Das IEEE 802.1X-Authentifizierungsprotokoll wird in Windows Preinstall Environment (PE) 3.0 nicht unterstützt.

Einführung

Windows Preinstall Environment (PE) 3.0 unterstützt das IEEE 802.X-Authentifizierungsprotokoll nicht. Daher kann der Windows PE 3.0-Client keinen Switch authentifizieren, der für den authentifizierten IEEE 802.X-Netzwerkzugriff konfiguriert ist.

Weitere Informationen

Nachdem Sie diesen Hotfix angewendet haben, unterstützt Windows PE 3.0 das IEEE 802.X-Authentifizierungsprotokoll.

Beachten Sie, dass die 802.1X-Authentifizierung nicht unterstützt wird, wenn Sie Windows PE wie folgt starten:

• Microsoft System Center Configuration Manager 2007 Betriebssystembereitstellung

• Microsoft Deployment Toolkit

Hinzufügen des Updates zu Windows PE 3.0

Die folgenden Anweisungen zeigen, wie Sie das folgende Update zu Windows PE 3.0 hinzufügen. Sie deckt keine Integration mit System Center Configuration Manager oder anderen Produkten ab.

972831 Das IEEE 802.1X-Authentifizierungsprotokoll wird in Windows Preinstall Environment (PE) 3.0 nicht unterstützt. Die folgenden Dateien und Voraussetzungen müssen verfügbar oder installiert sein:

• Ein Technikercomputer, auf dem das Windows Automated Installation Kit (AIK) für Windows 7 installiert ist

• je nach Architektur Ihres Windows PE-Images 394904_intl_i386_zip.exe oder 394905_intl_x64_zip.exe

• Das folgende VBS-Skript und zwei XML-Dateien. Sie befinden sich im Abschnitt "Skriptbeispiele":

  • StartDot3.VBS

  • USERDATA-EAP-TLS.xml

  • Wired-WinPE-EAP-TLS.xml

• Ihr Stammzertifikat, gespeichert als RootCert.cer

• Alle untergeordneten Zertifizierungsstellenzertifikate, gespeichert als SubCACert.cer

• Ihr Benutzerzertifikat pfx, gespeichert als Usercert.pfx

• Die x86- oder x64-Versionen von certutil.exe und certutil.exe.mui von einem Windows 7-basierten Computer, je nach Architektur Ihres Windows PE-Images

HinweisDas folgende Beispiel erstellt eine x86-Version von Windows PE.

Installieren Sie auf einem Windows 7-basierten, Windows Server 2008-basierten oder Windows Server 2008 R2-basierten Computer die Windows 7 AIK.

1. Klicken Sie auf Ihrem Technikercomputer auf "Start", zeigen Sie auf "Alle Programme", zeigen Sie auf Windows AIK, klicken Sie mit der rechten Maustaste auf die Eingabeaufforderung "Bereitstellungstools", und klicken Sie dann auf "Als Administrator ausführen".
   
   Die Menüverknüpfung öffnet ein Eingabeaufforderungsfenster und legt Umgebungsvariablen automatisch so fest, dass sie auf alle erforderlichen Tools verweisen. Standardmäßig werden alle Tools im Ordner "C:\Program Files\Windows AIK\Tools" installiert.

2. Führen Sie an der Eingabeaufforderung das Skript "Copype.cmd" aus. Das Skript erfordert zwei Argumente: Hardwarearchitektur und Zielspeicherort.
   
   Führen Sie beispielsweise "copype.cmd" <Architektur> <Ziel> aus, wobei <Architektur> x86, amd64 oder ia64 sein kann und <Ziel> der Pfad des lokalen Verzeichnisses ist.
   
