IEEE 802.1X 認証プロトコルは、Windows プレインストール環境 (PE) 3.0 ではサポートされていません

はじめに

Windows プレインストール環境 (PE) 3.0 では、IEEE 802.X 認証プロトコルはサポートされていません。 したがって、Windows PE 3.0 クライアントは、IEEE 802.X 認証ネットワーク アクセス用に構成されたスイッチを認証できません。

詳細情報

この修正プログラムを適用すると、WINDOWS PE 3.0 は IEEE 802.X 認証プロトコルをサポートします。

注: 802.1X 認証は、次のWindows PE を開始する場合はサポートされません。

• Microsoft System Center Configuration Manager 2007 オペレーティング システムの展開

• Microsoft Deployment Toolkit

WINDOWS PE 3.0 に更新プログラムを追加する

次の手順では、次の更新プログラムを Windows PE 3.0 に追加する方法を示します。 System Center Configuration Managerや他の製品との統合については説明しません。

972831 IEEE 802.1X 認証プロトコルは、Windows プレインストール環境 (PE) 3.0 ではサポートされていません。次のファイルと前提条件を使用またはインストールする必要があります。

• Windows 7 用のWindows自動インストール キット (AIK) がインストールされている技術者用コンピューター

• Windows PE イメージのアーキテクチャに応じて、394904_intl_i386_zip.exeまたは394905_intl_x64_zip.exe

• 次の VBS スクリプトと 2 つの XML ファイル。 これらは、[ スクリプト サンプル] セクションにあります。

  • StartDot3.VBS

  • USERDATA-EAP-TLS.xml

  • Wired-WinPE-EAP-TLS.xml

• RootCert.cer として保存されたルート証明書

• SubCACert.cer として保存された下位 CA 証明書

• Usercert.pfx として保存されたユーザー証明書 pfx

• Windows PE イメージのアーキテクチャに応じて、Windows 7 ベースのコンピューターからの x86 または x64 バージョンのcertutil.exeとcertutil.exe.mui

注:次の例では、Windows PE の x86 バージョンをビルドします。

Windows 7 ベース、Windows Server 2008 ベース、またはサーバー 2008 R2 ベースのコンピューター Windows、Windows 7 AIK をインストールします。

1. 技術者コンピューターで、[スタート] をクリックし、[すべてのプログラム] をポイントし、[Windows AIK] をポイントし、[展開ツール] コマンド プロンプトを右クリックして、[管理者として実行] をクリックします。
   
   メニュー ショートカットでコマンド プロンプト ウィンドウが開き、必要なすべてのツールを指すように環境変数が自動的に設定されます。 既定では、すべてのツールは C:\Program Files\Windows AIK\Tools フォルダーにインストールされます。

2. コマンド プロンプトで、Copype.cmd スクリプトを実行します。 このスクリプトには、ハードウェア アーキテクチャと宛先の場所という 2 つの引数が必要です。
   
   たとえば、copype.cmd <アーキテクチャ> <宛先>を実行します。ここで、<アーキテクチャ>は x86、amd64、または ia64 であり、 <宛先>はローカル ディレクトリのパスです。
   
   たとえば、次のコマンドを実行します。

   copype.cmd x86 c:\winpe_x86The スクリプトは、次のディレクトリ構造を作成し、そのアーキテクチャに必要なすべてのファイルをコピーします。

   \winpe_x86
   \winpe_x86\ISO
   \winpe_x86\mount

3. ベース イメージ (WINDOWS PE.wim) を \Winpe_x86\ISO\sources フォルダーにコピーし、ファイルの名前を boot.wim に変更します。

   copy c:\winpe_x86\winpe.wim c:\winpe_x86\ISO\sources\boot.wim

4. ベース Windows PE イメージをマウントします。 この手順では、パッケージを追加または削除できるように、基本イメージをローカル ディレクトリにマウントします。

   Dism /Mount-Wim /WimFile:C:\winpe_x86\ISO\sources\boot.wim /index:1 /MountDir:C:\winpe_x86\mount

5. 次のパッケージをイメージに追加します。 各コマンドは 1 行にする必要があり、コマンドはラップしてはならないことに注意してください。
   
   WINPE-WMI パッケージを追加する

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-wmi.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-wmi_en-us.cab" 

   WINPE-Scripting パッケージを追加する

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-scripting.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-scripting_en-us.cab" 

   WINPE-HTA パッケージを追加する

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-hta.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-hta_en-us.cab"

6. 394904_intl_i386_zip.exe更新プログラムの内容を c:\972831 フォルダーに展開します。
   

7. 802.1X サポートの更新プログラムをイメージに追加します。

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"c:\972831\Windows6.1-KB972831-86.cab" 

8. 802.1X サポート用の追加ファイルを含むフォルダーを作成します。 これを行うには、次のコマンドを実行します。

   md C:\winpe_x86\mount\winpe

9. Windows 7 ベースのコンピューターから c:\winpe_x86\mount\winpe フォルダーにcertutil.exeとcertutil.exe.mui をコピーします。 これらのファイルは、%windir%\system32 フォルダーにあります。
   
