O protocolo de autenticação IEEE 802.1X não é suportado no Windows Preinstall Environment (PE) 3.0

Introdução

Windows Pré-instalar Ambiente (PE) 3.0 não suporta o protocolo de autenticação IEEE 802.X. Portanto, o cliente Windows PE 3.0 não pode autenticar uma mudança configurada para o acesso à rede autenticado do IEEE 802.X.

Mais Informações

Após aplicar esta hotfix, o Windows PE 3.0 suporta o protocolo de autenticação IEEE 802.X.

A autenticação 802.1X não é suportada quando inicia uma Windows PE a partir do seguinte:

• Implementação do Sistema Operativo Microsoft System Center Configuration Manager 2007

• Toolkit de Implementação da Microsoft

Adicionar a atualização ao Windows PE 3.0

As instruções seguintes mostram como adicionar a seguinte atualização Windows PE 3.0. Não abrange qualquer integração com a System Center Configuration Manager ou com outros produtos.

972831 O protocolo de autenticação IEEE 802.1X não é suportado no Windows Preinstall Environment (PE) 3.0 Tem de ter os seguintes ficheiros e pré-requisitos disponíveis ou instalados:

• Um técnico de computador que tem a Windows Automated Installation Kit (AIK) Windows 7 instalada

• 394904_intl_i386_zip.exe ou 394905_intl_x64_zip.exe, dependendo da arquitetura da sua imagem Windows PE

• O seguinte script VBS e dois ficheiros XML. Estão localizados na secção Exemplos de script:

  • StartDot3.VBS

  • USERDATA-EAP-TLS.xml

  • Wired-WinPE-EAP-TLS.xml

• O seu certificado de raiz, guardado como RootCert.cer

• Quaisquer certificados de AC subordinados guardados como SubCACert.cer

• O seu Certificado de Utilizador pfx, guardado como Usercert.pfx

• As versões x86 ou x64 do certutil.exe e certutil.exe.mui a partir de um computador baseado no Windows 7, dependendo da arquitetura da sua imagem Windows PE

NotaO exemplo seguinte cria uma versão x86 do Windows PE.

Num computador baseado no Windows 7, baseado no Windows Server 2008 ou num computador baseado no Windows Server 2008 R2, instale o Windows 7 AIK.

1. No seu computador técnico, clique em Iniciar, aponte para Todos os Programas, aponte para Windows AIK, clique com o botão direito do rato em Linha deComandos de Ferramentas de Implementação e, em seguida, clique em Executar como administrador.
   
   O atalho de menu abre uma janela da Barra de Comandos e define automaticamente as variáveis de ambiente para apontar para todas as ferramentas necessárias. Por predefinição, todas as ferramentas estão instaladas na pasta C:\Program Files\Windows AIK\Tools.

2. Na pedido de comando, execute o script Copype.cmd. O script requer dois argumentos: arquitetura de hardware e localização de destino.
   
   Por exemplo, execute <arquitetura copype.cmd > <dedestino>, em que <arquitetura> pode ser x86, amd64 ou ia64 e o <de destino> é o caminho do diretório local.
   
   Por exemplo, execute este comando:

   o script copype.cmd x86 c:\winpe_x86The cria a seguinte estrutura de diretório e copia todos os ficheiros necessários para essa arquitetura:

   \winpe_x86
   \winpe_x86\ISO
   \winpe_x86\Mount

3. Copie a imagem base (Windows PE.wim) para a pasta \Winpe_x86\ISO\sources e nome do ficheiro para boot.wim.

   copy c:\winpe_x86\winpe.wim c:\winpe_x86\ISO\sources\boot.wim

4. Monte a imagem de base Windows PE. Neste passo, pode colocar a imagem base num diretório local para que possa adicionar ou remover pacotes.

   Dism /Mount-Wim /WimFile:C:\winpe_x86\ISO\sources\boot.wim /index:1 /MountDir:C:\winpe_x86\mount

5. Adicione os seguintes pacotes à imagem. Tenha em atenção que cada comando deve ser uma única linha e que o comando não pode ser adoto.
   
   Adicionar pacote WINPE-WMI

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-wmi.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-wmi_en-us.cab" 

   Adicionar WINPE-Scripting pacote

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-scripting.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-scripting_en-us.cab" 

   Adicionar pacote WINPE-HTA

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-hta.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-hta_en-us.cab"

6. Extraia os conteúdos da 394904_intl_i386_zip.exe atualização para a pasta c:\972831.
   

7. Adicione a atualização para suporte 802.1X à imagem:

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"c:\972831\Windows6.1-KB972831-86.cab" 

8. Crie uma pasta para conter ficheiros adicionais para o suporte 802.1X. Para o fazer, execute o seguinte comando:

   md C:\winpe_x86\mount\winpe

9. Copie certutil.exe e certutil.exe.mui de um computador baseado no Windows 7 para a pasta c:\winpe_x86\mount\winpe. Estes ficheiros podem ser encontrados na pasta %windir%\system32.
   
