Users Guide

Hinweis für erweitertes Schema
● Ändern Sie die Delegierungseinstellung des Kerberos-Nutzers.
● Gehen Sie zu Kerberos-Nutzer>Eigenschaften>Delegierung>Diesem Nutzer für die Delegierung zu einem beliebigen Dienst
vertrauen (nur Kerberos)
ANMERKUNG: Abmelden und anmelden über den Management Station-Active Directory-Nutzer nach dem Ändern der Einstellung
oben.
Kerberos Keytab-Datei generieren
Zur Unterstützung der SSO- und Smartcard-Authentifizierung bei der Anmeldung unterstützt iDRAC die Konfiguration, um sich selbst
als kerberisierter Dienst in einem Windows Kerberos-Netzwerk zu aktivieren. Die Kerberos-Konfiguration auf iDRAC umfasst die gleichen
Schritte wie die Konfiguration eines Kerberos-Dienstes auf einem Nicht-Windows Server als Sicherheitsprinzipal in Windows Server Active
Directory.
Das Tool ktpass (von Microsoft als Teil der Server-Installations-CD/DVD erhältlich) wird verwendet, um die SPN-Bindungen (Service
Principal Name) zu einem Nutzerkonto zu erstellen und die Vertrauensinformationen in eine Kerberos-Schlüsselregisterdatei im MIT-
Stil zu exportieren, die eine Vertrauensbeziehung zwischen einem externen Nutzer oder System und dem Key Distribution Centre
(KDC) ermöglicht. Die Datei keytab enthält einen kryptografischen Schlüssel, der zur Verschlüsselung der Informationen zwischen dem
Server und dem KDC verwendet wird. Das Tool ktpass ermöglicht es UNIX-basierten Diensten, die die Kerberos-Authentifizierung
unterstützen, die Interoperabilitätsfunktionen zu nutzen, die von einem Windows Server Kerberos KDC-Dienst bereitgestellt werden.
Weitere Informationen zum Dienstprogramm ktpass auf der Microsoft Website unter: technet.microsoft.com/en-us/library/
cc779157(WS.10).aspx
Vor der Erzeugung einer keytab-Datei müssen Sie ein Active Directory-Nutzerkonto zur Verwendung mit der Option -mapuser des
Befehls ktpass erstellen. Darüber hinaus müssen Sie den gleichen Namen wie der iDRAC-DNS-Name haben, auf den Sie die generierte
keytab-Datei hochladen.
So generieren Sie eine Keytab-Datei mithilfe des ktpass-Tools:
1. Führen Sie das Dienstprogramm ktpass auf dem Domain Controller (Active Directory-Server) aus, auf dem Sie den iDRAC einem
Nutzerkonto in Active Directory zuordnen möchten.
2. Verwenden Sie den folgenden ktpass-Befehl, um die Kerberos-Keytab-Datei zu erstellen:
C:\> ktpass.exe -princ HTTP/[e-mail] -mapuser
DOMAINNAME\username -mapop set -crypto AES256-SHA1 -ptype KRB5_NT_PRINCIPAL -pass
[password] -out c:\krbkeytab
Der Verschlüsselungstyp lautetAES256-SHA1. Der Prinzipaltyp lautet KRB5_NT_PRINCIPAL. Die Eigenschaften des Nutzerkontos,
dem der Dienstprinzipalname zugeordnet ist, muss „AES 256“-Verschlüsselungstypen für dieses Konto verwenden
ordnungsgemäß aktiviert haben.
ANMERKUNG:
Verwenden Sie Kleinbuchstaben für den iDRACname und den Service Principal Name. Verwenden Sie
Großbuchstaben für den Domänennamen, wie im Beispiel gezeigt.
Es wird eine Keytab-Datei generiert.
ANMERKUNG:
Falls Probleme mit dem iDRAC-Nutzer auftreten, für den die keytab-Datei erstellt wird, erstellen Sie einen neuen
Nutzer und eine neue keytab-Datei. Wenn dieselbe keytab-Datei, die ursprünglich erstellt wurde, erneut ausgeführt wird, wird sie
nicht korrekt konfiguriert.
iDRAC-SSO-Anmeldung für Active Directory-Benutzer über die
Webschnittstelle konfigurieren
So konfigurieren Sie iDRAC für die Active Directory-SSO-Anmeldung:
ANMERKUNG: Informationen zu den verfügbaren Optionen finden Sie in der iDRAC-Online-Hilfe.
1. Überprüfen Sie, ob der iDRAC-DNS-Name mit dem vollqualifizierten iDRAC-Domänennamen übereinstimmt. Gehen Sie dazu in
der iDRAC-Webschnittstelle zu iDRAC-Einstellungen > Netzwerk > Allgemeine Einstellungen und beziehen Sie sich auf die
EigenschaftDNS-iDRAC-Name.
2. Während Sie Active Directory für die Einrichtung eines Benutzerkontos auf der Basis eines Standardschemas oder eines erweiterten
Schemas konfigurieren, führen Sie die folgenden zwei zusätzlichen Schritte für die Konfiguration von SSO aus:
iDRAC für die einfache Anmeldung oder Smart Card-Anmeldung konfigurieren
177