   Führen Sie z. B. folgenden Befehl aus:

   Copype.cmd x86 c:\winpe_x86The-Skript erstellt die folgende Verzeichnisstruktur und kopiert alle erforderlichen Dateien für diese Architektur:

   \winpe_x86
   \winpe_x86\ISO
   \winpe_x86\mount

3. Kopieren Sie das Basisimage (Windows PE.wim) in den Ordner "\Winpe_x86\ISO\sources", und benennen Sie die Datei in "boot.wim" um.

   copy c:\winpe_x86\winpe.wim c:\winpe_x86\ISO\sources\boot.wim

4. Mount the base Windows PE image. In diesem Schritt stellen Sie das Basisimage in einem lokalen Verzeichnis bereit, sodass Sie Pakete hinzufügen oder entfernen können.

   Dism /Mount-Wim /WimFile:C:\winpe_x86\ISO\sources\boot.wim /index:1 /MountDir:C:\winpe_x86\mount

5. Fügen Sie dem Bild die folgenden Pakete hinzu. Beachten Sie, dass jeder Befehl eine einzelne Zeile sein sollte und der Befehl nicht umbrochen werden darf.
   
   Hinzufügen eines WINPE-WMI-Pakets

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-wmi.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-wmi_en-us.cab" 

   Hinzufügen WINPE-Scripting Pakets

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-scripting.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-scripting_en-us.cab" 

   Hinzufügen eines WINPE-HTA-Pakets

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-hta.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-hta_en-us.cab"

6. Extrahieren Sie den Inhalt der 394904_intl_i386_zip.exe Aktualisierung in den Ordner "c:\972831".
   

7. Fügen Sie dem Image das Update für 802.1X-Unterstützung hinzu:

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"c:\972831\Windows6.1-KB972831-86.cab" 

8. Erstellen Sie einen Ordner, der zusätzliche Dateien für die Unterstützung von 802.1X enthält. Führen Sie dazu den folgenden Befehl aus:

   md C:\winpe_x86\mount\winpe

9. Kopieren Sie certutil.exe und certutil.exe.mui von einem Windows 7-basierten Computer in den Ordner "c:\winpe_x86\mount\winpe". Diese Dateien finden Sie im Ordner "%windir%\system32".
   
   Hinweis: Sie müssen die richtige Version dieser Dateien basierend auf der Architektur Ihres Windows PE-Images kopieren.

10. Bearbeiten Sie die Wired-WinPE-EAP-TLS.xml Datei, und ändern Sie die folgende Zeile, um den Fingerabdruck/Hash des Stammzertifizierungsstellenzertifikats für die richtige Zertifizierungsstelle einzugeben:

    <TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA> 

11. Kopieren Sie Ihr Verbindungsprofil mithilfe von EAP-TLS in das Windows PE-Verzeichnis:

    Copy Wired-WinPE-EAP-TLS.xml C:\winpe_x86\mount\winpe 

12. Bearbeiten Sie die USERDATA-EAP-TLS.xml Datei, und ändern Sie die folgenden Zeilen für Benutzername und UserCert:

    <eapTls:Username>contoso\username</eapTls:Username>
    
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>

13. Kopieren Sie Ihr Verbindungsprofil mithilfe von EAP-TLS in das Windows PE-Verzeichnis:

    copy USERDATA-EAP-TLS.xml C:\winpe_x86\mount\winpe 

14. Kopieren Sie Ihr Stammzertifikat und alle untergeordneten Zertifizierungsstellenzertifikate in den Ordner "c:\winpe_x86\mount\winpe".

15. Kopieren Sie ihr Benutzerzertifikat pfx in den Ordner "c:\winpe_x86\mount\winpe".

16. Bearbeiten Sie StartDot3.vbs Datei, und ändern Sie die folgende Zeile:

    certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN 

    Hinweis In dieser Zeile müssen Sie PASSWORD in das Kennwort ändern, das dem Zertifikat beim Export zugewiesen wurde.

