Users Guide

REMARQUE : Si vous utilisez Active Directory sous Windows 2003, vériez que vous avez bien installé les derniers Service
Packs et correctifs sur le système client. Si vous utilisez Active Directory sous Windows 2008, veillez à installer SP1 avec les
correctifs suivants :
Windows6.0-KB951191-x86.msu pour l'utilitaire KTPASS. Sans ce correctif, l'utilitaire génère des chiers keytab incorrects.
Windows6.0-KB957072-x86.msu pour utiliser les transactions GSS_API et SSL pendant une liaison LDAP.
• Centre de distribution de clés Kerberos (fourni avec le logiciel du serveur Active Directory Server)
• Serveur DHCP (recommandé)
• La zone inverse du serveur DNS doit comporter une entrée pour le serveur Active Directory et pour CMC
Systèmes clients
• Pour utiliser uniquement la connexion par carte à puce, votre système client doit comporter la version redistribuable de Microsoft Visual
C++ 2005. Pour plus d'informations, visitez le site www.microsoft.com/downloads/details.aspx?FamilyID=
32BC1BEEA3F9-4C13-9C99-220B62A191EE&displaylang=en.
• Pour la connexion directe ou par carte à puce, le système client doit faire partie du domaine Active Directory et du royaume Kerberos.
CMC
• Vous devez installer la version 2.10 ou supérieure du micrologiciel CMC.
• Chaque CMC doit posséder un compte Active Directory.
• CMC doit faire partie du domaine Active Directory et du royaume Kerberos.
Prérequis pour la connexion directe ou par carte à
puce
Les prérequis de conguration de la connexion directe (SSO) ou par carte à puce sont les suivants :
• Congurez le royaume kerberos et le KDC (Key Distribution Center, centre de distribution de clés) pour Active Directory (ksetup).
• Installez une infrastructure NTP et DNS robuste pour éviter les problèmes de dérive d'horloge et de recherche inversée.
• Congurez CMC avec le groupe de rôles de schéma standard Active Directory, avec des membres autorisés.
• Pour la carte à puce, créez des utilisateurs Active Directory pour chaque CMC, congurés pour utiliser le cryptage DES Kerberos, mais
pas la préauthentication.
• Congurez le navigateur pour la connexion directe (SSO) ou par carte à puce.
• Enregistrez les utilisateurs CMC auprès du centre de distribution de clés avec Ktpass (cela génère également une clé pour le
téléversement dans CMC).
Liens connexes
Conguration d'Active Directory avec le schéma standard
Conguration d''Active Directory avec le schéma étendu
Conguration du navigateur pour la connexion directe (SSO)
Génération d'un chier Keytab Kerberos
Conguration du navigateur pour la connexion par carte à puce
Génération d'un chier Keytab Kerberos
Pour prendre en charge l'authentication de connexion directe (SSO) et par carte à puce, CMC prend en charge le réseau Windows
Kerberos. L'outil ktpass (disponible chez Microsoft, sur le CD/DVD d'installation du serveur) permet de créer des liaisons SPN (Service
172
Conguration de CMC pour la connexion directe (SSO) ou la connexion par carte à puce