Users Guide

3. 使用以下命令在 Active Directory 服务器中生成 Kerberos Keytab：
C:\> ktpass.exe -princ HTTP/[e-mail] -mapuser
DOMAINNAME\username -mapop set -crypto AES256-SHA1 -ptype KRB5_NT_PRINCIPAL -pass
[password] -out c:\krbkeytab
扩展方案注意事项
● 更改 Kerberos 用户的“委派”设置。
● 转至 Kerberos 用户 > 属性 > 委派 > 对任何服务的委派均信任此用户（仅限 Kerberos）
注: 更改以上设置后，让管理站 Active Directory 用户注销然后重新登录。
Identifier GUID-1BF9328B-20DC-4257-B386-687A1FA75408
Version 3
Status Translation Validated
生成 Kerberos Keytab 文件
为支持 SSO 和智能卡登录身份验证，iDRAC 支持相应的配置，以在 Windows Kerberos 网络上启用自身作为 Kerberos 服务。iDRAC
上的 Kerberos 配置涉及的步骤与将非 Windows Server Kerberos 服务配置为 Windows Server Active Directory 中的安全主体相同。
ktpass 工具（由 Microsoft 作为服务器安装 CD/DVD 的一部分提供）用于创建到用户帐户的服务主体名称 (SPN) 绑定，并将信任信
息导出到 MIT 式 Kerberos 密钥表 文件中，这可实现外部用户或系统与密钥分发中心 (KDC) 之间的信任关系。密钥表文件包含加密密
钥，用于对服务器和 KDC 之间的信息进行加密。Ktpass 工具允许基于 UNIX 的服务（支持 Kerberos 身份验证）使用由 Windows
Server Kerberos KDC 服务提供的互操作功能。有关 ktpass 实用程序的详细信息，请参阅 Microsoft 网站：
technet.microsoft.com/en-us/library/cc779157(WS.10).aspx
在生成密钥表文件之前，您必须创建一个 Active Directory 用户帐户，以便与 ktpass 命令的 -mapuser 选项一起使用。此外，您必
须具有与您将生成的密钥表文件上传到的 iDRAC DNS 相同的名称。
使用 ktpass 工具生成 keytab 文件：
1. 在希望将 iDRAC 映射到 Active Directory 中用户帐户的域控制器（Active Directory 服务器）上运行 ktpass 公用程序。
2. 使用以下 ktpass 命令创建 Kerberos keytab 文件：
C:\> ktpass.exe -princ HTTP/[e-mail] -mapuser
DOMAINNAME\username -mapop set -crypto AES256-SHA1 -ptype KRB5_NT_PRINCIPAL -pass
[password] -out c:\krbkeytab
加密类型为 AES256-SHA1。主体类型为 KRB5_NT_PRINCIPAL。服务主体名称将映射到的目标用户帐户的属性必须启用为此帐户
使用 AES 256 加密类型属性。
注: 对于 iDRACname 和服务主体名称，请使用小写字母。请对域名使用大写字母，如示例中所示。
将生成一个 keytab 文件。
注: 如果发现为其创建密钥表文件的 iDRAC 用户存在任何问题，请创建一个新用户和一个新的密钥表文件。如果再次执行最
初创建的同一密钥表文件，则无法正确配置。
Identifier GUID-CA551374-D866-4D56-9A18-E27796C17430
Version 2
Status Translation Validated
使用 Web 界面为 Active Directory 用户配置 iDRAC SSO 登录
要配置 iDRAC 以进行 Active Directory SSO 登录：
注: 有关各选项的信息，请参阅 iDRAC Online Help（iDRAC 联机帮助）。
1. 验证 iDRAC DNS 名称与 iDRAC 完全限定的域名是否匹配。要执行此操作，请在 iDRAC Web 界面中，转至 iDRAC 设置 > 网络 >
常见设置，然后参阅 DNS iDRAC 名称属性。
2. 配置 Active Directory 以基于标准架构或扩展架构设置用户帐户时，请执行以下两个附加步骤来配置 SSO：
● 在 Active Directory Configuration and Management Step 1 of 4（Active Directory 配置和管理第 1 步，共 4 步）页面中
上载 keytab 文件。
174 配置 iDRAC 以进行单一登录或智能卡登录
DRAFT