Users Guide

NOTA: Si usa Active Directory en Windows 2003, asegúrese de tener las revisiones y los Service Pack más recientes
instalados en el sistema cliente. Si usa Active Directory en Windows 2008, asegúrese de tener instalado SP1 junto con las
siguientes correcciones urgentes:
Windows6.0-KB951191-x86.msu para la utilidad KTPASS. Sin esta revisión, la utilidad genera archivos keytab dañados.
Windows6.0-KB957072-x86.msu para utilizar transacciones GSS_API y SSL durante un enlace de LDAP.
• Centro de distribución de claves Kerberos (se incluye con el software de servidor Active Directory).
• Servidor DHCP (recomendado).
• La zona inversa del servidor DNS debe tener una entrada para el servidor Active Directory y la CMC.
Sistemas cliente
• Solamente para el inicio de sesión mediante tarjeta inteligente, el sistema cliente debe tener el paquete redistribuible Microsoft Visual C+
+ 2005. Para obtener más información, consulte www.microsoft.com/downloads/details.aspx?FamilyID=
32BC1BEEA3F9-4C13-9C99-220B62A191EE&displaylang=en
• Para el inicio de sesión único o el inicio de sesión mediante tarjeta inteligente, el sistema cliente debe formar parte del dominio de Active
Directory y del territorio de Kerberos.
CMC
• El CMC debe tener la versión de rmware 2.10 o superior.
• Cada CMC debe tener una cuenta de Active Directory.
• El CMC debe formar parte del dominio de Active Directory y del territorio de Kerberos.
Prerrequisitos para el inicio de sesión único o el inicio
de sesión mediante tarjeta inteligente
A continuación se indican los prerrequisitos para congurar el inicio de sesión único o el inicio de sesión mediante tarjeta inteligente:
• Congure el territorio de Kerberos y el centro de distribución de claves (KDC) para Active Directory (ksetup).
• Una sólida infraestructura de NTP y DNS para evitar problemas de desfase de tiempo y búsqueda inversa.
• Congure la CMC y el grupo de funciones de esquema estándar de Active Directory con miembros autorizados.
• Para la tarjeta inteligente, cree usuarios de Active Directory para cada CMC, congurados para utilizar el cifrado DES de Kerberos pero
no la preautenticación.
• Congure el explorador para el inicio de sesión único o el inicio de sesión mediante tarjeta inteligente.
• Registre a los usuarios de CMC en el centro de distribución de claves con Ktpass (esto también genera una clave que se carga en la
CMC).
Vínculos relacionados
Conguración del esquema estándar de Active Directory
Conguración del esquema extendido de Active Directory
Conguración del explorador para el inicio de sesión único
Generación del archivo Keytab de Kerberos
Conguración de un explorador para el inicio de sesión mediante tarjeta inteligente
Generación del archivo Keytab de Kerberos
Para admitir la autenticación de inicio de sesión único (SSO) y de inicio de sesión mediante tarjeta inteligente, la CMC admite la red
Kerberos de Windows. La herramienta ktpass (ofrecida por Microsoft en el CD/DVD de instalación de servidores) se utiliza para crear los
enlaces entre el nombre principal de servicio (SPN) y una cuenta de usuario, y para exportar la información de conanza a un archivo
keytab de Kerberos de estilo MIT. Para obtener más información sobre la utilidad ktpass, consulte el sitio web de Microsoft.
Conguración
del CMC para inicio de sesión único o inicio de sesión mediante tarjeta inteligente 163