Come abilitare TLS 1.2 nei server del sito e nei sistemi del sito remoto

  • Articolo

Si applica a: Configuration Manager (Current Branch)

Quando si abilita TLS 1.2 per l'ambiente Configuration Manager, iniziare con l'abilitazione di TLS 1.2 per i client. Abilitare quindi TLS 1.2 nei server del sito e nei sistemi del sito remoto in secondo luogo. Infine, testare le comunicazioni da client a sistema del sito prima di disabilitare potenzialmente i protocolli meno recenti sul lato server. Per abilitare TLS 1.2 nei server del sito e nei sistemi del sito remoto, sono necessarie le attività seguenti:

  • Verificare che TLS 1.2 sia abilitato come protocollo per SChannel a livello di sistema operativo
  • Aggiornare e configurare il .NET Framework per supportare TLS 1.2
  • Aggiornare SQL Server e componenti client
  • Aggiornare Windows Server Update Services (WSUS)

Per altre informazioni sulle dipendenze per specifiche funzionalità e scenari di Configuration Manager, vedi Informazioni sull'abilitazione di TLS 1.2.

Verificare che TLS 1.2 sia abilitato come protocollo per SChannel a livello di sistema operativo

Per la maggior parte, l'utilizzo del protocollo è controllato a tre livelli, il livello del sistema operativo, il framework o il livello di piattaforma e il livello dell'applicazione. TLS 1.2 è abilitato per impostazione predefinita a livello di sistema operativo. Dopo aver verificato che i valori del Registro di sistema .NET siano impostati per abilitare TLS 1.2 e verificare che l'ambiente usi correttamente TLS 1.2 in rete, è possibile modificare la chiave del SChannel\Protocols Registro di sistema per disabilitare i protocolli meno recenti e meno sicuri. Per altre informazioni sulla disabilitazione di TLS 1.0 e 1.1, vedere Configurazione dei protocolli Schannel nel Registro di sistema di Windows.

Aggiornare e configurare il .NET Framework per supportare TLS 1.2

Determinare la versione di .NET

Determinare innanzitutto le versioni di .NET installate. Per ultieriori informazioni, consultare Come determinare la versione e il livello di Service Pack di Microsoft .NET Framework installati.

Installare gli aggiornamenti di .NET

Installare gli aggiornamenti .NET in modo da abilitare la crittografia avanzata. Alcune versioni di .NET Framework potrebbero richiedere aggiornamenti per abilitare la crittografia avanzata. Linee guida:

  • NET Framework 4.6.2 e versioni successive supporta TLS 1.1 e TLS 1.2. Verificare le impostazioni del Registro di sistema, ma non sono necessarie modifiche aggiuntive.

    Nota

    A partire dalla versione 2107, Configuration Manager richiede Microsoft .NET Framework versione 4.6.2 per server del sito, sistemi del sito specifici, client e la console. Se possibile nell'ambiente, installare la versione più recente di .NET versione 4.8.

  • Aggiornare NET Framework 4.6 e versioni precedenti per supportare TLS 1.1 e TLS 1.2. Per ulteriori informazioni, visitare Versioni e dipendenze di .NET Framework.

  • Se si usa .NET Framework 4.5.1 o 4.5.2 in Windows 8.1, Windows Server 2012 R2 o Windows Server 2012, è consigliabile installare gli aggiornamenti della sicurezza più recenti per .Net Framework 4.5.1 e 4.5.2 per assicurarsi che TLS 1.2 possa essere abilitato correttamente.

    Per riferimento, TLS 1.2 è stato introdotto per la prima volta in .Net Framework 4.5.1 e 4.5.2 con i seguenti aggiornamenti rapidi cumulativi:

Configurare per la crittografia avanzata

Configurare .NET Framework per supportare la crittografia avanzata. Impostare l'impostazione SchUseStrongCrypto del Registro di sistema su DWORD:00000001. Questo valore disabilita la crittografia di flusso RC4 e richiede un riavvio. Per altre informazioni su questa impostazione, vedere Microsoft Security Advisory 296038.

Assicurarsi di impostare le chiavi del Registro di sistema seguenti in qualsiasi computer che comunica attraverso la rete con un sistema abilitato per TLS 1.2. Ad esempio, Configuration Manager client, i ruoli del sistema del sito remoto non installati nel server del sito e il server del sito stesso.

