Users Guide

• CMC 必须是 Active Directory 域和 Kerberos 领域的一部分。
单点登录或智能卡登录的前提条件
配置 SSO 或智能卡登录的前提条件包括：
• 为 Active Directory (ksetup) 设置 Kerberos 领域和密钥分发中心 (KDC)。
• 强健的 NTP 和 DNS 基础结构以避免时钟漂移和反向查询出现问题。
• 使用包含授权成员的 Active Directory 标准架构角色组配置 CMC。
• 对于智能卡，为每个 CMC 创建 Active Directory 用户，配置为使用 Kerberos DES 加密，而不是预验证。
• 配置浏览器实现 SSO 或智能卡登录。
• 使用 Ktpass 在密钥分发中心注册 CMC 用户（这也会将密钥上载到 CMC）。
生成 Kerberos Keytab 文件
为了支持 SSO 和智能卡登录验证，CMC 支持 Windows Kerberos 网络。ktpass 工具用于创建与用户帐户的服务主体名称 (SPN) 绑定
并将信任信息导出到 MIT-style Kerberos keytab 文件。有关 ktpass 公用程序的更多信息，请参阅 Microsoft 网站。
在生成 keytab 文件之前，应创建一个 Active Directory 用户帐户，以便与 ktpass 命令的 -mapuser 选项结合使用。所使用的名称应
与上载生成的 keytab 文件的 CMC DNS 名称相同。
要使用 ktpass 工具生成 keytab 文件：
1. 在希望将 CMC 映射到 Active Directory 中的用户帐户的域控制器（Active Directory 服务器）上运行 ktpass 公用程序。
2. 使用以下 ktpass 命令创建 Kerberos keytab 文件：
C:\>ktpass -princ HTTP/cmcname.domain_name.com@REALM_NAME.COM - mapuser dracname -mapOp
set -crypto DES-CBC-MD5 -ptype KRB5_NT_PRINCIPAL -pass * -out c:\krbkeytab
注: RFC 要求 cmcname.domainname.com 必须小写，@REALM_NAME 必须大写。此外，CMC 支持对 Kerberos 验证使用
DES-CBC-MD5 和 AES256-SHA1 类型的加密。
所生成的 keytab 文件必须上载到 CMC。
注: keytab 包含加密密钥，必须妥善保管。有关 ktpass 公用程序的更多信息，请参阅 Microsoft 网站。
配置 CMC 以使用 Active Directory 架构
有关配置 CMC 以使用 Active Directory 标准架构的信息，请参阅配置标准架构 Active Directory。
有关配置 CMC 以使用扩展架构 Active Directory 的信息，请参阅扩展架构 Active Directory 概览。
配置浏览器以使用 SSO 登录
Internet Explorer 版本 6.0 和更高版本及 Firefox 版本 3.0 和更高版本支持单点登录 (SSO)。
注: 仅当 CMC 结合 Kerberos 验证使用单点登录时，以下说明才适用。
Internet Explorer
要编辑 Internet Explorer 中的例外列表，请执行以下操作：
1. 启动 Internet Explorer。
2. 单击工具 > Internet 选项 > 连接。
3. 在局域网 (LAN) 设置部分，单击 LAN 设置。
4. 在代理服务器部分，选择为 LAN 使用代理服务器（这些设置不会应用于拨号或 VPN 连接）选项，然后单击高级。
5. 在例外部分，将管理网络上的 CMC 和 iDRAC 地址添加到分号分隔的列表。可以在条目中使用 DNS 名称和通配符。
配置 CMC 进行单点登录或智能卡登录 101