Users Guide

GUID-020F2A13-2742-47A3-9B36-061692280BC7
Systèmes clients
• Pour utiliser uniquement la connexion par carte à puce, votre système client doit comporter la version redistribuable de
Microsoft Visual C++ 2005. Pour plus d'informations, visitez le site www.microsoft.com/downloads/details.aspx?FamilyID=
32BC1BEEA3F9-4C13-9C99-220B62A191EE&displaylang=en.
• Pour la connexion directe ou par carte à puce, le système client doit faire partie du domaine Active Directory et du royaume
Kerberos.
GUID-8A9973B6-2D4A-4C85-AF24-FD65A09774D0
CMC
• Vous devez installer la version 2.10 ou supérieure du micrologiciel CMC.
• Chaque CMC doit posséder un compte Active Directory.
• CMC doit faire partie du domaine Active Directory et du royaume Kerberos.
GUID-7ADE6FD8-082B-421E-804F-523FC57B3824
Prérequis pour la connexion directe ou par carte à puce
Les prérequis de configuration de la connexion directe (SSO) ou par carte à puce sont les suivants :
• Configurez le royaume kerberos et le KDC (Key Distribution Center, centre de distribution de clés) pour Active Directory
(ksetup).
• Installez une infrastructure NTP et DNS robuste pour éviter les problèmes de dérive d'horloge et de recherche inversée.
• Configurez CMC avec le groupe de rôles de schéma standard Active Directory, avec des membres autorisés.
• Pour la carte à puce, créez des utilisateurs Active Directory pour chaque CMC, configurés pour utiliser le cryptage DES
Kerberos, mais pas la préauthentification.
• Configurez le navigateur pour la connexion directe (SSO) ou par carte à puce.
• Enregistrez les utilisateurs CMC auprès du centre de distribution de clés avec Ktpass (cela génère également une clé pour le
téléversement dans CMC).
Liens connexes
Configuration d'Active Directory avec le schéma standard
Configuration d''Active Directory avec le schéma étendu
Configuration du navigateur pour la connexion directe (SSO)
Génération d'un fichier Keytab Kerberos
Configuration du navigateur pour la connexion par carte à puce
GUID-F8144D51-3120-41D4-8D60-1F0DE81A40F9
Génération d'un fichier Keytab Kerberos
Pour prendre en charge l'authentification de connexion directe (SSO) et par carte à puce, CMC prend en charge le réseau Windows
Kerberos. L'outil ktpass (disponible chez Microsoft, sur le CD/DVD d'installation du serveur) permet de créer des liaisons SPN
(Service Principal Name - Nom de principal du service) avec un compte utilisateur, et d'exporter les informations de confiance dans
un fichier keytab Kerberos de type MIT. Pour plus d'informations sur l'utilitaire ktpass, voir le site Web Microsoft.
Avant de générer un fichier keytab, vous devez créer le compte utilisateur Active Directory à utiliser avec l'option -mapuser de la
commande ktpass. Vous devez utiliser le même nom que le nom DNS du CMC vers lequel vous téléversez le fichier keytab généré.
Pour générer un fichier keytab à l'aide de l'outil ktpass :
1. Exécutez l'utilitaire ktpass sur le contrôleur de domaine (serveur Active Directory) où vous souhaitez adresser CMC sur un
compte utilisateur dans Active Directory.
2. Utilisez la commande ktpass suivante pour créer le fichier keytab Kerberos :
C:\>ktpass -princ HTTP/[e-mail] -mapuser keytabuser -
crypto DES-CBC-MD5 -ptype KRB5_NT_PRINCIPAL -pass * -out c:\krbkeytab
159