   注: Windows PE イメージのアーキテクチャに基づいて、これらのファイルの正しいバージョンをコピーする必要があります。

10. Wired-WinPE-EAP-TLS.xml ファイルを編集し、次の行を変更して、正しい証明機関のルート CA 証明書拇印/ハッシュを入力します。

    <TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA> 

11. EAP-TLS を使用して、接続プロファイルを Windows PE ディレクトリにコピーします。

    Copy Wired-WinPE-EAP-TLS.xml C:\winpe_x86\mount\winpe 

12. USERDATA-EAP-TLS.xml ファイルを編集し、ユーザー名と UserCert の次の行を変更します。

    <eapTls:Username>contoso\username</eapTls:Username>
    
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>

13. EAP-TLS を使用して、接続プロファイルを Windows PE ディレクトリにコピーします。

    copy USERDATA-EAP-TLS.xml C:\winpe_x86\mount\winpe 

14. ルート証明書と下位 CA 証明書を c:\winpe_x86\mount\winpe フォルダーにコピーします。

15. ユーザー証明書 pfx を c:\winpe_x86\mount\winpe フォルダーにコピーします。

16. StartDot3.vbsファイルを編集し、次の行を変更します。

    certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN 

    注: この行では、PASSWORD を、エクスポート時に証明書に割り当てられたパスワードに変更する必要があります。

17. StartDot3.Vbsを c:\winpe_x86\mount\winpe フォルダーにコピーします。

18. startnet.cmd を編集してStartDot3.vbs自動的に実行します。

    notepad C:\winpe_x86\mount\windows\system32\startnet.cmd

19. wpeinit コマンドの後に .\winpe\StartDot3.vbsを追加し、startnet.cmd ファイルを保存します。

20. に対する変更をマウント解除してコミットします。WIM：

    Dism /Unmount-Wim /MountDir:C:\winpe_x86\mount /Commit

21. 次のトピックのWindows 7 AIK ヘルプ ファイルで説明されている手順を使用して、起動可能なメディアを作成します。

    • "起動可能な CD-ROM を作成するには"

    • "起動可能な UFD を作成するには"

‘================================
‘StartDot3.VBS
‘================================
Dim WshShell
Set WshShell = CreateObject("WScript.Shell")

commandLine = "certutil -addstore Root \winpe\Rootcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil -addstore CA \winpe\SubCAcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "net start dot3svc"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan add profile filename=\winpe\Wired-WinPE-EAP-TLS.xml"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan set eapuserdata filename=\winpe\Wired-WinPE-UserData-EAP-TLS.xml allusers=yes interface=*"
Return  = WshShell.Run(commandLine, 0, true)

<?xml version="1.0"?>
<EapHostUserCredentials xmlns="http://www.microsoft.com/provisioning/EapHostUserCredentials" xmlns:eapCommon="http://www.microsoft.com/provisioning/EapCommon" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapMethodUserCredentials">
 <EapMethod>
  <eapCommon:Type>13</eapCommon:Type>
  <eapCommon:AuthorId>0</eapCommon:AuthorId>
 </EapMethod>
 <Credentials xmlns:eapUser="http://www.microsoft.com/provisioning/EapUserPropertiesV1" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapUserPropertiesV1" xmlns:eapTls="http://www.microsoft.com/provisioning/EapTlsUserPropertiesV1">
  <baseEap:Eap>
  <baseEap:Type>13</baseEap:Type>
   <eapTls:EapType>
    <eapTls:Username>contoso\username</eapTls:Username>
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>
   </eapTls:EapType>
  </baseEap:Eap>
 </Credentials>
</EapHostUserCredentials>

<?xml version="1.0"?>
<LANProfile xmlns="http://www.microsoft.com/networking/LAN/profile/v1">
 <MSM>
  <security>
   <OneXEnforced>false</OneXEnforced>
   <OneXEnabled>true</OneXEnabled>
   <OneX xmlns="http://www.microsoft.com/networking/OneX/v1">
    <authMode>user</authMode>
    <EAPConfig><EapHostConfig xmlns="http://www.microsoft.com/provisioning/EapHostConfig"><EapMethod>
<Type xmlns="http://www.microsoft.com/provisioning/EapCommon">13</Type>
<VendorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorId>
<VendorType xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorType>
<AuthorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</AuthorId>
</EapMethod>
<Config xmlns="http://www.microsoft.com/provisioning/EapHostConfig">
<Eap xmlns="http://www.microsoft.com/provisioning/BaseEapConnectionPropertiesV1"><Type>13</Type>
<EapType xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV1">
<CredentialsSource>
<CertificateStore>
<SimpleCertSelection>true</SimpleCertSelection>
</CertificateStore>
</CredentialsSource>
<ServerValidation>
<DisableUserPromptForServerValidation>false</DisableUserPromptForServerValidation>
<ServerNames></ServerNames>
<TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA>
</ServerValidation>
<DifferentUsername>false</DifferentUsername>
<PerformServerValidation xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">true</PerformServerValidation>
<AcceptServerName xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</AcceptServerName>
</EapType>
</Eap>
</Config>
</EapHostConfig>
</EAPConfig>
   </OneX>
  </security>
 </MSM>
</LANProfile>

参考資料

この資料に記載されているサードパーティ製品は、マイクロソフトと関連のない他社の製品です。 明示的か黙示的かにかかわらず、これらの製品のパフォーマンスや信頼性についてマイクロソフトはいかなる責任も負わないものとします。