17. Kopieren Sie StartDot3.Vbs in den Ordner "c:\winpe_x86\mount\winpe".

18. Bearbeiten Sie "startnet.cmd", um StartDot3.vbs automatisch auszuführen:

    notepad C:\winpe_x86\mount\windows\system32\startnet.cmd

19. Fügen Sie \winpe\StartDot3.vbs nach dem Befehl "wpeinit" hinzu, und speichern Sie dann die Datei "startnet.cmd".

20. Heben Sie die Bereitstellung auf, und übernehmen Sie Änderungen am . WIM:

    Dism /Unmount-Wim /MountDir:C:\winpe_x86\mount /Commit

21. Erstellen Sie Ihre startbaren Medien mithilfe der Schritte, die in der AIK-Hilfedatei Windows 7 unter den folgenden Themen beschrieben sind:

    • "So erstellen Sie eine startbare CD-ROM"

    • "So erstellen Sie eine startbare UFD"

‘================================
‘StartDot3.VBS
‘================================
Dim WshShell
Set WshShell = CreateObject("WScript.Shell")

commandLine = "certutil -addstore Root \winpe\Rootcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil -addstore CA \winpe\SubCAcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "net start dot3svc"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan add profile filename=\winpe\Wired-WinPE-EAP-TLS.xml"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan set eapuserdata filename=\winpe\Wired-WinPE-UserData-EAP-TLS.xml allusers=yes interface=*"
Return  = WshShell.Run(commandLine, 0, true)

<?xml version="1.0"?>
<EapHostUserCredentials xmlns="http://www.microsoft.com/provisioning/EapHostUserCredentials" xmlns:eapCommon="http://www.microsoft.com/provisioning/EapCommon" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapMethodUserCredentials">
 <EapMethod>
  <eapCommon:Type>13</eapCommon:Type>
  <eapCommon:AuthorId>0</eapCommon:AuthorId>
 </EapMethod>
 <Credentials xmlns:eapUser="http://www.microsoft.com/provisioning/EapUserPropertiesV1" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapUserPropertiesV1" xmlns:eapTls="http://www.microsoft.com/provisioning/EapTlsUserPropertiesV1">
  <baseEap:Eap>
  <baseEap:Type>13</baseEap:Type>
   <eapTls:EapType>
    <eapTls:Username>contoso\username</eapTls:Username>
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>
   </eapTls:EapType>
  </baseEap:Eap>
 </Credentials>
</EapHostUserCredentials>

<?xml version="1.0"?>
<LANProfile xmlns="http://www.microsoft.com/networking/LAN/profile/v1">
 <MSM>
  <security>
   <OneXEnforced>false</OneXEnforced>
   <OneXEnabled>true</OneXEnabled>
   <OneX xmlns="http://www.microsoft.com/networking/OneX/v1">
    <authMode>user</authMode>
    <EAPConfig><EapHostConfig xmlns="http://www.microsoft.com/provisioning/EapHostConfig"><EapMethod>
<Type xmlns="http://www.microsoft.com/provisioning/EapCommon">13</Type>
<VendorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorId>
<VendorType xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorType>
<AuthorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</AuthorId>
</EapMethod>
<Config xmlns="http://www.microsoft.com/provisioning/EapHostConfig">
<Eap xmlns="http://www.microsoft.com/provisioning/BaseEapConnectionPropertiesV1"><Type>13</Type>
<EapType xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV1">
<CredentialsSource>
<CertificateStore>
<SimpleCertSelection>true</SimpleCertSelection>
</CertificateStore>
</CredentialsSource>
<ServerValidation>
<DisableUserPromptForServerValidation>false</DisableUserPromptForServerValidation>
<ServerNames></ServerNames>
<TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA>
</ServerValidation>
<DifferentUsername>false</DifferentUsername>
<PerformServerValidation xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">true</PerformServerValidation>
<AcceptServerName xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</AcceptServerName>
</EapType>
</Eap>
</Config>
</EapHostConfig>
</EAPConfig>
   </OneX>
  </security>
 </MSM>
</LANProfile>

Informationsquellen

Die in diesem Artikel genannten Drittanbieterprodukte stammen von Herstellern, die von Microsoft unabhängig sind. Microsoft schließt jede konkludente oder sonstige Gewährleistung bezüglich der Leistung oder Zuverlässigkeit dieser Produkte aus.