Le protocole d’authentification IEEE 802.1X n’est pas pris en charge dans Windows Environnement de préinstallation (PE) 3.0

Introduction

Windows Environnement de préinstallation (PE) 3.0 ne prend pas en charge le protocole d’authentification IEEE 802.X. Par conséquent, le client Windows PE 3.0 ne peut pas authentifier un commutateur configuré pour l’accès réseau authentifié IEEE 802.X.

Informations supplémentaires

Après avoir appliqué ce correctif logiciel, Windows PE 3.0 prend en charge le protocole d’authentification IEEE 802.X.

Notez que l’authentification 802.1X n’est pas prise en charge lorsque vous démarrez Windows PE à partir des éléments suivants :

• Déploiement du système d’exploitation Microsoft System Center Configuration Manager 2007

• Microsoft Deployment Toolkit

Ajouter la mise à jour à Windows PE 3.0

Les instructions suivantes montrent comment ajouter la mise à jour suivante à Windows PE 3.0. Il ne couvre aucune intégration à System Center Configuration Manager ou à d’autres produits.

972831 Le protocole d’authentification IEEE 802.1X n’est pas pris en charge dans Windows Environnement de préinstallation (PE) 3.0 Vous devez disposer des fichiers et prérequis suivants disponibles ou installés :

• Un ordinateur technicien sur lequel est installé le Kit d'installation automatisée (Windows AIK) (AIK) pour Windows 7

• 394904_intl_i386_zip.exe ou 394905_intl_x64_zip.exe, selon l’architecture de votre image PE Windows

• Le script VBS suivant et deux fichiers XML. Ils se trouvent dans la section Exemples de script :

  • StartDot3.VBS

  • USERDATA-EAP-TLS.xml

  • Wired-WinPE-EAP-TLS.xml

• Votre certificat racine, enregistré en tant que RootCert.cer

• Tous les certificats d’autorité de certification subordonnés, enregistrés en tant que SubCACert.cer

• Votre certificat d’utilisateur pfx, enregistré en tant que Usercert.pfx

• Les versions x86 ou x64 de certutil.exe et certutil.exe.mui à partir d’un ordinateur Windows 7, selon l’architecture de votre image PE Windows

RemarqueL’exemple suivant génère une version x86 de Windows PE.

Sur un ordinateur Windows basé sur 7 Windows Server 2008 ou Windows Server 2008 R2, installez le Windows 7 AIK.

1. Sur votre ordinateur technicien, cliquez sur Démarrer, pointez sur Tous les programmes, pointez sur Windows AIK, cliquez avec le bouton droit sur l’invite de commandes Outils de déploiement, puis cliquez sur Exécuter en tant qu’administrateur.
   
   Le raccourci de menu ouvre une fenêtre d’invite de commandes et définit automatiquement les variables d’environnement pour qu’elles pointent vers tous les outils nécessaires. Par défaut, tous les outils sont installés dans le dossier C:\Program Files\Windows AIK\Tools.

2. À l’invite de commandes, exécutez le script Copype.cmd. Le script requiert deux arguments : l’architecture matérielle et l’emplacement de destination.
   
   Par exemple, exécutez l’architecture copype.cmd <> <> de destination , où <architecture> peut être x86, amd64 ou ia64, et <> de destination est le chemin d’accès du répertoire local.
   
   Par exemple, exécutez cette commande :

   Le script copype.cmd x86 c:\winpe_x86The crée la structure de répertoires suivante et copie tous les fichiers nécessaires pour cette architecture :

   \winpe_x86
   \winpe_x86\ISO
   \winpe_x86\mount

3. Copiez l’image de base (Windows PE.wim) dans le dossier \Winpe_x86\ISO\sources, puis renommez le fichier en boot.wim.

   copy c:\winpe_x86\winpe.wim c:\winpe_x86\ISO\sources\boot.wim

4. Montez l’image de base Windows PE. Dans cette étape, vous montez l’image de base dans un répertoire local afin de pouvoir ajouter ou supprimer des packages.

   Dism /Mount-Wim /WimFile:C:\winpe_x86\ISO\sources\boot.wim /index:1 /MountDir:C:\winpe_x86\mount

5. Ajoutez les packages suivants à l’image. N’oubliez pas que chaque commande doit être une ligne unique et que la commande ne doit pas être encapsulante.
   
   Ajouter un package WINPE-WMI

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-wmi.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-wmi_en-us.cab" 

   Ajouter WINPE-Scripting package

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-scripting.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-scripting_en-us.cab" 

   Ajouter un package WINPE-HTA

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-hta.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-hta_en-us.cab"

6. Extrayez le contenu de la mise à jour 394904_intl_i386_zip.exe vers le dossier c:\972831.
   

7. Ajoutez la mise à jour pour la prise en charge de 802.1X à l’image :

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"c:\972831\Windows6.1-KB972831-86.cab" 

8. Créez un dossier pour contenir des fichiers supplémentaires pour la prise en charge de 802.1X. Pour ce faire, exécutez la commande suivante :

   md C:\winpe_x86\mount\winpe

9. Copiez certutil.exe et certutil.exe.mui à partir d’un ordinateur Windows 7 dans le dossier c:\winpe_x86\mount\winpe. Ces fichiers se trouvent dans le dossier %windir%\system32.
   
   Notez que vous devez copier la version correcte de ces fichiers, en fonction de l’architecture de votre image Windows PE.

