Transport Layer Security (TLS) 1.2 ist ein kryptografisches Protokoll, das sichere Kommunikation durch Gewährleistung von Datenschutz und Datenintegrität ermöglichen soll. Microsoft hat TLS 1.2 zur Mindestanforderung für viele Cloud-Dienste gemacht, darunter Microsoft Entra Connect. Dieser Artikel bietet eine Schritt-für-Schritt-Anleitung, um TLS 1.2 für Microsoft-Cloud-Anwendungen, einschließlich ASP.NET-Apps, und für Microsoft Entra Connect-Server durchzusetzen.
Warum TLS 1.2 so wichtig ist
TLS 1.2 bietet im Vergleich zu früheren Versionen eine verbesserte Verschlüsselung und Sicherheit und ist daher für eine sichere Kommunikation in Cloud-Umgebungen unerlässlich. Microsoft Entra Connect ab Version 1.2.65.0 unterstützt TLS 1.2 vollständig, und Version 2.3.20.0 oder höher erfordert TLS 1.2, um zu funktionieren.
Wenn TLS 1.2 auf Ihrem Server nicht aktiviert ist, müssen Sie es aktivieren, bevor Sie Microsoft Entra Connect Version 2.0 oder höher bereitstellen oder darauf aktualisieren.
Lösungen zur Durchsetzung von TLS 1.2
Die Schritte zur Durchsetzung von TLS 1.2 variieren je nach Anwendung oder Dienst, der konfiguriert wird. Nachfolgend finden Sie detaillierte Lösungen für gängige Szenarien.
1. Für ASP.NET-Webanwendungen
- Ziel-Framework aktualisieren
Stellen Sie sicher, dass das Ziel-Framework der Anwendung auf 4.6.2 oder höher eingestellt ist. Eine höhere Version verbessert Leistung und Sicherheit. - Datei „Web.Config“ ändern
Aktualisieren Sie die DateiWeb.Config, um das Ziel-Framework anzugeben:<system.web> <httpRuntime targetFramework="4.7.2" /> </system.web>Informationen zu unterstützten .NET Framework-Versionen finden Sie im Microsoft .NET Framework-Lebenszyklus.
2. Wenn Sie die Web.Config nicht aktualisieren können
Wenn das Ändern der Datei Web.Config nicht möglich ist, verwenden Sie den folgenden Workaround, indem Sie diesen Code am Anfang Ihrer Anwendung hinzufügen:
ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12 | SecurityProtocolType.Ssl3;
Dadurch wird sichergestellt, dass Ihre Anwendung explizit TLS 1.2 für eine sichere Kommunikation verwendet.
3. Durchsetzung von TLS 1.2 für Microsoft Entra Connect
Auf Microsoft Entra Connect-Servern muss TLS 1.2 aktiviert sein, um eine sichere Kommunikation mit Azure zu gewährleisten. Befolgen Sie diese Schritte, um TLS 1.2 durchzusetzen:
Registrierung aktualisieren
Aktualisieren Sie die Registrierung auf dem Microsoft Entra Connect-Server, um TLS 1.2 durchzusetzen. Verwenden Sie die folgenden Registrierungsschlüssel:
[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319]
"SystemDefaultTlsVersions"=dword:00000001
"SchUseStrongCrypto"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
"SystemDefaultTlsVersions"=dword:00000001
"SchUseStrongCrypto"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server]
"Enabled"=dword:00000001
"DisabledByDefault"=dword:00000000
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
"Enabled"=dword:00000001
"DisabledByDefault"=dword:00000000
Wichtig: Starten Sie nach der Aktualisierung der Registrierung den Windows-Server neu, damit die Änderungen wirksam werden.
4. PowerShell-Skripts verwenden
TLS 1.2-Einstellungen prüfen
Sie können das folgende PowerShell-Skript verwenden, um die aktuellen TLS 1.2-Einstellungen auf Ihrem Microsoft Entra Connect-Server zu überprüfen:
Function Get-ADSyncToolsTls12RegValue {
[CmdletBinding()]
Param (
[Parameter(Mandatory=$true)]
[string] $RegPath,
[Parameter(Mandatory=$true)]
[string] $RegName
)
$regItem = Get-ItemProperty -Path $RegPath -Name $RegName -ErrorAction Ignore
$output = "" | select Path, Name, Value
$output.Path = $RegPath
$output.Name = $RegName
$output.Value = $regItem.$RegName -ne $null ? $regItem.$RegName : "Not Found"
$output
}
$regSettings = @()
$regPaths = @(
'HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319',
'HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319',
'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server',
'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client'
)
foreach ($regPath in $regPaths) {
$regSettings += Get-ADSyncToolsTls12RegValue $regPath 'SystemDefaultTlsVersions'
$regSettings += Get-ADSyncToolsTls12RegValue $regPath 'SchUseStrongCrypto'
}
$regSettings
TLS 1.2 aktivieren
Um TLS 1.2 durchzusetzen, verwenden Sie das folgende PowerShell-Skript:
New-ItemProperty -Path 'HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319' -Name 'SystemDefaultTlsVersions' -Value '1' -PropertyType 'DWord' -Force | Out-Null
New-ItemProperty -Path 'HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319' -Name 'SchUseStrongCrypto' -Value '1' -PropertyType 'DWord' -Force | Out-Null
New-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319' -Name 'SystemDefaultTlsVersions' -Value '1' -PropertyType 'DWord' -Force | Out-Null
New-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319' -Name 'SchUseStrongCrypto' -Value '1' -PropertyType 'DWord' -Force | Out-Null
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server' -Name 'Enabled' -Value '1' -PropertyType 'DWord' -Force | Out-Null
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client' -Name 'Enabled' -Value '1' -PropertyType 'DWord' -Force | Out-Null
Write-Host 'TLS 1.2 has been enabled. Restart the server for changes to take effect.'
Abschließende Gedanken
Die Durchsetzung von TLS 1.2 ist ein entscheidender Schritt, um eine sichere Kommunikation und die Einhaltung der Vorschriften bei Microsoft Cloud- und Azure-Diensten aufrechtzuerhalten. Ob Sie ASP.NET-Anwendungen oder Microsoft Entra Connect-Server konfigurieren – die hier vorgestellten Lösungen helfen Ihnen, Kompatibilität und Sicherheit zu gewährleisten.
Weitere Informationen finden Sie in der offiziellen Microsoft-Dokumentation: