Включение поддержки TLS 1.2 в вашей среде для Microsoft Entra TLS 1.1 и 1.0 нерекомендуемой

Статья
11/19/2024

Чтобы повысить уровень безопасности клиента и обеспечить соответствие отраслевым стандартам, идентификатор Microsoft Entra в ближайшее время перестанет поддерживать следующие протоколы и шифры TLS:

TLS 1.1
TLS 1.0
Набор шифров 3DES (TLS_RSA_WITH_3DES_EDE_CBC_SHA)

Как это изменение может повлиять на работу вашей организации

Взаимодействуют ли ваши приложения с идентификатором Microsoft Entra или проходят проверку подлинности? Тогда эти приложения могут работать не так, как ожидалось, если они не могут использовать для связи стандарт TLS 1.2. Эта ситуация включает следующие варианты:

Microsoft Entra Connect
PowerShell для Microsoft Graph
Соединители прокси приложения Microsoft Entra
Агент PTA
Устаревшие браузеры
Приложения, интегрированные с идентификатором Microsoft Entra

Почему реализуется это изменение

Эти протоколы и шифры выводятся из использования по следующим причинам:

Соблюдение последних стандартов соответствия федеральной программе управления рисками и авторизацией (FedRAMP).
Повышение безопасности при взаимодействии пользователей с нашими облачными службами.

Службы шифров TLS 1.0, TLS 1.1 и 3DES не рекомендуется использовать в следующем расписании.

Тип экземпляра	Дата устаревания	Состояние
Экземпляры государственных организаций США	31 марта 2021 г.	ЗАВЕРШЁННЫЙ
Общедоступные экземпляры	31 января 2022 г.	ЗАВЕРШЁННЫЙ
Экземпляры Microsoft Entra, управляемые 21Vianet в Китае	30 ноября 2024 г.	ПРОДОЛЖАЮЩИЙСЯ

Поддержка TLS 1.3 для служб Microsoft Entra

Помимо поддержки TLS 1.2, Microsoft Entra также развертывает поддержку TLS 1.3 для своих конечных точек для соответствия рекомендациям по обеспечению безопасности (NIST — SP 800-52 ред. 2). При этом изменении конечные точки Microsoft Entra поддерживают протоколы TLS 1.2 и TLS 1.3.

Включите поддержку TLS 1.2 в своей среде

Чтобы обеспечить безопасное подключение к идентификатору Microsoft Entra и службам Microsoft 365, настройте клиентские приложения и операционные системы клиента и сервера (ОС) для поддержки наборов шифров TLS 1.2 и современных наборов шифров.

Обновите ОС Windows и TLS, который вы используете по умолчанию для WinHTTP

Эти операционные системы поддерживают TLS 1.2 для связи клиент-сервер по WinHTTP:

Windows 8.1, Windows 10 и более поздних версий
Windows Server 2012 R2, Windows Server 2016 и более поздних версий

Убедитесь, что на этих платформах TLS 1.2 не отключен в настройках.

По умолчанию более ранние версии Windows (например, Windows 8 и Windows Server 2012) не поддерживают TLS 1.2 или TLS 1.1 для безопасной связи с использованием WinHTTP. Для этих более ранних версий Windows:

Установите обновление 3140245.
Включите значения реестра из раздела Включить TLS 1.2 в клиентских или серверных операционных системах.

Эти значения можно настроить, чтобы добавить TLS 1.2 и TLS 1.1 в список безопасных протоколов по умолчанию для WinHTTP.

Дополнительные сведения см. в статье Как включить TLS 1.2 для клиентов.

Примечание.

По умолчанию ОС, поддерживающая ПРОТОКОЛ TLS 1.2 (например, Windows 10), также поддерживает устаревшие версии протокола TLS. Если подключение выполняется с помощью TLS 1.2 и не получает своевременного ответа или при сбросе соединения, ОС может попытаться подключиться к целевой веб-службе с помощью более старого протокола TLS (например, TLS 1.0 или 1.1). Обычно это происходит, если сеть занята или если пакет удаляется в сети. После временного возврата к устаревшей версии TLS ОС попытается сделать подключение TLS 1.2.

Что будет состояние такого резервного трафика после остановки Майкрософт поддержки устаревшего TLS? ОС по-прежнему может попытаться установить подключение TLS с помощью устаревшего протокола TLS. Но если служба Майкрософт больше не поддерживает старый протокол TLS, устаревшее подключение на основе TLS не будет выполнено. Это приведет к тому, что ОПЕРАЦИОННая система снова попытается выполнить подключение с помощью TLS 1.2.

Определение и снижение зависимости для клиентов, которые не поддерживают TLS 1.2

Обновите следующие клиенты, чтобы обеспечить непрерывный доступ:

Android 4.3 и более ранние версии
Firefox 5.0 и более ранние версии:
Internet Explorer 8–10 на Windows 7 и более ранние версии
Internet Explorer 10 на Windows Phone 8.0
Safari 6.0.4 на OS X 10.8.4 и более ранние версии

Дополнительные сведения см. в статье Симуляция взаимодействия для различных клиентов, подключающихся к www.microsoft.com, предоставленная SSLLabs.com.

Включение TLS 1.2 на общих ролях сервера, взаимодействующих с идентификатором Microsoft Entra

Microsoft Entra Connect (установите последнюю версию)
- Вы также хотите включить TLS 1.2 между сервером движка синхронизации и удаленным сервером SQL? Затем убедитесь, что у вас есть необходимые версии, установленные для поддержки TLS 1.2 для Microsoft SQL Server.
Microsoft Entra Connect Authentication Agent (сквозная проверка подлинности) (версия 1.5.643.0 и более поздние версии)
Прокси-сервер приложения Azure (версия 1.5.1526.0 и более поздние версии используют TLS 1.2)
службы федерации Active Directory (AD FS) (AD FS) для серверов, настроенных для использования многофакторной проверки подлинности Azure (Azure MFA)
Серверы NPS, настроенные для использования расширения NPS для многофакторной проверки подлинности Microsoft Entra
MFA Server 8.0x и более поздние версии
Прокси-служба защиты паролей Microsoft Entra

Необходимые действия
1. Настоятельно рекомендуется запустить последнюю версию агента, службы или соединителя.
2. По умолчанию TLS 1.2 включено в Windows Server 2012 R2 и более поздних версиях. В редких случаях конфигурация ОС по умолчанию могла быть изменена для отключения TLS 1.
  
  Чтобы убедиться, что протокол TLS 1.2 включен, рекомендуется явно добавить значения реестра из раздела "Включить TLS 1.2" на серверах под управлением Windows Server и общения с идентификатором Microsoft Entra.
3. Большинство перечисленных ранее служб зависят от платформы .NET Framework. Убедитесь, что она обновляется, как описано в разделе Обновление и конфигурация платформы .NET Framework для поддержки TLS 1.2.
Дополнительные сведения см. в следующих статьях:

Включить TLS 1.2 в клиентских или серверных операционных системах

Строки реестра

Для Windows 2012 R2, Windows 8.1 и более поздних операционных систем протокол TLS 1.2 включен по умолчанию. Таким образом, следующие значения реестра не отображаются, если они не были заданы с разными значениями.

Чтобы вручную настроить и включить TLS 1.2 на уровне операционной системы, можно добавить следующие значения DWORD:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client
- DisabledByDefault: 0000000000
- Enabled: 00000001
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server
- DisabledByDefault: 0000000000
- Enabled: 00000001
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\. NETFramework\v4.0.30319
- SchUseStrongCrypto: 00000001

Сведения о включении TLS 1.2 с помощью скрипта PowerShell см. в статье о принудительном применении TLS 1.2 для Microsoft Entra Connect.

Проверка используемого протокола TLS

Ниже приведены два способа проверить, какой протокол TLS используется:

Параметры безопасности браузера
Свойства Интернета в Windows

Чтобы проверить, какой протокол TLS используется с помощью свойств Интернета, выполните следующие действия.

Нажмите клавишу Windows+R, чтобы открыть поле запуска.
Введите inetcpl.cpl и нажмите кнопку "ОК". Затем откроется окно свойств Интернета.
В окне "Свойства Интернета" выберите вкладку "Дополнительно" и прокрутите вниз, чтобы проверить параметры, связанные с TLS.

Обновление и настройка платформы .NET Framework для поддержки TLS 1.2

Управляемые интегрированные приложения Microsoft Entra и скрипты Windows PowerShell (с помощью Microsoft Graph PowerShell и Microsoft Graph) могут использовать платформа .NET Framework.

Установка обновлений .NET для обеспечения надежного шифрования

Определение версии .NET

Сначала определите установленные версии .NET.

Подробные сведения см. в статье Как узнать, какие версии и пакеты обновления Microsoft .NET Framework установлены на компьютере

Установите обновления .NET

Установите обновления .NET, чтобы можно было включить сильное шифрование. Некоторые версии платформы .NET Framework, возможно, придется обновить, чтобы включить сильное шифрование.

Воспользуйтесь следующими инструкциями:

Платформа .NET Framework 4.6.2 и следующие версии поддерживают протоколы TLS 1.1 и TLS 1.2. Проверьте параметры реестра. Другие изменения не требуются.
Платформу .NET Framework 4.6 и более ранние версии необходимо обновить, чтобы они поддерживали TLS 1.1 и TLS 1.2.

Дополнительные сведения см. в статье о версиях и зависимостях в платформе .NET Framework.
Используется ли платформа .NET Framework 4.5.2 или 4.5.1 в Windows 8.1 или Windows Server 2012? В этом случае соответствующие обновления и сведения также доступны из каталога обновлений Майкрософт.
- Также см. Советы корпорации Майкрософт по безопасности 2960358.

Для любого компьютера, который взаимодействует по сети с системой с поддержкой TLS 1.2 или запускает такую систему, задайте следующие значения реестра типа DWORD.

Для 32-разрядных приложений на 32-разрядных системах или для 64-разрядных приложений на 64-разрядных системах измените следующие значения подразделов:
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\. NETFramework\v2.0.50727
  - SystemDefaultTlsVersions: 00000001
  - SchUseStrongCrypto: 00000001
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\. NETFramework\v4.0.30319
  - SystemDefaultTlsVersions: 00000001
  - SchUseStrongCrypto: 00000001
Для 32-разрядных приложений на 64-разрядных системах измените следующие значения подразделов:
- HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\. NETFramework\v2.0.50727
  - SystemDefaultTlsVersions: dword:00000001
  - SchUseStrongCrypto: dword:00000001
- HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\. NETFramework\v4.0.30319
  - SystemDefaultTlsVersions: dword:00000001
  - SchUseStrongCrypto: dword:00000001

Например, установите следующие значения:

Клиенты Configuration Manager
Роли системы удаленных сайтов, которые не установлены на сервере сайта
Сам сервер сайта

Дополнительные сведения см. в следующих статьях:

Чтобы узнать, какие клиенты или приложения по-прежнему используют устаревшие TLS в вашей среде, просмотрите журналы входа Microsoft Entra. Для клиентов или приложений, которые выполняют вход по устаревшей протоколу TLS, идентификатор Microsoft Entra помечает поле "Устаревшие TLS " в поле "Дополнительные сведения " с значением True. Поле Legacy TLS отображается только в том случае, если вход в систему был выполнен с устаревшим TLS. Если в журналах не отображается устаревшая версия TLS, вы можете переключиться на TLS 1.2.

Чтобы найти попытки входа, которые использовали устаревшие протоколы TLS, администратор может просмотреть журналы следующими способами:

Экспорт журналов в Azure Monitor и поиск в них.
Загрузка журналов последних семи дней в формате JavaScript Object Notation (JSON).
Фильтрация и экспорт журналов входа с помощью PowerShell.

Это способы описаны ниже.

Формировать запросы по журналам входа можно с помощью Azure Monitor. Azure Monitor — это мощное средство анализа журналов, мониторинга и оповещения. Используйте Azure Monitor для:

Журналы Microsoft Entra
Журналы ресурсов Azure
Журналы из независимых программных средств

Примечание.

Для экспорта данных отчетов в Azure Monitor требуется лицензия Microsoft Entra ID P1 или P2.

Чтобы сделать запрос на устаревшие записи TLS с помощью Azure Monitor:

В интеграции журналов Microsoft Entra с журналами Azure Monitor следуйте инструкциям по доступу к журналам входа Microsoft Entra в Azure Monitor.

В области определения запроса вставьте следующий запрос на языке запросов Kusto:

// Interactive sign-ins only
SigninLogs
| where AuthenticationProcessingDetails has "Legacy TLS"
    and AuthenticationProcessingDetails has "True"
| extend JsonAuthProcDetails = parse_json(AuthenticationProcessingDetails)
| mv-apply JsonAuthProcDetails on (
    where JsonAuthProcDetails.key startswith "Legacy TLS"
    | project HasLegacyTls=JsonAuthProcDetails.value
)
| where HasLegacyTls == true

// Non-interactive sign-ins
AADNonInteractiveUserSignInLogs
| where AuthenticationProcessingDetails has "Legacy TLS"
    and AuthenticationProcessingDetails has "True"
| extend JsonAuthProcDetails = parse_json(AuthenticationProcessingDetails)
| mv-apply JsonAuthProcDetails on (
    where JsonAuthProcDetails.key startswith "Legacy TLS"
    | project HasLegacyTls=JsonAuthProcDetails.value
)
| where HasLegacyTls == true

// Workload Identity (service principal) sign-ins
AADServicePrincipalSignInLogs
| where AuthenticationProcessingDetails has "Legacy TLS"
    and AuthenticationProcessingDetails has "True"
| extend JsonAuthProcDetails = parse_json(AuthenticationProcessingDetails)
| mv-apply JsonAuthProcDetails on (
    where JsonAuthProcDetails.key startswith "Legacy TLS"
    | project HasLegacyTls=JsonAuthProcDetails.value
)
| where HasLegacyTls == true

Выберите Выполнить для выполнения запроса. Записи журнала, которые соответствуют запросу, отображаются на вкладке Результаты под определением запроса.
Чтобы узнать больше об источнике устаревшего запроса TLS, найдите следующие поля:
- UserDisplayName
- AppDisplayName
- ResourceDisplayName
- UserAgent

Используйте PowerShell для фильтрации и экспорта записей журнала входа, в которых используется устаревший TLS.

Примечание.

Для вызова API Microsoft Graph через PowerShell требуется лицензия Microsoft Entra ID P1 или P2.

Чтобы отфильтровать и экспортировать записи журнала входа:

Используя параметр Запуск от имени администратора, откройте Windows PowerShell из меню "Пуск".
Запустите следующие команды, чтобы установить SDK Microsoft Graph, и задайте политику выполнения:
```
Install-Module Microsoft.Graph -Scope AllUsers
Set-ExecutionPolicy -ExecutionPolicy Unrestricted -Scope CurrentUser
```

Сохраните следующий сценарий в файл PowerShell (.ps1).

$tId = "your-tenant-id"  # Add tenant ID from Azure Active Directory page on portal.
$agoDays = 4  # Will filter the log for $agoDays from the current date and time.
$startDate = (Get-Date).AddDays(-($agoDays)).ToString('yyyy-MM-dd')  # Get filter start date.
$pathForExport = "./"  # The path to the local filesystem for export of the CSV file.

Connect-MgGraph -Scopes "AuditLog.Read.All" -TenantId $tId  # Or use Directory.Read.All.
Select-MgProfile "beta"  # Low TLS is available in Microsoft Graph preview endpoint.

# Define the filtering strings for interactive and non-interactive sign-ins.
$procDetailFunction = "x: x/key eq 'legacy tls (tls 1.0, 1.1, 3des)' and x/value eq '1'"
$clauses = (
    "createdDateTime ge $startDate",
    "signInEventTypes/any(t: t eq 'nonInteractiveUser')",
    "signInEventTypes/any(t: t eq 'servicePrincipal')",
    "(authenticationProcessingDetails/any($procDetailFunction))"
)

# Get the interactive and non-interactive sign-ins based on filtering clauses.
$signInsInteractive = Get-MgAuditLogSignIn -Filter ($clauses[0,3] -Join " and ") -All
$signInsNonInteractive = Get-MgAuditLogSignIn -Filter ($clauses[0,1,3] -Join " and ") -All
$signInsWorkloadIdentities = Get-MgAuditLogSignIn -Filter ($clauses[0,2,3] -Join " and ") -All

$columnList = @{  # Enumerate the list of properties to be exported to the CSV files.
    Property = "CorrelationId", "createdDateTime", "userPrincipalName", "userId",
              "UserDisplayName", "AppDisplayName", "AppId", "IPAddress", "isInteractive",
              "ResourceDisplayName", "ResourceId", "UserAgent"
}

$columnListWorkloadId = @{ #Enumerate the list of properties for workload identities to be exported to the CSV files.
    Property = "CorrelationId", "createdDateTime", "AppDisplayName", "AppId", "IPAddress",
              "ResourceDisplayName", "ResourceId", "ServicePrincipalId", "ServicePrincipalName"
}

$signInsInteractive | ForEach-Object {
    foreach ($authDetail in $_.AuthenticationProcessingDetails)
    {
        if (($authDetail.Key -match "Legacy TLS") -and ($authDetail.Value -eq "True"))
        {
            $_ | Select-Object @columnList
        }
    }
} | Export-Csv -Path ($pathForExport + "Interactive_lowTls_$tId.csv") -NoTypeInformation

$signInsNonInteractive | ForEach-Object {
    foreach ($authDetail in $_.AuthenticationProcessingDetails)
    {
        if (($authDetail.Key -match "Legacy TLS") -and ($authDetail.Value -eq "True"))
        {
            $_ | Select-Object @columnList
        }
    }
} | Export-Csv -Path ($pathForExport + "NonInteractive_lowTls_$tId.csv") -NoTypeInformation

$signInsWorkloadIdentities | ForEach-Object {
    foreach ($authDetail in $_.AuthenticationProcessingDetails)
    {
        if (($authDetail.Key -match "Legacy TLS") -and ($authDetail.Value -eq "True"))
        {
            $_ | Select-Object @columnListWorkloadId
        }
    }
} | Export-Csv -Path ($pathForExport + "WorkloadIdentities_lowTls_$tId.csv") -NoTypeInformation

