Users Guide

3. Verwenden Sie den folgenden Befehl, um eine Kerberos-Keytab auf dem Active Directory-Server zu erstellen:
C:\> ktpass.exe -princ HTTP/[e-mail] -mapuser
DOMAINNAME\username -mapop set -crypto AES256-SHA1 -ptype KRB5_NT_PRINCIPAL -pass
[password] -out c:\krbkeytab
Hinweis für erweitertes Schema
● Ändern Sie die Delegierungseinstellung des Kerberos-Nutzers.
● Gehen Sie zu Kerberos-Nutzer>Eigenschaften>Delegierung>Diesem Nutzer für die Delegierung zu einem
beliebigen Dienst vertrauen (nur Kerberos)
ANMERKUNG: Abmelden und anmelden über den Management Station-Active Directory-Nutzer nach dem Ändern der
Einstellung oben.
Kerberos Keytab-Datei generieren
Zur Unterstützung der SSO- und Smartcard-Authentifizierung bei der Anmeldung unterstützt iDRAC die Konfiguration, um
sich selbst als kerberisierter Dienst in einem Windows Kerberos-Netzwerk zu aktivieren. Die Kerberos-Konfiguration auf
iDRAC umfasst die gleichen Schritte wie die Konfiguration eines Kerberos-Dienstes auf einem Nicht-Windows Server als
Sicherheitsprinzipal in Windows Server Active Directory.
Das Tool ktpass (von Microsoft als Teil der Server-Installations-CD/DVD erhältlich) wird verwendet, um die SPN-
Bindungen (Service Principal Name) zu einem Nutzerkonto zu erstellen und die Vertrauensinformationen in eine Kerberos-
Schlüsselregisterdatei im MIT-Stil zu exportieren, die eine Vertrauensbeziehung zwischen einem externen Nutzer oder System
und dem Key Distribution Centre (KDC) ermöglicht. Die Datei keytab enthält einen kryptografischen Schlüssel, der zur
Verschlüsselung der Informationen zwischen dem Server und dem KDC verwendet wird. Das Tool ktpass ermöglicht es
UNIX-basierten Diensten, die die Kerberos-Authentifizierung unterstützen, die Interoperabilitätsfunktionen zu nutzen, die von
einem Windows Server Kerberos KDC-Dienst bereitgestellt werden. Weitere Informationen zum Dienstprogramm ktpass auf der
Microsoft Website unter: technet.microsoft.com/en-us/library/cc779157(WS.10).aspx
Vor der Erzeugung einer keytab-Datei müssen Sie ein Active Directory-Nutzerkonto zur Verwendung mit der Option -mapuser
des Befehls ktpass erstellen. Darüber hinaus müssen Sie den gleichen Namen wie der iDRAC-DNS-Name haben, auf den Sie
die generierte keytab-Datei hochladen.
So generieren Sie eine Keytab-Datei mithilfe des ktpass-Tools:
1. Führen Sie das Dienstprogramm ktpass auf dem Domain Controller (Active Directory-Server) aus, auf dem Sie den iDRAC
einem Nutzerkonto in Active Directory zuordnen möchten.
2. Verwenden Sie den folgenden ktpass-Befehl, um die Kerberos-Keytab-Datei zu erstellen:
C:\> ktpass.exe -princ HTTP/[e-mail] -mapuser
DOMAINNAME\username -mapop set -crypto AES256-SHA1 -ptype KRB5_NT_PRINCIPAL -pass
[password] -out c:\krbkeytab
Der Verschlüsselungstyp lautetAES256-SHA1. Der Prinzipaltyp lautet KRB5_NT_PRINCIPAL. Die Eigenschaften des
Nutzerkontos, dem der Dienstprinzipalname zugeordnet ist, muss „AES 256“-Verschlüsselungstypen für dieses Konto
verwenden ordnungsgemäß aktiviert haben.
ANMERKUNG:
Verwenden Sie Kleinbuchstaben für den iDRACname und den Service Principal Name. Verwenden
Sie Großbuchstaben für den Domänennamen, wie im Beispiel gezeigt.
Es wird eine Keytab-Datei generiert.
ANMERKUNG:
Falls Probleme mit dem iDRAC-Nutzer auftreten, für den die keytab-Datei erstellt wird, erstellen Sie
einen neuen Nutzer und eine neue keytab-Datei. Wenn dieselbe keytab-Datei, die ursprünglich erstellt wurde, erneut
ausgeführt wird, wird sie nicht korrekt konfiguriert.
iDRAC-SSO-Anmeldung für Active Directory-Benutzer über die
Webschnittstelle konfigurieren
So konfigurieren Sie iDRAC für die Active Directory-SSO-Anmeldung:
iDRAC für die einfache Anmeldung oder Smart Card-Anmeldung konfigurieren
183