Il protocollo di autenticazione IEEE 802.1X non è supportato in Windows Preinstall Environment (PE) 3.0

Introduzione

Windows Preinstall Environment (PE) 3.0 non supporta il protocollo di autenticazione IEEE 802.X. Di conseguenza, il client Windows PE 3.0 non può autenticare un'opzione configurata per l'accesso di rete autenticato di IEEE 802.X.

Ulteriori informazioni

Dopo aver applicato questo hotfix, Windows PE 3.0 supporta il protocollo di autenticazione IEEE 802.X.

Nota: l'autenticazione 802.1X non è supportata quando si avvia Windows PE da quanto segue:

• Distribuzione del sistema operativo Microsoft System Center Configuration Manager 2007

• Toolkit di distribuzione Microsoft

Aggiungere l'aggiornamento a Windows PE 3.0

Le istruzioni seguenti mostrano come aggiungere l'aggiornamento seguente a Windows PE 3.0. Non copre alcuna integrazione con System Center Configuration Manager o con altri prodotti.

972831 Il protocollo di autenticazione IEEE 802.1X non è supportato in Windows Preinstall Environment (PE) 3.0 Sono necessari i file e i prerequisiti seguenti:

• Un computer tecnico in cui è installato Windows Automated Installation Kit (AIK) per Windows 7

• 394904_intl_i386_zip.exe o 394905_intl_x64_zip.exe, a seconda dell'architettura dell'immagine pe Windows

• Lo script VBS seguente e due file XML. Si trovano nella sezione Esempi di script:

  • StartDot3.VBS

  • USERDATA-EAP-TLS.xml

  • Wired-WinPE-EAP-TLS.xml

• Il certificato radice, salvato come RootCert.cer

• Eventuali certificati CA subordinati, salvati come SubCACert.cer

• Il tuo certificato utente pfx, salvato come Usercert.pfx

• Le versioni x86 o x64 di certutil.exe e certutil.exe.mui da un computer basato su Windows 7, a seconda dell'architettura dell'immagine di Windows PE

NotaL'esempio seguente crea una versione x86 di Windows PE.

In un computer basato su Windows 7, basato su Windows Server 2008 o Windows Server 2008 R2, installare Windows 7 AIK.

1. Nel computer tecnico fare clic sul pulsante Start, scegliere Tutti i programmi, Windows AIK, fare clic con il pulsante destro del mouse su Prompt dei comandi di Strumenti di distribuzione e quindi scegliere Esegui come amministratore.
   
   Il menu di scelta rapida apre una finestra del prompt dei comandi e imposta automaticamente le variabili di ambiente in modo che puntino a tutti gli strumenti necessari. Per impostazione predefinita, tutti gli strumenti sono installati nella cartella C:\Programmi\Windows AIK\Tools.

2. Al prompt dei comandi eseguire lo script Copype.cmd. Lo script richiede due argomenti: architettura hardware e posizione di destinazione.
   
   Ad esempio, eseguire l'architettura <copype.cmd> <> di destinazione , in cui> architettura <può essere x86, amd64 o ia64 e <> di destinazione è il percorso della directory locale.
   
   Ad esempio, eseguire questo comando:

   copype.cmd x86 c:\winpe_x86The script crea la struttura di directory seguente e copia tutti i file necessari per tale architettura:

   \winpe_x86
   \winpe_x86\ISO
   \winpe_x86\mount

3. Copiare l'immagine di base (Windows PE.wim) nella cartella \Winpe_x86\ISO\sources e rinominare il file in boot.wim.

   copy c:\winpe_x86\winpe.wim c:\winpe_x86\ISO\sources\boot.wim

4. Montare la base Windows'immagine PE. In questo passaggio l'immagine di base viene montata in una directory locale in modo da poter aggiungere o rimuovere pacchetti.

   Dism /Mount-Wim /WimFile:C:\winpe_x86\ISO\sources\boot.wim /index:1 /MountDir:C:\winpe_x86\mount

5. Aggiungere i pacchetti seguenti all'immagine. Tenere presente che ogni comando deve essere di una riga singola e che il comando non deve andare a capo.
   
   Aggiungi pacchetto WINPE-WMI

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-wmi.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-wmi_en-us.cab" 

   Aggiungi WINPE-Scripting pacchetto

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-scripting.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-scripting_en-us.cab" 

   Aggiungi pacchetto WINPE-HTA

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-hta.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-hta_en-us.cab"

6. Estrarre il contenuto dell'aggiornamento 394904_intl_i386_zip.exe nella cartella c:\972831.
   

7. Aggiungere l'aggiornamento per il supporto 802.1X all'immagine:

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"c:\972831\Windows6.1-KB972831-86.cab" 

8. Creare una cartella contenente file aggiuntivi per il supporto 802.1X. A questo scopo, eseguire il comando seguente:

   md C:\winpe_x86\mount\winpe

9. Copiare certutil.exe e certutil.exe.mui da un computer basato su Windows 7 nella cartella c:\winpe_x86\mount\winpe. Questi file si trovano nella cartella %windir%\system32.
   
   Nota È necessario copiare la versione corretta di questi file, in base all'architettura dell'immagine di Windows PE.

