IEEE 802.1X-godkendelsesprotokollen understøttes ikke i Windows Preinstall Environment (PE) 3.0

Introduktion

Windows PE (Preinstall Environment) 3.0 understøtter ikke IEEE 802.X-godkendelsesprotokollen. Derfor kan Windows PE 3.0-klienten ikke godkende en parameter, der er konfigureret til IEEE 802.X-godkendt netværksadgang.

Flere oplysninger

Når du har anvendt dette hotfix, understøtter Windows PE 3.0 IEEE 802.X-godkendelsesprotokollen.

Bemærk! 802.1X-godkendelse understøttes ikke, når du starter Windows PE fra følgende:

• Installation af Microsoft System Center Configuration Manager 2007-operativsystem

• Microsoft Deployment Toolkit

Føj opdateringen til Windows PE 3.0

Følgende instruktioner viser, hvordan du føjer følgende opdatering til Windows PE 3.0. Den dækker ikke nogen integration med System Center Configuration Manager eller med andre produkter.

972831 IEEE 802.1X-godkendelsesprotokollen understøttes ikke i Windows PE (Preinstall Environment) 3.0 Du skal have følgende filer og forudsætninger tilgængelige eller installeret:

• En teknikercomputer, der har AIK (Windows Automated Installation Kit) til Windows 7 installeret

• 394904_intl_i386_zip.exe eller 394905_intl_x64_zip.exe afhængigt af arkitekturen i din Windows PE-afbildning

• Følgende VBS-script og to XML-filer. De findes i afsnittet Scripteksempler:

  • StartDot3.VBS

  • USERDATA-EAP-TLS.xml

  • Wired-WinPE-EAP-TLS.xml

• Dit rodcertifikat, der er gemt som RootCert.cer

• Alle underordnede nøglecentercertifikater, der er gemt som SubCACert.cer

• Dit brugercertifikat pfx, gemt som Usercert.pfx

• X86- eller x64-versionerne af certutil.exe og certutil.exe.mui fra en Windows 7-baseret computer, afhængigt af arkitekturen i din Windows PE-afbildning

Bemærk Følgende eksempel opbygger en x86-version af Windows PE.

På en Windows 7-baseret, Windows Server 2008-baseret eller Windows Server 2008 R2-baseret computer skal du installere Windows 7 AIK.

1. Klik på Start på teknikercomputeren, peg på Alle programmer, peg på Windows AIK, højreklik på Kommandoprompt til installationsværktøjer, og klik derefter på Kør som administrator.
   
   Menugenvejen åbner et kommandolinjevindue og indstiller automatisk miljøvariabler til at pege på alle de nødvendige værktøjer. Som standard installeres alle værktøjer i mappen C:\Programmer\Windows AIK\Tools.

2. Kør scriptet Copype.cmd ved kommandoprompten. Scriptet kræver to argumenter: hardwarearkitektur og destinationsplacering.
   
   Kør f.eks. copype.cmd <arkitektur> <destinations->, hvor <arkitektur> kan være x86, amd64 eller ia64, og <destination> er stien til den lokale mappe.
   
   Kør f.eks. denne kommando:

   copype.cmd x86 c:\winpe_x86The script opretter følgende mappestruktur og kopierer alle de nødvendige filer til den pågældende arkitektur:

   \winpe_x86
   \winpe_x86\ISO
   \winpe_x86\mount

3. Kopiér den grundlæggende afbildning (Windows PE.wim) til mappen \Winpe_x86\ISO\sources, og omdøb filen til boot.wim.

   copy c:\winpe_x86\winpe.wim c:\winpe_x86\ISO\sources\boot.wim

4. Tilslut basis- Windows PE-afbildningen. I dette trin skal du tilslutte basisafbildningen til en lokal mappe, så du kan tilføje eller fjerne pakker.

   Dism /Mount-Wim /WimFile:C:\winpe_x86\ISO\sources\boot.wim /index:1 /MountDir:C:\winpe_x86\mount

5. Føj følgende pakker til afbildningen. Vær opmærksom på, at hver kommando skal være en enkelt linje, og at kommandoen ikke må ombrydes.
   
   Tilføj WINPE-WMI-pakke

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-wmi.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-wmi_en-us.cab" 

   Tilføj WINPE-Scripting pakke

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-scripting.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-scripting_en-us.cab" 

   Tilføj WINPE-HTA-pakke

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-hta.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-hta_en-us.cab"

6. Udpak indholdet af 394904_intl_i386_zip.exe-opdateringen til mappen c:\972831.
   

7. Føj opdateringen til 802.1X-understøttelse til afbildningen:

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"c:\972831\Windows6.1-KB972831-86.cab" 

8. Opret en mappe, der indeholder flere filer til understøttelse af 802.1X. Det gør du ved at køre følgende kommando:

   md C:\winpe_x86\mount\winpe

9. Kopiér certutil.exe og certutil.exe.mui fra en Windows 7-baseret computer til mappen c:\winpe_x86\mount\winpe. Disse filer kan findes i mappen %windir%\system32.
   
   Bemærk! Du skal kopiere den korrekte version af disse filer baseret på arkitekturen i din Windows PE-afbildning.

