manager:

  • Ellenőrizze, hogy konfigurálni tudja-e a WSUS-kiszolgálót a szoftverfrissítési ponthoz
  • Irányítsa az ügyfeleket az SSL-port használatára, amikor a rendszer felszólítja őket a WSUS-kiszolgáló vizsgálatára.

Ha úgy szeretné konfigurálni a szoftverfrissítési pontot, hogy SSL-kommunikációt igényeljen a WSUS-kiszolgálóval, hajtsa végre a következő lépéseket:

  1. Nyissa meg a Configuration Manager konzolt, és csatlakozzon a központi adminisztrációs helyhez vagy a szerkeszteni kívánt szoftverfrissítési pont elsődleges helykiszolgálójához.

  2. Nyissa meg a Felügyelet>áttekintését:Helykonfigurációs>>kiszolgálók és helyrendszerszerepkörök.

  3. Válassza ki azt a helyrendszer-kiszolgálót, amelyen a WSUS telepítve van, majd válassza ki a szoftverfrissítési pont helyrendszerszerepkörét.

  4. Válassza a menüszalagon a Tulajdonságok elemet.

  5. Engedélyezze a WSUS-kiszolgálóval folytatott SSL-kommunikáció megkövetelése beállítást.

    A WSUS-kiszolgálóval folytatott SSL-kommunikáció megkövetelése beállítást megjelenítő SUP-tulajdonságok

  6. A webhely WCM.log a módosítás alkalmazásakor a következő bejegyzések jelennek meg:

    SCF change notification triggered.
Populating config from SCF
Setting new configuration state to 1 (WSUS_CONFIG_PENDING)
...
Attempting connection to local WSUS server
Successfully connected to local WSUS server
...
Setting new configuration state to 2 (WSUS_CONFIG_SUCCESS)

A naplófájl-példákat úgy szerkesztettük, hogy eltávolítsuk a szükségtelen adatokat ehhez a forgatókönyvhöz.

Működés ellenőrzése a Configuration Manager segítségével

Annak ellenőrzése, hogy a helykiszolgáló szinkronizálni tudja-e a frissítéseket

  1. Csatlakoztassa a Configuration Manager konzolt a legfelső szintű helyhez.

  2. Ugrás a Szoftverkönyvtár>áttekintésére Szoftverfrissítések>FrissítésekMinden>szoftverfrissítés Frissítések.

  3. A menüszalagon válassza a Szoftver-Frissítések szinkronizálása lehetőséget.

  4. Válassza az Igen lehetőséget ahhoz az értesítéshez, amely rákérdez, hogy szeretné-e webhelyszintű szinkronizálást kezdeményezni a szoftverfrissítésekhez.

    • Mivel megváltozott a WSUS konfigurációja, különbözeti szinkronizálás helyett teljes szoftverfrissítés-szinkronizálás megy végbe.

  5. Nyissa meg a webhely wsyncmgr.log . Ha gyermekwebhelyet figyel, meg kell várnia, hogy a szülőwebhely befejezze a szinkronizálást. A kiszolgáló szinkronizálásának ellenőrzéséhez ellenőrizze a naplóban a következőhöz hasonló bejegyzéseket:

    Starting Sync
...
Full sync required due to changes in main WSUS server location.
...
Found active SUP SERVER.CONTOSO.COM from SCF File.
...
https://SERVER.CONTOSO.COM:8531
...
Done synchronizing WSUS Server SERVER.CONTOSO.COM
...
sync: Starting SMS database synchronization
...
Done synchronizing SMS with WSUS Server SERVER.CONTOSO.COM

Annak ellenőrzése, hogy az ügyfél tud-e frissítéseket keresni

Ha a szoftverfrissítési pontot SSL-megkövetelő értékre módosítja, a Configuration Manager-ügyfelek megkapják a frissített WSUS URL-címet, amikor helykérést küldenek egy szoftverfrissítési pont számára. Egy ügyfél tesztelésével a következőket tudjuk:

  • Állapítsa meg, hogy az ügyfél megbízik-e a WSUS-kiszolgáló tanúsítványában.
  • Ha a SimpleAuthWebService és a ClientWebService for WSUS működik.
  • A WSUS-tartalom virtuális könyvtára működőképes, ha az ügyfél véletlenül lekért egy végfelhasználói licencszerződést az ellenőrzés során

  1. Azonosítsa azt az ügyfelet, amely a TLS/SSL használatára nemrégiben átállított szoftverfrissítési pontot vizsgálja. Ha segítségre van szüksége egy ügyfél azonosításához, használja a parancsfájlok futtatását az alábbi PowerShell-szkripttel:

    $Last = (Get-CIMInstance -Namespace "root\CCM\Scanagent" -Class "CCM_SUPLocationList").LastSuccessScanPath
$Current= Write-Output (Get-CIMInstance -Namespace "root\CCM\Scanagent" -Class "CCM_SUPLocationList").CurrentScanPath
Write-Host "LastGoodSUP- $last"
Write-Host "CurrentSUP- $current"

    Tipp

    Nyissa meg ezt a szkriptet a közösségi központban. További információ: Közvetlen hivatkozások közösségi központi elemekre.

