Users Guide

3. Utilice el siguiente comando para generar un archivo keytab de Kerberos en el servidor de Active Directory:
C:\> ktpass.exe -princ HTTP/[e-mail] -mapuser
DOMAINNAME\username -mapop set -crypto AES256-SHA1 -ptype KRB5_NT_PRINCIPAL -pass
[password] -out c:\krbkeytab
Observe el esquema extendido
● Cambie la configuración de delegación del usuario de Kerberos.
● Vaya a Usuario de Kerberos>Propiedades>Delegación>Confiar en este usuario para la delegación a cualquier
servicio (solo para Kerberos)
NOTA: Cierre la sesión y vuelva a iniciar sesión desde la estación de administración del usuario de Active Directory después
de cambiar la configuración anterior.
Generación del archivo Keytab de Kerberos
Para admitir SSO y la autentificación de inicio de sesión mediante tarjeta inteligente, iDRAC es compatible con la configuración
para activarse a sí mismo como un servicio de kerberos en una red Kerberos de Windows. La configuración de Kerberos en
iDRAC implica los mismos pasos que la configuración de un servicio de Kerberos de servidor que no es de Windows como un
elemento principal de seguridad en Active Directory del servidor de Windows.
La herramienta ktpass (disponible en Microsoft como parte del CD/DVD de instalación del servidor) se utiliza para crear
las vinculaciones de nombre principal de servicio (SPN) con una cuenta de usuario y exportar la información de confianza
a un archivo keytab de Kerberos tipo MIT, que permite una relación de confianza entre un usuario o un sistema externos
y el centro de distribución de claves (KDC). El archivo keytab contiene una clave criptográfica, que se utiliza para cifrar la
información entre el servidor y el KDC. La herramienta ktpass permite servicios basados en UNIX que admiten la autenticación
Kerberos para usar las funciones de interoperabilidad proporcionadas por un servicio KDC Kerberos del servidor Windows.
Para obtener más información sobre la utilidad ktpass, consulte el sitio web de Microsoft en: technet.microsoft.com/en-us/
library/cc779157(WS.10).aspx
Antes de generar un archivo keytab, debe crear una cuenta de usuario de Active Directory para utilizar con la opción
-usuariodemapa del comando ktpass. Además, debe tener el mismo nombre DNS de iDRAC en el cual carga el archivo
keytab generado.
Para generar un archivo keytab mediante la herramienta ktpass:
1. Ejecute la utilidad ktpass en la controladora de dominio (servidor de Active Directory) donde desee asignar el iDRAC a una
cuenta de usuario en Active Directory.
2. Utilice el comando ktpass siguiente para crear el archivo keytab de Kerberos:
C:\> ktpass.exe -princ HTTP/[e-mail] -mapuser
DOMAINNAME\username -mapop set -crypto AES256-SHA1 -ptype KRB5_NT_PRINCIPAL -pass
[password] -out c:\krbkeytab
El tipo de cifrado es AES256-SHA1. El tipo principal es KRB5_NT_PRINCIPAL. Las propiedades de la cuenta de usuario a
la que se asigna el nombre principal del servicio debe tener activada la propiedad Utilizar tipos de cifrado AES 256 para
esta cuenta.
NOTA:
Utilice letras minúsculas para el Nombre de iDRAC y el Nombre principal del servicio. Utilice letras
mayúsculas para el nombre del dominio, como se muestra en el ejemplo.
Se genera un nuevo archivo keytab.
NOTA:
Si encuentra algún problema con el usuario de iDRAC para el cual creó el archivo keytab, cree un nuevo
usuario y un nuevo archivo keytab. Si vuelve a ejecutar el mismo archivo keytab que creó inicialmente, no se configura
correctamente.
Configuración del inicio de sesión SSO de iDRAC para usuarios de
Active Directory mediante la interfaz web
Para configurar iDRAC para un inicio de sesión SSO de Active Directory:
Configuración de iDRAC para inicio de sesión único o inicio de sesión mediante tarjeta inteligente
181