10. Rediger Wired-WinPE-EAP-TLS.xml-filen, og ret følgende linje for at angive certifikatet thumbprint/hash for rodnøglecenteret for det korrekte nøglecenter:

    <TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA> 

11. Kopiér forbindelsesprofilen til Windows PE-mappen ved hjælp af EAP-TLS:

    Copy Wired-WinPE-EAP-TLS.xml C:\winpe_x86\mount\winpe 

12. Rediger den USERDATA-EAP-TLS.xml fil, og rediger følgende linjer for Brugernavn og UserCert:

    <eapTls:Username>contoso\username</eapTls:Username>
    
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>

13. Kopiér forbindelsesprofilen til Windows PE-mappen ved hjælp af EAP-TLS:

    copy USERDATA-EAP-TLS.xml C:\winpe_x86\mount\winpe 

14. Kopiér rodcertifikatet og eventuelle underordnede nøglecentercertifikater til mappen c:\winpe_x86\mount\winpe.

15. Kopiér dit brugercertifikat pfx til mappen c:\winpe_x86\mount\winpe.

16. Rediger StartDot3.vbs fil, og rediger følgende linje:

    certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN 

    Bemærk! På denne linje skal du ændre ADGANGSKODE til den adgangskode, der blev tildelt certifikatet, da det blev eksporteret.

17. Kopiér StartDot3.Vbs til mappen c:\winpe_x86\mount\winpe.

18. Rediger startnet.cmd for at køre StartDot3.vbs automatisk:

    notepad C:\winpe_x86\mount\windows\system32\startnet.cmd

19. Tilføj .\winpe\StartDot3.vbs efter kommandoen wpeinit, og gem derefter filen startnet.cmd.

20. Fjern og foretag ændringer i . WIM:

    Dism /Unmount-Wim /MountDir:C:\winpe_x86\mount /Commit

21. Opret dit medie, der kan startes fra, ved hjælp af de trin, der er beskrevet i hjælpfilen Windows 7 AIK under følgende emner:

    • "Sådan oprettes en cd-rom, der kan startes fra"

    • "Sådan oprettes en UFD, der kan startes fra"

‘================================
‘StartDot3.VBS
‘================================
Dim WshShell
Set WshShell = CreateObject("WScript.Shell")

commandLine = "certutil -addstore Root \winpe\Rootcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil -addstore CA \winpe\SubCAcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "net start dot3svc"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan add profile filename=\winpe\Wired-WinPE-EAP-TLS.xml"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan set eapuserdata filename=\winpe\Wired-WinPE-UserData-EAP-TLS.xml allusers=yes interface=*"
Return  = WshShell.Run(commandLine, 0, true)

<?xml version="1.0"?>
<EapHostUserCredentials xmlns="http://www.microsoft.com/provisioning/EapHostUserCredentials" xmlns:eapCommon="http://www.microsoft.com/provisioning/EapCommon" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapMethodUserCredentials">
 <EapMethod>
  <eapCommon:Type>13</eapCommon:Type>
  <eapCommon:AuthorId>0</eapCommon:AuthorId>
 </EapMethod>
 <Credentials xmlns:eapUser="http://www.microsoft.com/provisioning/EapUserPropertiesV1" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapUserPropertiesV1" xmlns:eapTls="http://www.microsoft.com/provisioning/EapTlsUserPropertiesV1">
  <baseEap:Eap>
  <baseEap:Type>13</baseEap:Type>
   <eapTls:EapType>
    <eapTls:Username>contoso\username</eapTls:Username>
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>
   </eapTls:EapType>
  </baseEap:Eap>
 </Credentials>
</EapHostUserCredentials>

<?xml version="1.0"?>
<LANProfile xmlns="http://www.microsoft.com/networking/LAN/profile/v1">
 <MSM>
  <security>
   <OneXEnforced>false</OneXEnforced>
   <OneXEnabled>true</OneXEnabled>
   <OneX xmlns="http://www.microsoft.com/networking/OneX/v1">
    <authMode>user</authMode>
    <EAPConfig><EapHostConfig xmlns="http://www.microsoft.com/provisioning/EapHostConfig"><EapMethod>
<Type xmlns="http://www.microsoft.com/provisioning/EapCommon">13</Type>
<VendorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorId>
<VendorType xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorType>
<AuthorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</AuthorId>
</EapMethod>
<Config xmlns="http://www.microsoft.com/provisioning/EapHostConfig">
<Eap xmlns="http://www.microsoft.com/provisioning/BaseEapConnectionPropertiesV1"><Type>13</Type>
<EapType xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV1">
<CredentialsSource>
<CertificateStore>
<SimpleCertSelection>true</SimpleCertSelection>
</CertificateStore>
</CredentialsSource>
<ServerValidation>
<DisableUserPromptForServerValidation>false</DisableUserPromptForServerValidation>
<ServerNames></ServerNames>
<TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA>
</ServerValidation>
<DifferentUsername>false</DifferentUsername>
<PerformServerValidation xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">true</PerformServerValidation>
<AcceptServerName xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</AcceptServerName>
</EapType>
</Eap>
</Config>
</EapHostConfig>
</EAPConfig>
   </OneX>
  </security>
 </MSM>
</LANProfile>

Referencer

De tredjepartsprodukter, der omtales i denne artikel, er produceret af firmaer, som er uafhængige af Microsoft. Microsoft giver ingen garanti, hverken underforstået eller på anden måde, om disse produkters ydeevne eller pålidelighed.