  2. Futtasson szoftverfrissítés-ellenőrzési ciklust a tesztkliensen. A következő PowerShell-parancsfájllal kényszerítheti az ellenőrzést:

    Invoke-WMIMethod -Namespace root\ccm -Class SMS_CLIENT -Name TriggerSchedule "{00000000-0000-0000-0000-000000000113}"

    Tipp

    Nyissa meg ezt a szkriptet a közösségi központban. További információ: Közvetlen hivatkozások közösségi központi elemekre.

  3. Tekintse át az ügyfél ScanAgent.log ellenőrzéséhez, hogy érkezett-e a szoftverfrissítési ponton történő ellenőrzésre vonatkozó üzenet.

    Message received: '<?xml version='1.0' ?>
<UpdateSourceMessage MessageType='ScanByUpdateSource'>
   <ForceScan>TRUE</ForceScan>
   <UpdateSourceIDs>
 		<ID>{A1B2C3D4-1234-1234-A1B2-A1B2C3D41234}</ID>
   </UpdateSourceIDs>
 </UpdateSourceMessage>'

  4. Tekintse át a LocationServices.log, és ellenőrizze, hogy az ügyfél a helyes WSUS-URL-címet látja-e. LocationServices.log

    WSUSLocationReply : <WSUSLocationReply SchemaVersion="1
...
<LocationRecord WSUSURL="https://SERVER.CONTOSO.COM:8531" ServerName="SERVER.CONTOSO.COM"
...
</WSUSLocationReply>

  5. Tekintse át a WUAHandler.log, és ellenőrizze, hogy az ügyfél sikeresen vizsgálatot tud-e végezni.

    Enabling WUA Managed server policy to use server: https://SERVER.CONTOSO.COM:8531
...
Successfully completed scan.

TLS-tanúsítványrögzítés HTTPS-konfigurált WSUS-kiszolgálókat vizsgáló eszközökhöz

(2103-ban vezették be)

A Configuration Manager 2103-as verziójától kezdődően tovább növelheti a WSUS szolgáltatással kapcsolatos HTTPS-vizsgálatok biztonságát a tanúsítványrögzítés kényszerítésével. A viselkedés teljes körű engedélyezéséhez adjon hozzá tanúsítványokat a WSUS-kiszolgálókhoz az ügyfelek új WindowsServerUpdateServices tanúsítványtárolójához, és győződjön meg arról, hogy a tanúsítványrögzítés engedélyezve van az Ügyfélbeállításokban. A Windows Update Agent változásairól további információt a Vizsgálati módosítások és tanúsítványok hozzáadása windowsos eszközök biztonságának növelése a WSUS szolgáltatást használó frissítésekhez – Microsoft Tech Community című témakörben talál.

A TLS-tanúsítványrögzítés kikényszerítésének előfeltételei a Windows Update ügyfélnél

  • Configuration Manager, 2103-as verzió
  • Győződjön meg arról, hogy a WSUS-kiszolgálók és a szoftverfrissítési pontok a TLS/SSL használatára vannak konfigurálva
  • Adja hozzá a WSUS-kiszolgálók tanúsítványait az ügyfelek új WindowsServerUpdateServices tanúsítványtárolójához
    • Ha tanúsítványrögzítést használ felhőalapú felügyeleti átjáróval (CMG), az áruháznak WindowsServerUpdateServices szüksége van a CMG-tanúsítványra. Ha az ügyfelek az internetről VPN-re váltanak, a CMG- és a WSUS-kiszolgálói tanúsítványokra is szükség van a tárolóban WindowsServerUpdateServices .

Megjegyzés:

Az eszközök szoftverfrissítési keresései továbbra is sikeresen futnak, és a TLS-tanúsítványrögzítés kényszerítése a Windows Update-ügyfél alapértelmezett értékeként a frissítések észlelésére szolgáló ügyfélbeállítás esetén az Igen értéket veszi igénybe. Ez magában foglalja a HTTP- és a HTTPS-kapcsolaton keresztüli vizsgálatokat is. A tanúsítványrögzítés csak akkor lép életbe, ha egy tanúsítvány már elérhető az ügyfél WindowsServerUpdateServices tárolójában, és a WSUS-kiszolgáló TLS/SSL használatára van konfigurálva.

A TLS-tanúsítványrögzítés engedélyezése vagy letiltása a HTTPS-konfigurált WSUS-kiszolgálókat vizsgáló eszközökön

  1. A Configuration Manager konzolon válassza a felügyeleti>ügyfélbeállítások lehetőséget.
  2. Válassza az Alapértelmezett ügyfélbeállítások vagy egyéni ügyfélbeállítások közül, majd válassza a menüszalag Tulajdonságok elemét.
  3. Válassza a Szoftver Frissítések lapot az Ügyfél beállításai között
  4. Válasszon az alábbi lehetőségek közül a TLS-tanúsítványrögzítés kényszerítése a Windows Update-ügyfélnél a frissítések észlelésére beállításhoz:
    • Nem: Ne engedélyezze a TLS-tanúsítványrögzítés kényszerítését a WSUS-vizsgálathoz.
    • Igen: Engedélyezi a TLS-tanúsítványrögzítés kényszerítését az eszközökön a WSUS-vizsgálat során (alapértelmezett)
  5. Ellenőrizze, hogy az ügyfelek tudnak-e frissítéseket keresni.

Következő lépések

Szoftverfrissítések telepítése

  • Utolsó frissítés időpontja: