Users Guide

l Kerberos-Schlüsselverteilungscenter- KDC (mit der Active Directory-Serversoftware)
l DHCP-Server (empfohlen)
l Die DNS-Server-Reverse-ZonemusseinenEintragfürdenActiveDirectory-Server und den CMC enthalten.

Clientsysteme
l FürreineSmartCard-Anmeldung muss das Clientsystem die verteilbare Komponente von Microsoft Visual C++ 2005 enthalten. Weitere Informationen
finden Sie unter www.microsoft.com/downloads/details.aspx?FamilyID=32BC1BEEA3F9-4C13-9C99-220B62A191EE&displaylang=en
l FüreinfacheAnmeldungundSmartCard-Anmeldung muss das Clientsystem ein Teil der Active Directory-DomäneunddesKerberos-Bereichs sein.

CMC
l Der CMC muss Firmwareversion 2.10 oder neuer aufweisen
l Jeder CMC muss ein Active Directory-Konto haben
l Der CMC muss ein Teil der Active Directory-DomäneunddesKerberos-Bereichs sein

Einstellungen konfigurieren

Vorbedingungen
l Der Kerberos-Bereich und das Kerberos-Schlüsselverteilungscenter(KDC)fürActiveDirectory(AD)wurdeneingerichtet(ksetup)
l GewährleistenSieeinerobusteNTP- und DNS-Infrastruktur zur Vermeidung von Problemen mit Clock-Drift und Reverse-Lookup
l Die CMC-Standardschema-Rollengruppe mit autorisierten Mitgliedern

Active Directory konfigurieren
Konfigurieren Sie im Dialogfeld CMC-Eigenschaften im Optionsabschnitt Konten die folgenden Einstellungen:
l DemKontowirdfürDelegierungszweckevertraut - Der CMC verwendet derzeit keine weitergeleiteten Anmeldeinformationen, wenn diese Option
ausgewähltist.SiekönnendieseOptionabhängigvonanderenDienstanforderungenauswählenodernichtauswählen.
l Konto ist vertraulich und kann nicht delegiert werden - SiekönnendieseOptionabhängigvonanderenDienstanforderungenauswählenodernicht
auswählen.
l DES-VerschlüsselungstypenfürdiesesKontoverwenden - WählenSiedieseOptionaus.
l Keine Kerberos-Vorauthentifizierung erforderlich - WählenSiedieseOptionnichtaus.
FührenSiedasDienstprogrammktpass(TeilvonMicrosoftWindows)aufdemDomänen-Controller (Active Directory-Server) aus, auf dem Sie den CMC einem
BenutzerkontoinActiveDirectoryzuordnenmöchten.Beispiel:
C:\>ktpass -princ HTTP/cmcname.domain_name.com@REALM_NAME.COM -mapuser dracname -crypto DES-CBC-MD5 -ptype KRB5_NT_PRINCIPAL -pass * -out
c:\krbkeytab
Dieses Verfahren erstellt eine Keytab-Datei,dieSiezumCMChochladenmüssen.

Konfiguration des CMC-Moduls
Konfigurieren Sie den CMC zu Verwendung von Standardschema-Rollengruppen, die in Active Directory eingerichtet sind. Weitere Informationen finden Sie
unter Standardschema von Active Directory konfigurieren um den CMC zuzugreifen.

Kerberos-Keytab-Datei hochladen
Die Kerberos-Keytab-Datei liefert die CMC-Benutzername-Kennwort-AnmeldeinformationenfürdasKDC(KerberosDataCenter),daswiederumZugriffaufdas
ANMERKUNG: cmcname.domainname.commussgemäßRFCinKleinbuchstabenundderREALM-Name @REALM_NAMEmussinGroßbuchstabenangegeben
werden.DarüberhinausunterstütztderCMCdenDES-CBC-MD5-TypvonKryptographiefürKerberos-Authentifizierung.
ANMERKUNG: DasKeytabenthälteinenVerschlüsselungsschlüsselundmussaneinemsicherenOrtaufbewahrtwerden.WeitereInformationenzum
Dienstprogramm ktpass finden Sie auf der Microsoft-Website unter: technet2.microsoft.com/windowsserver/en/library/64042138-9a5a-4981-
84e9-d576a8db0d051033.mspx?mfr=true.
ANMERKUNG: DieindiesemAbschnittbeschriebenenKonfigurationsschrittegeltennurfürdenWebzugriffdesCMC.