Protokół uwierzytelniania IEEE 802.1X nie jest obsługiwany w Windows Preinstaluj środowisko (PE) 3.0

Wprowadzenie

Windows Środowisko Preinstaluj (PE) 3.0 nie obsługuje protokołu uwierzytelniania IEEE 802.X. Dlatego klient Windows PE 3.0 nie może uwierzytelnić przełącznika skonfigurowanego dla uwierzytelnionego dostępu do sieci IEEE 802.X.

Więcej informacji

Po zastosowaniu tej poprawki Windows PE 3.0 obsługuje protokół uwierzytelniania IEEE 802.X.

Uwaga: uwierzytelnianie 802.1X nie jest obsługiwane po uruchomieniu Windows pe z następujących elementów:

• Wdrażanie systemu operacyjnego Microsoft System Center Configuration Manager 2007

• Zestaw narzędzi firmy Microsoft do wdrażania

Dodaj aktualizację do Windows PE 3.0

Poniższe instrukcje pokazują, jak dodać następującą aktualizację do Windows PE 3.0. Nie obejmuje żadnej integracji z System Center Configuration Manager ani z innymi produktami.

972831 Protokół uwierzytelniania IEEE 802.1X nie jest obsługiwany w Windows Środowisko preinstalacyjne (PE) 3.0 Musisz mieć dostępne lub zainstalowane następujące pliki i wymagania wstępne:

• Komputer technika z zainstalowanym zestawem AIK (Windows Automated Installation Kit) dla Windows 7

• 394904_intl_i386_zip.exe lub 394905_intl_x64_zip.exe w zależności od architektury obrazu Windows PE

• Poniższy skrypt VBS i dwa pliki XML. Znajdują się one w sekcji Przykłady skryptów:

  • StartDot3.VBS

  • USERDATA-EAP-TLS.xml

  • Wired-WinPE-EAP-TLS.xml

• Certyfikat główny zapisany jako RootCert.cer

• Wszystkie podrzędne certyfikaty urzędu certyfikacji zapisane jako SubCACert.cer

• Twój certyfikat użytkownika pfx zapisany jako Usercert.pfx

• Wersje x86 lub x64 certutil.exe i certutil.exe.mui z komputera z Windows 7, w zależności od architektury obrazu Windows PE

UwagaNa poniższym przykładzie jest kompilacja x86 wersji Windows PE.

Na komputerze z systemem Windows opartym na Windows Server 2008 lub Windows Server 2008 R2 zainstaluj Windows 7 AIK.

1. Na komputerze technika kliknij przycisk Start, wskaż polecenie Wszystkie programy, wskaż polecenie Windows AIK, kliknij prawym przyciskiem myszy pozycję Wiersz polecenia Narzędzia wdrażania, a następnie kliknij polecenie Uruchom jako administrator.
   
   Skrót menu otwiera okno Wiersz polecenia i automatycznie ustawia zmienne środowiskowe tak, aby wskazywały wszystkie niezbędne narzędzia. Domyślnie wszystkie narzędzia są instalowane w folderze C:\Program Files\Windows AIK\Tools.

2. W wierszu polecenia uruchom skrypt Copype.cmd. Skrypt wymaga dwóch argumentów: architektury sprzętu i lokalizacji docelowej.
   
   Na przykład uruchom <architekturę copype.cmd> <> docelową , gdzie> architektury <może być x86, amd64 lub ia64, a miejscem docelowym <> jest ścieżka katalogu lokalnego.
   
   Na przykład uruchom następujące polecenie:

   copype.cmd x86 c:\winpe_x86The skrypt tworzy następującą strukturę katalogu i kopiuje wszystkie pliki niezbędne dla tej architektury:

   \winpe_x86
   \winpe_x86\ISO
   \winpe_x86\mount

3. Skopiuj obraz podstawowy (Windows PE.wim) do folderu \Winpe_x86\ISO\sources i zmień nazwę pliku na boot.wim.

   copy c:\winpe_x86\winpe.wim c:\winpe_x86\ISO\sources\boot.wim

4. Zamontuj Windows Windows pe. W tym kroku zainstalujesz obraz podstawowy w katalogu lokalnym, aby można było dodawać lub usuwać pakiety.

   Dism /Mount-Wim /WimFile:C:\winpe_x86\ISO\sources\boot.wim /index:1 /MountDir:C:\winpe_x86\mount

5. Dodaj do obrazu następujące pakiety. Należy pamiętać, że każde polecenie powinno być pojedynczym wierszem, a polecenie nie może być zawijane.
   
   Dodawanie pakietu WINPE-WMI

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-wmi.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-wmi_en-us.cab" 

   Dodaj pakiet WINPE-Scripting

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-scripting.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-scripting_en-us.cab" 

   Dodawanie pakietu WINPE-HTA

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-hta.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-hta_en-us.cab"

6. Wyodrębnij zawartość 394904_intl_i386_zip.exe aktualizacji do folderu c:\972831.
   

7. Dodaj do obrazu aktualizację obsługi systemu 802.1X:

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"c:\972831\Windows6.1-KB972831-86.cab" 

8. Utwórz folder zawierający dodatkowe pliki dla obsługi 802.1X. W tym celu uruchom następujące polecenie:

   md C:\winpe_x86\mount\winpe

9. Skopiuj certutil.exe i certutil.exe.mui z komputera opartego na Windows 7 do folderu c:\winpe_x86\mount\winpe. Te pliki można znaleźć w folderze %windir%\system32.
   
   Uwaga Należy skopiować poprawną wersję tych plików na podstawie architektury obrazu Windows PE.