В портал Azure найдите и выберите идентификатор Microsoft Entra.
Скопируйте значение идентификатора клиента на странице идентификатора Microsoft Entra в первую инструкцию скрипта PowerShell, назначив ее переменной$tId.
Сохраните и запустите сценарий. Если при запуске сценария отобразится запрос, выполните вход в качестве глобального администратора. Затем предоставьте разрешение, чтобы Microsoft Graph мог читать сведения журнала аудита.
Чтобы узнать о источнике устаревшего запроса TLS, выполните поиск выходных файлов скрипта (Interactive_lowTls_<Tenant-ID.csv и NonInteractive_lowTls_<Tenant-ID>>.csv) для следующих полей:
- UserDisplayName
- AppDisplayName
- ResourceDisplayName
- UserAgent

Просмотр сведений о записях журнала в Центре администрирования Microsoft Entra

Получив журналы, вы можете получить дополнительные сведения о устаревших записях журнала входа на основе TLS в Центре администрирования Microsoft Entra. Выполните следующие действия:

В портал Azure найдите и выберите идентификатор Microsoft Entra.
В меню страницы Обзор выберите Журналы входа.
Выберите запись журнала входа для пользователя.
Выберите вкладку Дополнительные сведения. (Если вы не видите эту вкладку, сначала нажмите многоточие (...) в правом углу, чтобы просмотреть полный список вкладок.)
Проверьте, чтобы для параметра Устаревший TLS (TLS 1.0, 1.1 или 3DES), было установлено значение Истина. Если вы видите это конкретное поле и значение, попытка входа была предпринята с использованием устаревшего TLS. Если попытка входа была выполнена с помощью TLS 1.2, это поле не появится.

Дополнительные сведения см. в журналах входа в идентификаторе Microsoft Entra.

Свяжитесь с нами для получения помощи

Если у вас есть вопросы или вам нужна помощь, создайте запрос в службу поддержки или обратитесь за поддержкой сообщества Azure. Вы также можете отправить отзыв о продукте в сообщество отзывов Azure.

Поделиться через

Включение поддержки TLS 1.2 в вашей среде для Microsoft Entra TLS 1.1 и 1.0 нерекомендуемой

Как это изменение может повлиять на работу вашей организации

Почему реализуется это изменение

Поддержка TLS 1.3 для служб Microsoft Entra

Включите поддержку TLS 1.2 в своей среде

Рекомендации по включению TLS 1.2 на клиентах

Обновите ОС Windows и TLS, который вы используете по умолчанию для WinHTTP

Определение и снижение зависимости для клиентов, которые не поддерживают TLS 1.2

Включение TLS 1.2 на общих ролях сервера, взаимодействующих с идентификатором Microsoft Entra

Включить TLS 1.2 в клиентских или серверных операционных системах

Строки реестра

Проверка используемого протокола TLS

Обновление и настройка платформы .NET Framework для поддержки TLS 1.2

Установка обновлений .NET для обеспечения надежного шифрования

Определение версии .NET

Установите обновления .NET

Загрузка журналов JSON

Просмотр файлов JSON

Просмотр сведений о записях журнала в Центре администрирования Microsoft Entra

Свяжитесь с нами для получения помощи

Обратная связь

Дополнительные ресурсы

Поделиться через

Включение поддержки TLS 1.2 в вашей среде для Microsoft Entra TLS 1.1 и 1.0 нерекомендуемой

Как это изменение может повлиять на работу вашей организации

Почему реализуется это изменение

Поддержка TLS 1.3 для служб Microsoft Entra

Включите поддержку TLS 1.2 в своей среде

Рекомендации по включению TLS 1.2 на клиентах

Обновите ОС Windows и TLS, который вы используете по умолчанию для WinHTTP

Определение и снижение зависимости для клиентов, которые не поддерживают TLS 1.2

Включение TLS 1.2 на общих ролях сервера, взаимодействующих с идентификатором Microsoft Entra

Включить TLS 1.2 в клиентских или серверных операционных системах

Строки реестра

Проверка используемого протокола TLS

Обновление и настройка платформы .NET Framework для поддержки TLS 1.2

Установка обновлений .NET для обеспечения надежного шифрования

Определение версии .NET

Установите обновления .NET

Обзор новой телеметрии в журналах входа

Просмотр сведений о записях журнала в Центре администрирования Microsoft Entra

Свяжитесь с нами для получения помощи

Обратная связь

Дополнительные ресурсы