Inhaltsverzeichnis
Werbung
Kerberos Keytab-Datei generieren
Zur Unterstützung der SSO- und Smart Card-Anmeldungs-Authentifizierung unterstützt CMC das
Windows-Kerberos-Netzwerk. Mit dem ktpass-Hilfsprogramm (wird von Microsoft als Teil der Server-
Installations-CD/DVD bereitgestellt) werden die Bindungen des Dienstprinzipalnamens (SPN =Service
Principal Name) zu einem Benutzerkonto erstellt und die Vertrauensinformationen in eine MIT-artige
Kerberos-Keytab-Datei exportiert. Weitere Informationen zum Dienstprogramm ktpass finden Sie auf der
Microsoft-Website.
Sie müssen vor dem Erstellen einer Keytab-Datei ein Active Directory-Benutzerkonto zur Benutzung mit
der Option -mapuser des Befehls ktpass einrichten. Außerdem müssen Sie denselben Namen verwenden
wie den CMC-DNS-Namen, zu dem Sie die erstellte Keytab-Datei hochladen.
So generieren Sie eine Keytab-Datei mithilfe des ktpass-Tools:
1.
Führen Sie das Dienstprogramm ktpass auf dem Domänen-Controller (Active Directory-Server) aus,
auf dem Sie den CMC einem Benutzerkonto in Active Directory zuordnen möchten.
2.
Verwenden Sie den folgenden ktpass-Befehl, um die Kerberos-Keytab-Datei zu erstellen:
C:\>ktpass -princ HTTP/cmcname.domain_name.com@REALM_NAME.COM - mapuser
dracname -crypto DES-CBC-MD5 -ptype KRB5_NT_PRINCIPAL -pass * -out c:
\krbkeytab
ANMERKUNG: Der cmcname.domainname.com muss gemäß RFC in Kleinbuchstaben und der
@REALM_NAME muss in Großbuchstaben angegeben werden. Darüber hinaus unterstützt der
CMC den DES-CBC-MD5-Typ von Kryptographie für Kerberos-Authentifizierung.
Dieses Verfahren erstellt eine Keytab-Datei, die Sie zum CMC hochladen müssen.
ANMERKUNG: Das Keytab enthält einen Verschlüsselungsschlüssel und muss an einem sicheren
Ort aufbewahrt werden. Weitere Informationen zum Dienstprogramm ktpass finden Sie auf der
Microsoft-Website.
Konfigurieren des CMC für das Active Directory-Schema
Weitere Informationen über die Konfiguration des CMC für das Active Directory-Standardschema finden
Sie unter
Active Directory-Standardschema
Weitere Informationen über die Konfiguration des CMC für Erweitertes Schema für Active Directory,
finden Sie unter
Übersicht des Active Directory mit erweitertem
Browser für SSO-Anmeldung konfigurieren
Einfache Anmeldung (SSO) wird von Internet Explorer Version 6.0 und neuer und Firefox Version 3.0 und
neuer unterstützt.
ANMERKUNG: Die folgenden Anweisungen gelten nur, wenn der CMC die einfache Anmeldung mit
Kerberos-Authentifizierung verwendet.
Internet Explorer
So konfigurieren Sie Internet Explorer für die einfache Anmeldung:
1.
Wählen Sie in Internet Explorer Extras → Internetoptionen aus.
2.
Wählen Sie im Register Sicherheit unter Wählen Sie eine Zone aus, um deren
Sicherheitseinstellungen festzulegen die Option Lokales Intranet aus.
konfigurieren.
Schema.
179
Werbung
Inhaltsverzeichnis
Fehlerbehebung