10. Edytuj plik Wired-WinPE-EAP-TLS.xml i zmień następujący wiersz, aby wprowadzić thumbprint/hash certyfikatu głównego urzędu certyfikacji dla właściwego urzędu certyfikacji:

    <TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA> 

11. Skopiuj profil połączenia do katalogu Windows PE przy użyciu protokołu EAP-TLS:

    Copy Wired-WinPE-EAP-TLS.xml C:\winpe_x86\mount\winpe 

12. Edytuj plik USERDATA-EAP-TLS.xml i zmień następujące wiersze nazwy użytkownika i usercert:

    <eapTls:Username>contoso\username</eapTls:Username>
    
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>

13. Skopiuj profil połączenia do katalogu Windows PE przy użyciu protokołu EAP-TLS:

    copy USERDATA-EAP-TLS.xml C:\winpe_x86\mount\winpe 

14. Skopiuj certyfikat główny i wszystkie podrzędne certyfikaty urzędu certyfikacji do folderu c:\winpe_x86\mount\winpe.

15. Skopiuj certyfikat użytkownika pfx do folderu c:\winpe_x86\mount\winpe.

16. Edytuj plik StartDot3.vbs i zmień następujący wiersz:

    certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN 

    Uwaga W tym wierszu musisz zmienić hasło HASŁO przypisane do certyfikatu podczas eksportowania.

17. Skopiuj StartDot3.Vbs do folderu c:\winpe_x86\mount\winpe.

18. Edytuj plik startnet.cmd, aby uruchamiać StartDot3.vbs automatycznie:

    notepad C:\winpe_x86\mount\windows\system32\startnet.cmd

19. Dodaj plik \winpe\StartDot3.vbs po poleceniu wpeinit, a następnie zapisz plik startnet.cmd.

20. Odinstaluj i zatwierdź zmiany w polu . WIM:

    Dism /Unmount-Wim /MountDir:C:\winpe_x86\mount /Commit

21. Utwórz nośnik rozruchowy, wykonując kroki opisane w pliku Pomocy Windows 7 AIK w następujących tematach:

    • "To create a bootable CD-ROM"

    • "Aby utworzyć rozruchowy UFD"

‘================================
‘StartDot3.VBS
‘================================
Dim WshShell
Set WshShell = CreateObject("WScript.Shell")

commandLine = "certutil -addstore Root \winpe\Rootcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil -addstore CA \winpe\SubCAcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "net start dot3svc"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan add profile filename=\winpe\Wired-WinPE-EAP-TLS.xml"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan set eapuserdata filename=\winpe\Wired-WinPE-UserData-EAP-TLS.xml allusers=yes interface=*"
Return  = WshShell.Run(commandLine, 0, true)

<?xml version="1.0"?>
<EapHostUserCredentials xmlns="http://www.microsoft.com/provisioning/EapHostUserCredentials" xmlns:eapCommon="http://www.microsoft.com/provisioning/EapCommon" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapMethodUserCredentials">
 <EapMethod>
  <eapCommon:Type>13</eapCommon:Type>
  <eapCommon:AuthorId>0</eapCommon:AuthorId>
 </EapMethod>
 <Credentials xmlns:eapUser="http://www.microsoft.com/provisioning/EapUserPropertiesV1" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapUserPropertiesV1" xmlns:eapTls="http://www.microsoft.com/provisioning/EapTlsUserPropertiesV1">
  <baseEap:Eap>
  <baseEap:Type>13</baseEap:Type>
   <eapTls:EapType>
    <eapTls:Username>contoso\username</eapTls:Username>
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>
   </eapTls:EapType>
  </baseEap:Eap>
 </Credentials>
</EapHostUserCredentials>

<?xml version="1.0"?>
<LANProfile xmlns="http://www.microsoft.com/networking/LAN/profile/v1">
 <MSM>
  <security>
   <OneXEnforced>false</OneXEnforced>
   <OneXEnabled>true</OneXEnabled>
   <OneX xmlns="http://www.microsoft.com/networking/OneX/v1">
    <authMode>user</authMode>
    <EAPConfig><EapHostConfig xmlns="http://www.microsoft.com/provisioning/EapHostConfig"><EapMethod>
<Type xmlns="http://www.microsoft.com/provisioning/EapCommon">13</Type>
<VendorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorId>
<VendorType xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorType>
<AuthorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</AuthorId>
</EapMethod>
<Config xmlns="http://www.microsoft.com/provisioning/EapHostConfig">
<Eap xmlns="http://www.microsoft.com/provisioning/BaseEapConnectionPropertiesV1"><Type>13</Type>
<EapType xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV1">
<CredentialsSource>
<CertificateStore>
<SimpleCertSelection>true</SimpleCertSelection>
</CertificateStore>
</CredentialsSource>
<ServerValidation>
<DisableUserPromptForServerValidation>false</DisableUserPromptForServerValidation>
<ServerNames></ServerNames>
<TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA>
</ServerValidation>
<DifferentUsername>false</DifferentUsername>
<PerformServerValidation xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">true</PerformServerValidation>
<AcceptServerName xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</AcceptServerName>
</EapType>
</Eap>
</Config>
</EapHostConfig>
</EAPConfig>
   </OneX>
  </security>
 </MSM>
</LANProfile>

Informacje

Produkty innych firm omówione w tym artykule są wytwarzane przez producentów niezależnych od firmy Microsoft. Firma Microsoft nie udziela żadnych gwarancji, dorozumianych ani żadnego innego rodzaju, w odniesieniu do wydajności lub niezawodności tych produktów.