Users Guide

这可能由于组类型不正确。Active Directory 服务器中有两种组类型：
● Security（安全） - 安全组允许您管理用户并使用计算机访问共享资源以及筛选组策略设置。
● 分发 - 分发组仅供用于电子邮件分发列表。
始终确保该组类型是安全的。您不能使用分发组在任何对象上分配权限，但是可以使用它们来筛选组策略设置。
单一登录
在 Windows Server 2008 R2 x64 上 SSO 登录失败。解决此问题所需的设置是什么？
1. 为域控制器和域策略运行 technet.microsoft.com/en-us/library/dd560670(WS.10).aspx 中介绍的操作。
2. 配置计算机以使用 DES-CBC-MD5 密码组。
这些设置可能会影响您的环境中客户端计算机或服务与应用程序的兼容性。Kerberos 策略设置允许的配置加密类型位于：
Computer Configuration（计算机配置） > Security Settings（安全设置） > Local Policies（本地策略） > Security
Options（安全选项）。
3. 请确保域客户端具有更新的 GPO。
4. 在命令行处，键入 gpupdate /force 并使用 klist purge 命令删除旧 Keytab。
5. 更新 GPO 后，创建新的 keytab。
6. 将 keytab 上载到 iDRAC。
现在可以使用 SSO 登录 iDRAC。
为什么在 Windows 7 和 Windows Server 2008 R2 上，Active Directory 用户进行单一登录失败？
您必须启用 Windows 7 和 Windows Server 2008 R2 的加密类型。要启用加密类型：
1. 以管理员或具有管理权限的用户身份登录。
2. 转至开始并运行 gpedit.msc。将显示 ocal Group Policy Editor（本地组策略编辑器）窗口。
3. 转至 Local Computer Settings（本地计算机设置） > Windows Settings（Windows 设置） > Security Settings（安全
设置） > Local Policies（本地策略） > Security Options（安全选项）。
4. 右键单击 Network Security: Configure encryption types allowed for kerberos（网络安全：配置 Kerberos 允许的加密
类型）并选择 Properties（属性）。
5. 启用所有选项。
6. 单击 OK（确定）。现在可以使用 SSO 登录 iDRAC。
对于 Extended Schema（扩展架构），执行以下附加设置：
1. 在 Local Group Policy Editor（本地组策略编辑器）窗口中，导航至 Local Computer Settings（本地计算机设置） >
Windows Settings（Windows 设置） > Security Settings（安全设置） > Local Policies（本地策略） > Security
Options（安全选项）。
2. 右键单击 Network Security: Restrict NTLM: Outgoing NTLM traffic to remote server（网络安全：限制 NTLM：发往
远程服务器的出站 NTLM 通信量）并选择 Properties（属性）。
3. 选择 Allow all（全部允许），单击 OK（确定），然后关闭 Local Group Policy Editor（本地组策略编辑器）窗口。
4. 转至开始并运行 cmd。此时将显示命令提示符窗口。
5. 运行命令 gpupdate /force。组策略将更新。关闭命令提示符窗口。
6. 转至开始并运行 regedit。此时将显示 Registry Editor（注册表编辑器）窗口。
7. 导航至 HKEY_LOCAL_MACHINE > System > CurrentControlSet > Control > LSA。
8. 在右侧窗格中，右键单击并选择 New（新建） > DWORD (32-bit) Value（DWORD [32 位] 值）。
9. 将新注册表项命名为 SuppressExtendedProtection。
10. 右键单击 SuppressExtendedProtection 并单击 Modify（修改）。
11. 在 Value data（值数据）字段中键入 1 并单击 OK（确定）。
12. 关闭 Registry Editor 窗口。现在可以使用 SSO 登录 iDRAC。
如果为 iDRAC 启用了 SSO 并使用 Internet Explorer 登录 iDRAC，SSO 会失败并提示输入用户名和密码。如何解决此问题？
确保 iDRAC IP 地址列在 Tools（工具） > Internet Options（选项） > Security（安全性） > Trusted sites（可信站点）
中。如果未列出，SSO 将失败并提示输入用户名和密码。单击 Cancel（取消）并继续。
智能卡登录
使用 Active Directory 智能卡登录功能登录 iDRAC 需要最多四分钟时间。
322
常为为为