Users Guide
10
Conguración del CMC para inicio de sesión único o
inicio de sesión mediante tarjeta inteligente
En esta sección se proporciona información para congurar la CMC para el inicio de sesión único (SSO) y el inicio de sesión mediante
tarjeta inteligente en los usuarios de Active Directory.
El inicio de sesión único utiliza Kerberos como método de autenticación, lo que permite que los usuarios que han realizado un inicio de
sesión único o automático tengan acceso a las aplicaciones subsiguientes como Exchange. Para el inicio de sesión único, la CMC
utiliza las credenciales del sistema cliente que el sistema operativo almacena en caché después de que el usuario inicia sesión
mediante una cuenta de Active Directory válida.
La autenticación de dos factores proporciona un mayor nivel de seguridad, ya que requiere que los usuarios dispongan de una
contraseña o PIN y una tarjeta física con una clave privada o un certicado digital. Kerberos usa este mecanismo de autenticación
de dos factores, con el que los sistemas pueden probar su autenticidad.
NOTA: Cuando se selecciona un método de inicio de sesión, no se determinan los atributos de política relacionados con
otras interfaces de inicio de sesión, por ejemplo, SSH. También se deben establecer otros atributos de política para las
demás interfaces de inicio de sesión. Si desea desactivar todas las demás interfaces de inicio de sesión, vaya a la página
Servicios y desactive todas las interfaces de inicio de sesión (o algunas).
Microsoft Windows 2000, Windows XP, Windows Server 2003, Windows Vista, Windows 7 y Windows Server 2008 pueden usar
Kerberos como el mecanismo de autenticación para el inicio de sesión único y el inicio de sesión mediante tarjeta inteligente.
Para obtener información sobre Kerberos, consulte el sitio web de Microsoft.
Requisitos del sistema
Para utilizar la autenticación de Kerberos, la red debe incluir:
• Servidor DNS
• Servidor de Microsoft Active Directory
NOTA: Si usa Active Directory en Microsoft Windows 2003, asegúrese de tener las revisiones y los Service Packs más
recientes instalados en el sistema cliente. Si usa Active Directory en Microsoft Windows 2008, asegúrese de tener
instalado SP1 junto con los siguientes hotxes:
Windows6.0-KB951191-x86.msu para la utilidad KTPASS. Sin esta revisión, la utilidad genera archivos keytab dañados.
Windows6.0-KB957072-x86.msu para utilizar transacciones GSS_API y SSL durante un enlace de LDAP.
• Centro de distribución de claves Kerberos (se incluye con el software de servidor Active Directory).
• Servidor DHCP (recomendado).
• La zona inversa del servidor DNS debe tener una entrada para el servidor Active Directory y la CMC.
Sistemas cliente
• Solamente para el inicio de sesión mediante tarjeta inteligente, el sistema cliente debe tener el paquete redistribuible Microsoft
Visual C++ 2005. Para obtener más información, consulte www.microsoft.com/downloads/details.aspx?FamilyID=
32BC1BEEA3F9-4C13-9C99-220B62A191EE&displaylang=en
• Para el inicio de sesión único o el inicio de sesión mediante tarjeta inteligente, el sistema cliente debe formar parte del dominio de
Active Directory y del territorio de Kerberos.
142