在 MBAM 服务器上禁用传输层安全性 （TLS） 1.0 和 1.1，并强制使用 TLS 1.2 - Windows Server

本文介绍在 Microsoft BitLocker 管理和监视 （MBAM） 服务器上禁用传输层安全性 （TLS） 1.0 和 1.1 的步骤，并强制使用 TLS 1.2。

原始 KB 数： 4558055

现象

Microsoft计划禁用较旧的 TLS 协议，以便为默认禁用 TLS 1.0 和 TLS 1.1 做准备。 请参阅 “计划更改计划：TLS 1.0 和 TLS 1.1”在默认情况下即将禁用。

对于企业客户，可能需要在其环境中禁用 TLS 1.0 和 1.1，以便 Microsoft BitLocker 管理和监视（MBAM）基础结构。

解决方法

按照以下步骤在 MBAM 服务器上禁用 TLS 1.0 和 1.1，并强制使用 TLS 1.2。

1. 在所有 MBAM 服务器上下载并安装最新版本的 Microsoft .NET Framework：

   • 运行 IIS 角色的 Web 服务器
   • 运行 SQL Server 数据库引擎和 SQL Server Reporting Services 的 SQL Server

   请参阅： 适用于 Windows 的 Microsoft .NET Framework 4.8 脱机安装程序

2. 执行下面的 PowerShell 脚本。 它们用于禁用 TLS 1.0 和 1.1，并强制仅使用 TLS 1.2。

3. 重新启动服务器，然后测试 MBAM Web 应用程序。 确认 MBAM 客户端可以与服务器通信以备份恢复信息。

<Tighten_DotNet.PS1>

#Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null
$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

<Force_TLS1.2.PS1>

$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
foreach($key in $ProtocolSubKeyList)
{
$currentRegPath = $registryPath + $Protocol + "\" + $key
Write-Host " Current Registry Path $currentRegPath"

if(!(Test-Path $currentRegPath))
{
    Write-Host "creating the registry"
New-Item -Path $currentRegPath -Force | out-Null

}
if($Protocol -eq "TLS 1.2")
{
    Write-Host "Working for TLS 1.2"
New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null

}
else
{
    Write-Host "Working for other protocol"
New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
}
}
}
Exit 0

详细信息

传输层安全性 (TLS) 注册表设置