Users Guide

ANMERKUNG: Falls Sie Active Directory unter Microsoft Windows 2003 verwenden, müssen Sie sicherstellen, dass die
neuesten Service-Packs auf dem Clientsystem installiert sind. Falls Sie Active Directory unter Microsoft Windows 2008
verwenden, müssen Sie sicherstellen, dass SP1 sowie die folgenden Hotxes installiert sind:
Windows6.0-KB951191-x86.msu für das Dienstprogramm KTPASS. Ohne dieses Patch erzeugt das Dienstprogramm fehlerhafte
Keytab-Dateien.
Windows6.0-KB957072-x86.msu für Verwendung von GSS_API- und SSL-Transaktionen während einer LDAP-Bindung.
• Kerberos-Schlüsselverteilungscenter – KDC (mit der Active Directory-Serversoftware)
• DHCP-Server (empfohlen).
• Die DNS-Server-Reverse-Zone muss einen Eintrag für den Active Directory-Server und den CMC enthalten.
Client-Systeme
• Für reine Smart Card-Anmeldung muss das Clientsystem die verteilbare Komponente von Microsoft Visual C++ 2005 enthalten. Weitere
Informationen nden Sie unter www.microsoft.com/downloads/details.aspx?FamilyID=
32BC1BEEA3F9-4C13-9C99-220B62A191EE&displaylang=en
• Für einfache Anmeldung oder Smart Card-Anmeldung muss das Clientsystem ein Teil der Active Directory-Domäne und des Kerberos-
Bereichs sein.
CMC
• Jeder CMC muss ein Active Directory-Konto haben.
• Der CMC muss ein Teil der Active Directory-Domäne und des Kerberos-Bereichs sein.
Vorbedingungen für die einfache Anmeldung oder
Smart Card-Anmeldung
Die Voraussetzungen für die Konguration der SSO- oder Smart Card-Anmeldungen lauten wie folgt:
• Einrichtung des Kerberos-Bereichs und Key Distribution Centers (KDC)) für Active Directory (ksetup).
• Gewährleisten Sie eine robuste NTP- und DNS-Infrastruktur zur Vermeidung von Problemen mit Clock-Drift und Reverse-Lookup.
• Konguration des CMC mit der Standardschema-Rollengruppe mit autorisierten Mitgliedern.
• Erstellen Sie für Smart Card „Active Directory-Benutzer“ für jeden CMC und kongurieren Sie Kerberos-DES-Verschlüsselung, jedoch
nicht Vorauthentizierung.
• Browser für SSO oder Smart Card-Anmeldung kongurieren
• Registrieren Sie die CMC-Benutzer mit Ktpass beim Schlüsselverteilungscenter (dies erzeugt auch einen Schlüssel zum Hochladen auf
den CMC).
Kerberos Keytab-Datei generieren
Zur Unterstützung der SSO- und Smart Card-Anmeldungs-Authentizierung unterstützt CMC das Windows-Kerberos-Netzwerk. Mit dem
ktpass-Hilfsprogramm (wird von Microsoft als Teil der Server-Installations-CD/DVD bereitgestellt) werden die Bindungen des
Dienstprinzipalnamens (SPN =Service Principal Name) zu einem Benutzerkonto erstellt und die Vertrauensinformationen in eine MIT-artige
Kerberos-Keytab-Datei exportiert. Weitere Informationen zum Dienstprogramm ktpass nden Sie auf der Microsoft-Website.
Sie müssen vor dem Erstellen einer Keytab-Datei ein Active Directory-Benutzerkonto zur Benutzung mit der Option -mapuser des Befehls
ktpass einrichten. Außerdem müssen Sie denselben Namen verwenden wie den CMC-DNS-Namen, zu dem Sie die erstellte Keytab-Datei
hochladen.
CMC für die einfache Anmeldung oder Smart Card-Anmeldung
kongurieren 163