O protocolo de autenticação IEEE 802.1X não tem suporte Windows PE (Preinstall Environment) 3.0

Introdução

Windows PE (Preinstall Environment) 3.0 não dá suporte ao protocolo de autenticação IEEE 802.X. Portanto, o Windows PE 3.0 não pode autenticar um comutador configurado para acesso à rede autenticada do IEEE 802.X.

Informações adicionais

Depois de aplicar esse hotfix, o Windows PE 3.0 dá suporte ao protocolo de autenticação IEEE 802.X.

Observe que a autenticação 802.1X não é compatível quando você Windows PE a partir do seguinte:

• Implantação System Center Configuration Manager sistema operacional do Microsoft System Center Configuration Manager 2007

• Microsoft Deployment Toolkit

Adicionar a atualização ao Windows PE 3.0

As instruções a seguir mostram como adicionar a seguinte atualização ao Windows PE 3.0. Ele não abrange nenhuma integração com System Center Configuration Manager ou com outros produtos.

972831 O protocolo de autenticação IEEE 802.1X não tem suporte no Windows pe (ambiente de pré-instalação) 3.0. Você deve ter os seguintes arquivos e pré-requisitos disponíveis ou instalados:

• Um computador técnico que tem o Windows AIK (Kit de Instalação Automatizada) para Windows 7 instalado

• 394904_intl_i386_zip.exe ou 394905_intl_x64_zip.exe, dependendo da arquitetura da imagem Windows PE

• O script VBS a seguir e dois arquivos XML. Eles estão localizados na seção Exemplos descript:

  • StartDot3.VBS

  • USERDATA-EAP-TLS.xml

  • Wired-WinPE-EAP-TLS.xml

• Seu certificado raiz, salvo como RootCert.cer

• Todos os certificados de AC subordinados, salvos como SubCACert.cer

• Seu certificado de usuário pfx, salvo como Usercert.pfx

• As versões x86 ou x64 do certutil.exe e certutil.exe.mui de um computador baseado no Windows 7, dependendo da arquitetura da imagem Windows PE

ObservaçãoO exemplo a seguir cria uma versão x86 do Windows PE.

Em um computador baseado no Windows 7, baseado no Windows Server 2008 ou no Windows Server 2008 R2, instale o Windows 7 AIK.

1. No computador do técnico, clique em Iniciar, aponte para Todos os Programas, aponte para Windows AIK, clique com o botão direito do mouse no Prompt de Comando das Ferramentas de Implantação e clique em Executar como administrador.
   
   O atalho de menu abre uma janela do Prompt de Comando e define automaticamente as variáveis de ambiente para apontar para todas as ferramentas necessárias. Por padrão, todas as ferramentas são instaladas na pasta C:\Arquivos de Programas\Windows AIK\Tools.

2. No prompt de comando, execute o script Copype.cmd. O script requer dois argumentos: arquitetura de hardware e local de destino.
   
   Por exemplo, execute a arquitetura <copype.cmd > <de destino>, em que <arquitetura> pode ser x86, amd64 ou ia64 e <destino> é o caminho do diretório local.
   
   Por exemplo, execute este comando:

   O script copype.cmd x86 c:\winpe_x86The cria a seguinte estrutura de diretório e copia todos os arquivos necessários para essa arquitetura:

   \winpe_x86
   \winpe_x86\ISO
   \winpe_x86\mount

3. Copie a imagem base (Windows PE.wim) para a pasta \Winpe_x86\ISO\sources e renomeie o arquivo como boot.wim.

   copy c:\winpe_x86\winpe.wim c:\winpe_x86\ISO\sources\boot.wim

4. Monte a imagem Windows PE base. Nesta etapa, você montará a imagem base em um diretório local para poder adicionar ou remover pacotes.

   Dism /Mount-Wim /WimFile:C:\winpe_x86\ISO\sources\boot.wim /index:1 /MountDir:C:\winpe_x86\mount

5. Adicione os pacotes a seguir à imagem. Lembre-se de que cada comando deve ser uma única linha e o comando não deve ser encapsulado.
   
   Adicionar pacote WINPE-WMI

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-wmi.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-wmi_en-us.cab" 

   Adicionar WINPE-Scripting pacote

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-scripting.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-scripting_en-us.cab" 

   Adicionar pacote WINPE-HTA

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-hta.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-hta_en-us.cab"

6. Extraia o conteúdo da 394904_intl_i386_zip.exe atualização para a pasta c:\972831.
   

7. Adicione a atualização do suporte 802.1X à imagem:

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"c:\972831\Windows6.1-KB972831-86.cab" 

8. Crie uma pasta para conter arquivos adicionais para suporte 802.1X. Para fazer isso, execute o seguinte comando:

   md C:\winpe_x86\mount\winpe

9. Copie certutil.exe e certutil.exe.mui de um computador baseado em Windows 7 para a pasta c:\winpe_x86\mount\winpe. Esses arquivos podem ser encontrados na pasta %windir%\system32.
   
   Observe que você deve copiar a versão correta desses arquivos, com base na arquitetura da imagem Windows PE.

