Users Guide

• Para el inicio de sesión único o el inicio de sesión mediante tarjeta inteligente, el sistema cliente debe formar parte del dominio de
Active Directory y del territorio de Kerberos.
CMC
• El CMC debe tener la versión de rmware 2.10 o superior.
• Cada CMC debe tener una cuenta de Active Directory.
• El CMC debe formar parte del dominio de Active Directory y del territorio de Kerberos.
Prerrequisitos para el inicio de sesión único o el inicio de sesión
mediante tarjeta inteligente
A continuación se indican los prerrequisitos para congurar el inicio de sesión único o el inicio de sesión mediante tarjeta inteligente:
• Congure el territorio de Kerberos y el centro de distribución de claves (KDC) para Active Directory (ksetup).
• Una sólida infraestructura de NTP y DNS para evitar problemas de desfase de tiempo y búsqueda inversa.
• Congure la CMC y el grupo de funciones de esquema estándar de Active Directory con miembros autorizados.
• Para la tarjeta inteligente, cree usuarios de Active Directory para cada CMC, congurados para utilizar el cifrado DES de Kerberos
pero no la preautenticación.
• Congure el explorador para el inicio de sesión único o el inicio de sesión mediante tarjeta inteligente.
• Registre a los usuarios de CMC en el centro de distribución de claves con Ktpass (esto también genera una clave que se carga en
la CMC).
Enlace relacionado
Conguración del esquema estándar de Active Directory
Conguración del esquema extendido de Active Directory
Conguración del explorador para el inicio de sesión único
Generación del archivo Keytab de Kerberos
Conguración de un explorador para el inicio de sesión mediante tarjeta inteligente
Generación del archivo Keytab de Kerberos
Para admitir la autenticación de inicio de sesión único (SSO) y de inicio de sesión mediante tarjeta inteligente, la CMC admite la red
Kerberos de Windows. La herramienta ktpass (ofrecida por Microsoft en el CD/DVD de instalación de servidores) se utiliza para crear
los enlaces entre el nombre principal de servicio (SPN) y una cuenta de usuario, y para exportar la información de conanza a un
archivo keytab de Kerberos de estilo MIT. Para obtener más información sobre la utilidad ktpass, consulte el sitio web de Microsoft.
Antes de generar un archivo keytab, debe crear una cuenta de usuario de Active Directory para usar con la opción -mapuser del
comando ktpass. El nombre utilizado debe ser igual al del DNS de la CMC donde cargue el archivo keytab generado.
Para generar un archivo keytab mediante la herramienta ktpass:
1. Ejecute la utilidad ktpass en la controladora de dominio (servidor de Active Directory) donde desee asignar el CMC a una cuenta
de usuario en Active Directory.
2. Utilice el siguiente comando ktpass para crear el archivo keytab de Kerberos:
C:\>ktpass -princ HTTP/[e-mail] -mapuser keytabuser -
crypto DES-CBC-MD5 -ptype KRB5_NT_PRINCIPAL -pass * -out c:\krbkeytab
NOTA: Debe introducir cmcname.domainname.com en minúsculas, como exige RFC, mientras que @REALM_NAME
debe estar en mayúsculas. Además, la CMC admite el tipo de criptografía DES-CBC-MD5 para la autenticación de
Kerberos.
Se generará un archivo keytab que se debe cargar en el CMC.
NOTA: El archivo keytab contiene una clave de cifrado y debe conservarse en un lugar seguro. Para obtener más
información sobre la utilidad ktpass , consulte el sitio web de Microsoft.
155