27.1 Konfigurieren des Kerberos-Benutzerkontos in Active Directory

Konfigurieren Sie Active Directory für die Kerberos-Authentifizierung mit den Active Directory-Verwaltungstools. Sie müssen ein neues Active Directory-Benutzerkonto für die Identitätsanwendungen und die Identitätsberichterstellung erstellen. Der Namen des Benutzerkontos muss den DNS-Namen des Servers enthalten, auf dem die Identitätsanwendungen und die Identitätsberichterstellung gehostet werden.

HINWEIS:Geben Sie Domänen oder Bereiche in Großbuchstaben an. Beispiel: @MEINEFIRMA.COM.

  1. Erstellen Sie als Administrator in Active Directory mit der Microsoft Management Console (MMC) ein neues Benutzerkonto mit dem DNS-Namen des Servers, der die Identitätsanwendungen hostet.

    Wenn der DNS-Name des Identitätsanwendungsservers beispielsweise rbpm.meinefirma.de lautet, erstellen Sie den Benutzer anhand der folgenden Informationen:

    Vorname: rbpm

    Benutzeranmeldename: HTTP/rbpm.meinefirma.de

    Prä-Windows-Anmeldename: rbpm

    Passwort einstellen: Geben Sie das entsprechende Passwort an. Beispiel: Passw0rt.

    Kennwort läuft nie ab: Wählen Sie diese Option.

    Benutzer muss Kennwort bei der nächsten Anmeldung ändern: Belassen Sie diese Option deaktiviert.

  2. Weisen Sie den neuen Benutzer dem Dienstprinzipalnamen (SPN) zu.

    1. Öffnen Sie auf dem Active Directory-Server eine cmd-Shell.

    2. Geben Sie Folgendes in die Befehlszeile ein:

      setspn -A HTTP/DNS_Identity_Applications_server@WINDOWS-DOMAIN userID

      Beispiel: 

      setspn -A HTTP/rbpm.mycompany.com@MYCOMPANY.COM rbpm

    3. Überprüfen Sie „setspn“. Geben Sie hierzu setspn -L Benutzer-ID ein.

  3. So generieren Sie die keytab-Datei mit dem ktpass-Dienstprogramm:

    1. Geben Sie Folgendes in die Befehlszeile ein:

      ktpass /out filename.keytab /princ servicePrincipalName /mapuser userPrincipalName /mapop set /pass password /crypto ALL /ptype KRB5_NT_PRINCIPAL

      Beispiel: 

                        ktpass /out rbpm.keytab /princ HTTP/rbpm.mycompany.com@MYCOMPANY.COM /mapuser rbpm  /mapop set /pass Passw0rd /crypto All /ptype KRB5_NT_PRINCIPAL

      WICHTIG:Geben Sie Domänen oder Bereiche in Großbuchstaben an. Beispiel: @MEINEFIRMA.COM.

    2. Kopieren Sie die Datei rbpm.keytab zum Identitätsanwendungsserver.

  4. Erstellen Sie als Administrator in Active Directory über die MMC ein Endbenutzerkonto als Vorbereitung für SSO.

    Der Name des Endbenutzerkontos muss mit einem Attributwert eines eDirectory-Benutzers übereinstimmen, damit das Single Sign-On unterstützt werden kann. Erstellen Sie den Benutzer mit einem Namen wie cnano, notieren Sie das Passwort, und deaktivieren Sie die Option Benutzer muss Kennwort bei der nächsten Anmeldung ändern.

  5. (Optional) Wiederholen Sie diese Schritte für die Identitätsberichterstellung, wenn Sie die Berichterstellungskomponente auf einem separaten Server installiert haben.

  6. Konfigurieren Sie den Server für die Identitätsanwendungen, um die Kerberos-Konfiguration zu akzeptieren. Weitere Informationen finden Sie unter Abschnitt 27.2, Konfigurieren des Identitätsanwendungsservers.