Users Guide

• DHCP-Server (empfohlen).
• Die DNS-Server-Reverse-Zone muss einen Eintrag für den Active Directory-Server und den CMC
enthalten.
Client-Systeme
• Für reine Smart Card-Anmeldung muss das Clientsystem die verteilbare Komponente von Microsoft
Visual C++ 2005 enthalten. Weitere Informationen finden Sie unter www.microsoft.com/downloads/
details.aspx?FamilyID= 32BC1BEEA3F9-4C13-9C99-220B62A191EE&displaylang=en
• Für einfache Anmeldung oder Smart Card-Anmeldung muss das Clientsystem ein Teil der Active
Directory-Domäne und des Kerberos-Bereichs sein.
CMC
• Jeder CMC muss ein Active Directory-Konto haben.
• Der CMC muss ein Teil der Active Directory-Domäne und des Kerberos-Bereichs sein.
Vorbedingungen für die einfache Anmeldung oder Smart
Card-Anmeldung
Die Voraussetzungen für die Konfiguration der SSO- oder Smart Card-Anmeldungen lauten wie folgt:
• Einrichtung des Kerberos-Bereichs und Key Distribution Centers (KDC)) für Active Directory (ksetup).
• Gewährleisten Sie eine robuste NTP- und DNS-Infrastruktur zur Vermeidung von Problemen mit
Clock-Drift und Reverse-Lookup.
• Konfiguration des CMC mit der Standardschema-Rollengruppe mit autorisierten Mitgliedern.
• Erstellen Sie für Smart Card „Active Directory-Benutzer“ für jeden CMC und konfigurieren Sie
Kerberos-DES-Verschlüsselung, jedoch nicht Vorauthentifizierung.
• Browser für SSO oder Smart Card-Anmeldung konfigurieren
• Registrieren Sie die CMC-Benutzer mit Ktpass beim Schlüsselverteilungscenter (dies erzeugt auch
einen Schlüssel zum Hochladen auf den CMC).
Kerberos Keytab-Datei generieren
Zur Unterstützung der SSO- und Smart Card-Anmeldungs-Authentifizierung unterstützt CMC das
Windows-Kerberos-Netzwerk. Mit dem ktpass-Hilfsprogramm (wird von Microsoft als Teil der Server-
Installations-CD/DVD bereitgestellt) werden die Bindungen des Dienstprinzipalnamens (SPN =Service
Principal Name) zu einem Benutzerkonto erstellt und die Vertrauensinformationen in eine MIT-artige
Kerberos-Keytab-Datei exportiert. Weitere Informationen zum Dienstprogramm ktpass finden Sie auf der
Microsoft-Website.
Sie müssen vor dem Erstellen einer Keytab-Datei ein Active Directory-Benutzerkonto zur Benutzung mit
der Option -mapuser des Befehls ktpass einrichten. Außerdem müssen Sie denselben Namen verwenden
wie den CMC-DNS-Namen, zu dem Sie die erstellte Keytab-Datei hochladen.
160