Users Guide


Requisitos del sistema
ParautilizarlaautentificacióndeKerberos,lareddebeincluir:
l Servidor DNS
l Servidor de Microsoft Active Directory
l CentrodedistribucióndeclavesKerberos(seincluyeconelsoftwaredeservidorActiveDirectory)
l Servidor DHCP (recomendado)
l La zona inversa del servidor DNS debe tener una entrada para el servidor Active Directory y el CMC.

Sistemas cliente
l ParaeliniciodesesiónmediantetarjetaSmartúnicamente,elclientedebecontarconMicrosoftVisualC++2005redistribuible.Paraobtenermás
información,consultewww.microsoft.com/downloads/details.aspx?FamilyID=32BC1BEEA3F9-4C13-9C99-220B62A191EE&displaylang=en
l ParainiciodesesiónúnicoeiniciodesesiónmediantetarjetaSmart,elsistemaclientedebeformarpartedeldominiodeActiveDirectoryydelterritorio
de Kerberos.

CMC
l ElCMCdebetenerfirmwareversión2.10osuperior
l Cada CMC debe tener una cuenta de Active Directory
l El CMC debe formar parte del dominio de Active Directory y del territorio de Kerberos.

Configuracióndevalores

Prerrequisitos
l ElterritoriodeKerberosysucentrodedistribucióndeclaves(KDC)paraActiveDirectoryhansidoconfigurados(ksetup).
l UnasólidainfraestructuradeNTPyDNSparaevitarproblemasdedesfasedetiempoybúsquedainversa.
l ElgrupodefuncionesdelesquemaestándardelCMCconmiembrosautorizados.

ConfiguracióndeActiveDirectory
EnelcuadrodediálogoPropiedades del CMCenlaseccióndeopcionesdeCuentas, configure estos valores:
l Seconfíaenlacuentaparasudelegación:actualmenteelCMCnoutilizacredencialesreenviadasquesecreancuandoseseleccionaestaopción.Se
puedeseleccionarestaopciónono,enfuncióndelosrequerimientosdeotrosservicios.
l La cuenta es importante y no se puede delegar:estaopciónsepuedeseleccionarono,enfuncióndelosrequerimientosdeotrosservicios.
l Usar tipos de cifrado DES de Kerberos para esta cuenta:Seleccioneestaopción.
l NopedirlaautenticaciónKerberosprevia:noseleccioneestaopción.
Ejecute la utilidad ktpass (parte de Microsoft Windows) en el controlador de dominio (servidor de Active Directory) donde desee asignar el CMC a una cuenta
de usuario en Active Directory. Por ejemplo:
C:\>ktpass -princ HTTP/cmcname.domain_name.com@REALM_NAME.COM -mapuser dracname -crypto DES-CBC-MD5 -ptype KRB5_NT_PRINCIPAL -pass * -out
c:\krbkeytab
Este procedimiento produce un archivo keytab que se debe cargar en el CMC.
NOTA: cuandoseseleccionaunmétododeiniciodesesiónnosefijanatributosdepolíticarespectodeotrasinterfacesdeiniciodesesión,porejemplo,
SSH.Tambiénsedebenestablecerlosatributosdepolíticaparalasotrasinterfacesdeiniciodesesión.Paradesactivartodaslasotrasinterfacesde
iniciodesesión,vayaalapáginaServiciosydesactivetodaslasinterfacesdeiniciodesesión(oalgunasdeellas).
NOTA: siutilizaActiveDirectoryenWindows2003,verifiquequetieneelservicepackylasactualizacionesmásrecientesinstaladosenelsistema
cliente.SiestáusandoActiveDirectoryenWindows2008,verifiquequetieneinstaladoelSP1juntoconlassiguientescorreccionesurgentes:
Windows6.0-KB951191-x86.msuparalautilidadKTPASS.Sinestaactualización,lautilidadgeneraarchivoskeytabcon errores.
Windows6.0-KB957072-x86.msu para utilizar transacciones GSS_API y SSL durante un enlace de LDAP.
NOTA: el cmcname.domainname.comdebeestarenminúsculascomoexigeRFCyelnombredelTERRITORIO,@REALM_NAMEdebeestarenmayúsculas.
Además,elCMCadmiteeltipodecifradoDES-CBC-MD5paralaautentificacióndeKerberos.