10. Edite o Wired-WinPE-EAP-TLS.xml e altere a seguinte linha para inserir a impressão digital/hash do certificado de AC raiz para a autoridade de certificação correta:

    <TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA> 

11. Copie seu perfil de conexão para o Windows PE usando EAP-TLS:

    Copy Wired-WinPE-EAP-TLS.xml C:\winpe_x86\mount\winpe 

12. Edite o USERDATA-EAP-TLS.xml e altere as seguintes linhas para Nome de Usuário e UserCert:

    <eapTls:Username>contoso\username</eapTls:Username>
    
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>

13. Copie seu perfil de conexão para o Windows PE usando EAP-TLS:

    copy USERDATA-EAP-TLS.xml C:\winpe_x86\mount\winpe 

14. Copie seu certificado raiz e quaisquer certificados de AUTORIDADE de Certificação subordinados para a pasta c:\winpe_x86\mount\winpe.

15. Copie o certificado de usuário pfx para a pasta c:\winpe_x86\mount\winpe.

16. Edite StartDot3.vbs arquivo e altere a seguinte linha:

    certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN 

    Observação Nesta linha, você deve alterar PASSWORD para a senha que foi atribuída ao certificado quando ele foi exportado.

17. Copie StartDot3.Vbs para a pasta c:\winpe_x86\mount\winpe.

18. Edite startnet.cmd para executar StartDot3.vbs automaticamente:

    notepad C:\winpe_x86\mount\windows\system32\startnet.cmd

19. Adicione .\winpe\StartDot3.vbs após o comando wpeinit e salve o arquivo startnet.cmd.

20. Desmonte e confirme as alterações no . WIM:

    Dism /Unmount-Wim /MountDir:C:\winpe_x86\mount /Commit

21. Crie sua mídia inicializável usando as etapas descritas no arquivo de Ajuda do AIK do Windows 7 nos seguintes tópicos:

    • "Para criar um CD-ROM inicializável"

    • "Para criar um UFD inicializável"

‘================================
‘StartDot3.VBS
‘================================
Dim WshShell
Set WshShell = CreateObject("WScript.Shell")

commandLine = "certutil -addstore Root \winpe\Rootcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil -addstore CA \winpe\SubCAcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "net start dot3svc"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan add profile filename=\winpe\Wired-WinPE-EAP-TLS.xml"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan set eapuserdata filename=\winpe\Wired-WinPE-UserData-EAP-TLS.xml allusers=yes interface=*"
Return  = WshShell.Run(commandLine, 0, true)

<?xml version="1.0"?>
<EapHostUserCredentials xmlns="http://www.microsoft.com/provisioning/EapHostUserCredentials" xmlns:eapCommon="http://www.microsoft.com/provisioning/EapCommon" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapMethodUserCredentials">
 <EapMethod>
  <eapCommon:Type>13</eapCommon:Type>
  <eapCommon:AuthorId>0</eapCommon:AuthorId>
 </EapMethod>
 <Credentials xmlns:eapUser="http://www.microsoft.com/provisioning/EapUserPropertiesV1" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapUserPropertiesV1" xmlns:eapTls="http://www.microsoft.com/provisioning/EapTlsUserPropertiesV1">
  <baseEap:Eap>
  <baseEap:Type>13</baseEap:Type>
   <eapTls:EapType>
    <eapTls:Username>contoso\username</eapTls:Username>
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>
   </eapTls:EapType>
  </baseEap:Eap>
 </Credentials>
</EapHostUserCredentials>

<?xml version="1.0"?>
<LANProfile xmlns="http://www.microsoft.com/networking/LAN/profile/v1">
 <MSM>
  <security>
   <OneXEnforced>false</OneXEnforced>
   <OneXEnabled>true</OneXEnabled>
   <OneX xmlns="http://www.microsoft.com/networking/OneX/v1">
    <authMode>user</authMode>
    <EAPConfig><EapHostConfig xmlns="http://www.microsoft.com/provisioning/EapHostConfig"><EapMethod>
<Type xmlns="http://www.microsoft.com/provisioning/EapCommon">13</Type>
<VendorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorId>
<VendorType xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorType>
<AuthorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</AuthorId>
</EapMethod>
<Config xmlns="http://www.microsoft.com/provisioning/EapHostConfig">
<Eap xmlns="http://www.microsoft.com/provisioning/BaseEapConnectionPropertiesV1"><Type>13</Type>
<EapType xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV1">
<CredentialsSource>
<CertificateStore>
<SimpleCertSelection>true</SimpleCertSelection>
</CertificateStore>
</CredentialsSource>
<ServerValidation>
<DisableUserPromptForServerValidation>false</DisableUserPromptForServerValidation>
<ServerNames></ServerNames>
<TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA>
</ServerValidation>
<DifferentUsername>false</DifferentUsername>
<PerformServerValidation xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">true</PerformServerValidation>
<AcceptServerName xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</AcceptServerName>
</EapType>
</Eap>
</Config>
</EapHostConfig>
</EAPConfig>
   </OneX>
  </security>
 </MSM>
</LANProfile>

Referências

Os produtos de terceiros mencionados neste artigo são produzidos por empresas independentes da Microsoft. A Microsoft não oferece nenhuma garantia, implícita ou não, do desempenho ou da confiabilidade desses produtos.