Users Guide

单点登录或智能卡登录的前提条件
配置 SSO 或智能卡登录的前提条件包括：
• 为 Active Directory (ksetup) 设置 kerberos 领域和密钥分发中心 (KDC)。
• 强健的 NTP 和 DNS 基础结构以避免时钟漂移和反向查询出现问题。
• 使用包含授权成员的 Active Directory 标准架构角色组配置 CMC。
• 对于智能卡，为每个 CMC 创建 Active Directory 用户，配置为使用 Kerberos DES 加密，而不是预验证。
• 配置浏览器实现 SSO 或智能卡登录。
• 使用 Ktpass 在密钥分发中心注册 CMC 用户（这也会将密钥上载到 CMC）。
生成 Kerberos Keytab 文件
为了支持 SSO 和智能卡登录验证，CMC 支持 Windows Kerberos 网络。ktpass 工具（Microsoft 在服务器安装 CD/DVD 中提供）用于
创建与用户帐户的服务主体名称 (SPN) 绑定并将信任信息导出到 MIT-style Kerberos keytab 文件。有关 ktpass 公用程序的更多信
息，请参阅 Microsoft 网站。
生成 keytab 文件之前，您必须创建一个 Active Directory 用户帐户，以便与 ktpass 命令的 -mapuser 选项一起使用。您必须使用与上
载生成的 keytab 文件的 CMC DNS 名称相同的名称。
使用 ktpass 工具生成 keytab 文件：
1. 在希望将 CMC 映射到 Active Directory 中的用户帐户的域控制器（Active Directory 服务器）上运行 ktpass 公用程序。
2. 使用以下 ktpass 命令创建 Kerberos keytab 文件：
ktpass -princ HTTP/[e-mail] -mapuser keytabuser -crypto DES-
CBC-MD5 -ptype KRB5_NT_PRINCIPAL -pass * -out c:\krbkeytab
注: RFC 要求 cmcname.domainname.com 必须小写，而 @REALM_NAME 必须大写。此外，CMC 支持对 Kerberos 验证采
用 DES-CBC-MD5 和 AES256–SHA1 类型的加密。
所生成的 keytab 文件必须上载到 CMC。
注: keytab 包含加密密钥，必须妥善保管。有关 ktpass 公用程序的更多信息，请参阅 Microsoft 网站。
配置 CMC 以使用 Active Directory 架构
有关配置 CMC 以使用 Active Directory 标准架构的信息，请参阅配置标准架构 Active Directory。
有关配置 CMC 以使用扩展架构 Active Directory 的信息，请参阅扩展架构 Active Directory 概览。
配置浏览器以使用 SSO 登录
Internet Explorer 版本 6.0 和更高版本及 Firefox 版本 3.0 和更高版本支持单点登录 (SSO)。
注: 仅当 CMC 结合 Kerberos 验证使用单点登录时，以下说明才适用。
Internet Explorer
要配置 Internet Explorer 进行单点登录，请执行以下操作：
1. 在 Internet Explorer 中，选择工具 > Internet 选项。
2. 在安全选项卡上的选择要查看或更改安全设置的区域下面，选择本地 Intranet。
3. 单击站点。
此时将显示本地 Intranet 对话框。
4. 单击高级。
此时将显示本地 Intranet 高级设置对话框。
5. 在将该网站添加到区域中，键入 CMC 的名称和它所属的域，然后单击添加。
124 配置 CMC 进行单点登录或智能卡登录