10. Modificare il file Wired-WinPE-EAP-TLS.xml e modificare la riga seguente per immettere l'identificazione personale/hash del certificato CA radice per l'autorità di certificazione corretta:

    <TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA> 

11. Copiare il profilo di connessione nella directory PE Windows usando EAP-TLS:

    Copy Wired-WinPE-EAP-TLS.xml C:\winpe_x86\mount\winpe 

12. Modificare il file USERDATA-EAP-TLS.xml e modificare le righe seguenti per Nome utente e UserCert:

    <eapTls:Username>contoso\username</eapTls:Username>
    
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>

13. Copiare il profilo di connessione nella directory PE Windows usando EAP-TLS:

    copy USERDATA-EAP-TLS.xml C:\winpe_x86\mount\winpe 

14. Copiare il certificato radice e gli eventuali certificati CA subordinati nella cartella c:\winpe_x86\mount\winpe.

15. Copia il tuo certificato utente pfx nella cartella c:\winpe_x86\mount\winpe.

16. Modificare StartDot3.vbs file e modificare la riga seguente:

    certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN 

    Nota In questa riga è necessario cambiare la password assegnata al certificato al momento dell'esportazione.

17. Copia StartDot3.Vbs nella cartella c:\winpe_x86\mount\winpe.

18. Modificare startnet.cmd per eseguire automaticamente StartDot3.vbs:

    notepad C:\winpe_x86\mount\windows\system32\startnet.cmd

19. Aggiungere .\winpe\StartDot3.vbs dopo il comando wpeinit e quindi salvare il file startnet.cmd.

20. Smonta e esegui il commit delle modifiche a . WIM:

    Dism /Unmount-Wim /MountDir:C:\winpe_x86\mount /Commit

21. Creare il supporto di avvio utilizzando la procedura descritta nel file della Guida di Windows 7 AIK negli argomenti seguenti:

    • "Per creare un CD avviabile"

    • "Per creare un file UFD avviabile"

‘================================
‘StartDot3.VBS
‘================================
Dim WshShell
Set WshShell = CreateObject("WScript.Shell")

commandLine = "certutil -addstore Root \winpe\Rootcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil -addstore CA \winpe\SubCAcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "net start dot3svc"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan add profile filename=\winpe\Wired-WinPE-EAP-TLS.xml"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan set eapuserdata filename=\winpe\Wired-WinPE-UserData-EAP-TLS.xml allusers=yes interface=*"
Return  = WshShell.Run(commandLine, 0, true)

<?xml version="1.0"?>
<EapHostUserCredentials xmlns="http://www.microsoft.com/provisioning/EapHostUserCredentials" xmlns:eapCommon="http://www.microsoft.com/provisioning/EapCommon" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapMethodUserCredentials">
 <EapMethod>
  <eapCommon:Type>13</eapCommon:Type>
  <eapCommon:AuthorId>0</eapCommon:AuthorId>
 </EapMethod>
 <Credentials xmlns:eapUser="http://www.microsoft.com/provisioning/EapUserPropertiesV1" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapUserPropertiesV1" xmlns:eapTls="http://www.microsoft.com/provisioning/EapTlsUserPropertiesV1">
  <baseEap:Eap>
  <baseEap:Type>13</baseEap:Type>
   <eapTls:EapType>
    <eapTls:Username>contoso\username</eapTls:Username>
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>
   </eapTls:EapType>
  </baseEap:Eap>
 </Credentials>
</EapHostUserCredentials>

<?xml version="1.0"?>
<LANProfile xmlns="http://www.microsoft.com/networking/LAN/profile/v1">
 <MSM>
  <security>
   <OneXEnforced>false</OneXEnforced>
   <OneXEnabled>true</OneXEnabled>
   <OneX xmlns="http://www.microsoft.com/networking/OneX/v1">
    <authMode>user</authMode>
    <EAPConfig><EapHostConfig xmlns="http://www.microsoft.com/provisioning/EapHostConfig"><EapMethod>
<Type xmlns="http://www.microsoft.com/provisioning/EapCommon">13</Type>
<VendorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorId>
<VendorType xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorType>
<AuthorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</AuthorId>
</EapMethod>
<Config xmlns="http://www.microsoft.com/provisioning/EapHostConfig">
<Eap xmlns="http://www.microsoft.com/provisioning/BaseEapConnectionPropertiesV1"><Type>13</Type>
<EapType xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV1">
<CredentialsSource>
<CertificateStore>
<SimpleCertSelection>true</SimpleCertSelection>
</CertificateStore>
</CredentialsSource>
<ServerValidation>
<DisableUserPromptForServerValidation>false</DisableUserPromptForServerValidation>
<ServerNames></ServerNames>
<TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA>
</ServerValidation>
<DifferentUsername>false</DifferentUsername>
<PerformServerValidation xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">true</PerformServerValidation>
<AcceptServerName xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</AcceptServerName>
</EapType>
</Eap>
</Config>
</EapHostConfig>
</EAPConfig>
   </OneX>
  </security>
 </MSM>
</LANProfile>

Riferimenti

I prodotti di terze parti descritti in questo articolo sono fabbricati da società indipendenti da Microsoft. Microsoft non rilascia alcuna garanzia implicita o esplicita relativa alle prestazioni o all'affidabilità di tali prodotti.