Per le applicazioni a 32 bit in esecuzione in sistema operativo a 32 bit e per le applicazioni a 64 bit in esecuzione in sistema operativo a 64 bit, aggiornare i valori delle sottochiavi seguenti:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001

Per le applicazioni a 32 bit eseguite in sistemi operativi a 64 bit, aggiornare il valore della seguente sottochiave:

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v2.0.50727]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001

Nota

L'impostazione SchUseStrongCrypto consente a .NET di usare TLS 1.1 e TLS 1.2. L'impostazione SystemDefaultTlsVersions consente a .NET di usare la configurazione del sistema operativo. Per altre informazioni, vedere Procedure consigliate per TLS con .NET Framework.

Aggiornare SQL Server e componenti client

Microsoft SQL Server 2016 e versioni successive supportano TLS 1.1 e TLS 1.2. Le versioni precedenti e le librerie dipendenti potrebbero richiedere aggiornamenti. Per altre informazioni, vedere KB 3135244: Supporto di TLS 1.2 per Microsoft SQL Server.

I server del sito secondario devono usare almeno SQL Server 2016 Express con Service Pack 2 (13.2.50.26) o versione successiva.

SQL Server Native Client

Nota

KB 3135244 descrive anche i requisiti per i componenti client SQL Server.

Assicurarsi anche di aggiornare il SQL Server Native Client almeno alla versione SQL Server 2012 SP4 (11.*.7001.0). Questo requisito è un controllo dei prerequisiti (avviso).This requirement is a prerequisite check (warning).

Configuration Manager usa SQL Server Native Client nei ruoli del sistema del sito seguenti:

  • Server di database del sito
  • Server del sito: sito di amministrazione centrale, sito primario o sito secondario
  • Punto di gestione
  • Punto di gestione dei dispositivi
  • Punto di migrazione stato
  • Provider SMS
  • Punto di aggiornamento software
  • Punto di distribuzione abilitato per multicast
  • Punto di servizio di aggiornamento di Asset Intelligence
  • Punto di Reporting Services
  • Punto di registrazione
  • Punto di Endpoint Protection
  • Punto di connessione del servizio
  • Punto di registrazione certificati
  • Punto di servizio del data warehouse

Abilitare TLS 1.2 su larga scala usando Automanage Machine Configuration e Azure Arc

Configura automaticamente TLS 1.2 sia nel client che nel server per i computer in esecuzione in ambienti Azure, locali o multi-cloud. Per iniziare a configurare TLS 1.2 tra i computer, connetterli ad Azure usando server abilitati per Azure Arc, che include per impostazione predefinita i prerequisiti di Configurazione computer. Dopo la connessione, TLS 1.2 può essere configurato con semplicità punto e clic distribuendo la definizione di criteri predefinita nel portale di Azure: Configurare protocolli di comunicazione sicuri (TLS 1.1 o TLS 1.2) nei server Windows. L'ambito dei criteri può essere assegnato a livello di sottoscrizione, gruppo di risorse o gruppo di gestione, nonché escludere eventuali risorse dalla definizione dei criteri.

Dopo aver assegnato la configurazione, lo stato di conformità delle risorse può essere visualizzato in dettaglio passando alla pagina Assegnazioni guest e definendo l'ambito fino alle risorse interessate.

Per un'esercitazione dettagliata dettagliata, vedere Aggiornare in modo coerente il protocollo TLS del server usando Azure Arc e Automanage Machine Configuration.

Aggiornare Windows Server Update Services (WSUS)

Per supportare TLS 1.2 nelle versioni precedenti di WSUS, installare l'aggiornamento seguente nel server WSUS:

  • Per il server WSUS che esegue Windows Server 2012, installare l'aggiornamento 4022721 o un aggiornamento cumulativo successivo.

  • Per il server WSUS che esegue Windows Server 2012 R2, installare l'aggiornamento 4022720 o un aggiornamento cumulativo successivo.

A partire da Windows Server 2016, TLS 1.2 è supportato per impostazione predefinita per WSUS. Gli aggiornamenti di TLS 1.2 sono necessari solo nei server WSUS Windows Server 2012 e Windows Server 2012 R2.

Passaggi successivi