10. Modifiez le fichier Wired-WinPE-EAP-TLS.xml et modifiez la ligne suivante pour entrer l’empreinte/le hachage du certificat d’autorité de certification racine pour l’autorité de certification appropriée :

    <TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA> 

11. Copiez votre profil de connexion dans le répertoire Windows PE à l’aide d’EAP-TLS :

    Copy Wired-WinPE-EAP-TLS.xml C:\winpe_x86\mount\winpe 

12. Modifiez le fichier USERDATA-EAP-TLS.xml et modifiez les lignes suivantes pour Username et UserCert :

    <eapTls:Username>contoso\username</eapTls:Username>
    
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>

13. Copiez votre profil de connexion dans le répertoire Windows PE à l’aide d’EAP-TLS :

    copy USERDATA-EAP-TLS.xml C:\winpe_x86\mount\winpe 

14. Copiez votre certificat racine et tous les certificats d’autorité de certification subordonnés dans le dossier c:\winpe_x86\mount\winpe.

15. Copiez votre pfx de certificat utilisateur dans le dossier c:\winpe_x86\mount\winpe.

16. Modifiez StartDot3.vbs fichier et modifiez la ligne suivante :

    certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN 

    Remarque Dans cette ligne, vous devez remplacer PASSWORD par le mot de passe qui a été affecté au certificat lors de son exportation.

17. Copiez StartDot3.Vbs dans le dossier c:\winpe_x86\mount\winpe.

18. Modifiez startnet.cmd pour exécuter StartDot3.vbs automatiquement :

    notepad C:\winpe_x86\mount\windows\system32\startnet.cmd

19. Ajoutez .\winpe\StartDot3.vbs après la commande wpeinit, puis enregistrez le fichier startnet.cmd.

20. Démonter et valider les modifications apportées au . WIM:

    Dism /Unmount-Wim /MountDir:C:\winpe_x86\mount /Commit

21. Créez votre média de démarrage en suivant les étapes décrites dans le fichier d’aide AIK Windows 7 sous les rubriques suivantes :

    • « Pour créer un CD-ROM démarrable »

    • « Pour créer un UFD démarrable »

‘================================
‘StartDot3.VBS
‘================================
Dim WshShell
Set WshShell = CreateObject("WScript.Shell")

commandLine = "certutil -addstore Root \winpe\Rootcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil -addstore CA \winpe\SubCAcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "net start dot3svc"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan add profile filename=\winpe\Wired-WinPE-EAP-TLS.xml"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan set eapuserdata filename=\winpe\Wired-WinPE-UserData-EAP-TLS.xml allusers=yes interface=*"
Return  = WshShell.Run(commandLine, 0, true)

<?xml version="1.0"?>
<EapHostUserCredentials xmlns="http://www.microsoft.com/provisioning/EapHostUserCredentials" xmlns:eapCommon="http://www.microsoft.com/provisioning/EapCommon" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapMethodUserCredentials">
 <EapMethod>
  <eapCommon:Type>13</eapCommon:Type>
  <eapCommon:AuthorId>0</eapCommon:AuthorId>
 </EapMethod>
 <Credentials xmlns:eapUser="http://www.microsoft.com/provisioning/EapUserPropertiesV1" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapUserPropertiesV1" xmlns:eapTls="http://www.microsoft.com/provisioning/EapTlsUserPropertiesV1">
  <baseEap:Eap>
  <baseEap:Type>13</baseEap:Type>
   <eapTls:EapType>
    <eapTls:Username>contoso\username</eapTls:Username>
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>
   </eapTls:EapType>
  </baseEap:Eap>
 </Credentials>
</EapHostUserCredentials>

<?xml version="1.0"?>
<LANProfile xmlns="http://www.microsoft.com/networking/LAN/profile/v1">
 <MSM>
  <security>
   <OneXEnforced>false</OneXEnforced>
   <OneXEnabled>true</OneXEnabled>
   <OneX xmlns="http://www.microsoft.com/networking/OneX/v1">
    <authMode>user</authMode>
    <EAPConfig><EapHostConfig xmlns="http://www.microsoft.com/provisioning/EapHostConfig"><EapMethod>
<Type xmlns="http://www.microsoft.com/provisioning/EapCommon">13</Type>
<VendorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorId>
<VendorType xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorType>
<AuthorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</AuthorId>
</EapMethod>
<Config xmlns="http://www.microsoft.com/provisioning/EapHostConfig">
<Eap xmlns="http://www.microsoft.com/provisioning/BaseEapConnectionPropertiesV1"><Type>13</Type>
<EapType xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV1">
<CredentialsSource>
<CertificateStore>
<SimpleCertSelection>true</SimpleCertSelection>
</CertificateStore>
</CredentialsSource>
<ServerValidation>
<DisableUserPromptForServerValidation>false</DisableUserPromptForServerValidation>
<ServerNames></ServerNames>
<TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA>
</ServerValidation>
<DifferentUsername>false</DifferentUsername>
<PerformServerValidation xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">true</PerformServerValidation>
<AcceptServerName xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</AcceptServerName>
</EapType>
</Eap>
</Config>
</EapHostConfig>
</EAPConfig>
   </OneX>
  </security>
 </MSM>
</LANProfile>

Références

Les produits tiers mentionnés dans le présent article proviennent de sociétés indépendantes de Microsoft. Microsoft exclut toute garantie, implicite ou autre, concernant les performances ou la fiabilité de ces produits.