Users Guide

生成 Kerberos Keytab 文件
为支持 SSO 和智能卡登录身份验证，iDRAC 支持相应的配置，以在 Windows Kerberos 网络上启用自身作为 Kerberos 服务。
iDRAC 上的 Kerberos 配置涉及的步骤与将非 Windows Server Kerberos 服务配置为 Windows Server Active Directory 中的安全
主体相同。
ktpass 工具（由 Microsoft 作为服务器安装 CD/DVD 的一部分提供）用于创建到用户帐户的服务主体名称 (SPN) 绑定，并将信
任信息导出到 MIT 式 Kerberos
密钥表 文件中，这可实现外部用户或系统与密钥分发中心 (KDC) 之间的信任关系。密钥表文件
包含加密密钥，用于对服务器和 KDC 之间的信息进行加密。Ktpass 工具允许基于 UNIX 的服务（支持 Kerberos 身份验证）使
用由 Windows Server Kerberos KDC 服务提供的互操作功能。有关 ktpass 实用程序的详细信息，请参阅 Microsoft 网站：
technet.microsoft.com/en-us/library/cc779157(WS.10).aspx
在生成密钥表文件之前，您必须创建一个 Active Directory 用户帐户，以便与 ktpass 命令的 -mapuser 选项一起使用。此外，
您必须具有与您将生成的密钥表文件上传到的 iDRAC DNS 相同的名称。
使用 ktpass 工具生成 keytab 文件：
1. 在希望将 iDRAC 映射到 Active Directory 中用户帐户的域控制器（Active Directory 服务器）上运行 ktpass 公用程序。
2. 使用以下 ktpass 命令创建 Kerberos keytab 文件：
C:\> ktpass.exe -princ HTTP/[e-mail] -mapuser
DOMAINNAME\username -mapop set -crypto AES256-SHA1 -ptype KRB5_NT_PRINCIPAL -pass
[password] -out c:\krbkeytab
加密类型为 AES256-SHA1。主体类型为 KRB5_NT_PRINCIPAL。服务主体名称将映射到的目标用户帐户的属性必须启用为
此帐户使用 AES 256 加密类型属性。
注: 对于 iDRACname 和服务主体名称，请使用小写字母。请对域名使用大写字母，如示例中所示。
将生成一个 keytab 文件。
注: 如果发现为其创建密钥表文件的 iDRAC 用户存在任何问题，请创建一个新用户和一个新的密钥表文件。如果再次执
行最初创建的同一密钥表文件，则无法正确配置。
使用 Web 界面为 Active Directory 用户配置 iDRAC SSO 登录
要配置 iDRAC 以进行 Active Directory SSO 登录：
注: 有关各选项的信息，请参阅 iDRAC Online Help（iDRAC 联机帮助）。
1. 验证 iDRAC DNS 名称与 iDRAC 完全限定的域名是否匹配。要执行此操作，请在 iDRAC Web 界面中，转至 iDRAC 设置 > 网
络 > 常见设置，然后参阅 DNS iDRAC 名称属性。
2. 配置 Active Directory 以基于标准架构或扩展架构设置用户帐户时，请执行以下两个附加步骤来配置 SSO：
● 在 Active Directory Configuration and Management Step 1 of 4（Active Directory 配置和管理第 1 步，共 4 步）
页面中上载 keytab 文件。
● 在 Active Directory Configuration and Management Step 2 of 4（Active Directory 配置和管理第 2 步，共 4 步）
页面中选择启用单一登录选项。
使用 RACADM 为 Active Directory 用户配置 iDRAC SSO 登录
要启用 SSO，完成步骤以配置 Active Directory，并运行以下命令：
racadm set iDRAC.ActiveDirectory.SSOEnable 1
管理站设置
为 Active Directory 用户配置 SSO 登录后，请执行以下步骤：
1. 在“网络”属性中设置 DNS 服务器 IP 并提供首选 DNS 服务器 IP。
2. 转至“我的电脑”并添加 *domain.tld 域。
3. 将 Active Directory 用户添加至管理员（方法是导航到我的电脑 > 管理 > 本地用户和组 > 组 > 管理员），并添加 Active
Directory 用户。
配置
iDRAC 以为行为一登为或智能卡登为 157