   Nota Tem de copiar a versão correta destes ficheiros, com base na arquitetura da sua Windows PE.

10. Edite o Wired-WinPE-EAP-TLS.xml de certificação e altere a linha seguinte para introduzir o polegar/hash do certificado de AC raiz para a autoridade de certificação correta:

    <TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA> 

11. Copie o seu perfil de ligação para Windows diretório PE utilizando EAP-TLS:

    Copy Wired-WinPE-EAP-TLS.xml C:\winpe_x86\mount\winpe 

12. Edite o USERDATA-EAP-TLS.xml de utilizador e altere as seguintes linhas para Nome de Utilizador e UserCert:

    <eapTls:Username>contoso\username</eapTls:Username>
    
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>

13. Copie o seu perfil de ligação para Windows diretório PE utilizando EAP-TLS:

    copy USERDATA-EAP-TLS.xml C:\winpe_x86\mount\winpe 

14. Copie o seu certificado de raiz e quaisquer certificados de AC subordinados para a pasta c:\winpe_x86\mount\winpe.

15. Copie o seu Certificado de Utilizador pfx para a pasta c:\winpe_x86\mount\winpe.

16. Edite StartDot3.vbs ficheiro e altere a seguinte linha:

    certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN 

    Nota Nesta linha, tem de alterar PALAVRA-PASSE para a palavra-passe que foi atribuída ao certificado quando foi exportado.

17. Copie StartDot3.Vbs para a pasta c:\winpe_x86\mount\winpe.

18. Edite startnet.cmd para executar StartDot3.vbs automaticamente:

    notepad C:\winpe_x86\mount\windows\system32\startnet.cmd

19. Adicione .\winpe\StartDot3.vbs o comando wpeinit e, em seguida, guarde o ficheiro startnet.cmd.

20. Desmount e commit changes to the . WIM:

    Dism /Unmount-Wim /MountDir:C:\winpe_x86\mount /Commit

21. Crie os seus suportes de dados iniciáveis ao utilizar os passos apresentados no ficheiro de ajuda Windows 7 AIK nos seguintes tópicos:

    • "Para criar um CD-ROM arranque"

    • "Para criar um UFD bootable"

‘================================
‘StartDot3.VBS
‘================================
Dim WshShell
Set WshShell = CreateObject("WScript.Shell")

commandLine = "certutil -addstore Root \winpe\Rootcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil -addstore CA \winpe\SubCAcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "net start dot3svc"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan add profile filename=\winpe\Wired-WinPE-EAP-TLS.xml"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan set eapuserdata filename=\winpe\Wired-WinPE-UserData-EAP-TLS.xml allusers=yes interface=*"
Return  = WshShell.Run(commandLine, 0, true)

<?xml version="1.0"?>
<EapHostUserCredentials xmlns="http://www.microsoft.com/provisioning/EapHostUserCredentials" xmlns:eapCommon="http://www.microsoft.com/provisioning/EapCommon" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapMethodUserCredentials">
 <EapMethod>
  <eapCommon:Type>13</eapCommon:Type>
  <eapCommon:AuthorId>0</eapCommon:AuthorId>
 </EapMethod>
 <Credentials xmlns:eapUser="http://www.microsoft.com/provisioning/EapUserPropertiesV1" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapUserPropertiesV1" xmlns:eapTls="http://www.microsoft.com/provisioning/EapTlsUserPropertiesV1">
  <baseEap:Eap>
  <baseEap:Type>13</baseEap:Type>
   <eapTls:EapType>
    <eapTls:Username>contoso\username</eapTls:Username>
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>
   </eapTls:EapType>
  </baseEap:Eap>
 </Credentials>
</EapHostUserCredentials>

<?xml version="1.0"?>
<LANProfile xmlns="http://www.microsoft.com/networking/LAN/profile/v1">
 <MSM>
  <security>
   <OneXEnforced>false</OneXEnforced>
   <OneXEnabled>true</OneXEnabled>
   <OneX xmlns="http://www.microsoft.com/networking/OneX/v1">
    <authMode>user</authMode>
    <EAPConfig><EapHostConfig xmlns="http://www.microsoft.com/provisioning/EapHostConfig"><EapMethod>
<Type xmlns="http://www.microsoft.com/provisioning/EapCommon">13</Type>
<VendorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorId>
<VendorType xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorType>
<AuthorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</AuthorId>
</EapMethod>
<Config xmlns="http://www.microsoft.com/provisioning/EapHostConfig">
<Eap xmlns="http://www.microsoft.com/provisioning/BaseEapConnectionPropertiesV1"><Type>13</Type>
<EapType xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV1">
<CredentialsSource>
<CertificateStore>
<SimpleCertSelection>true</SimpleCertSelection>
</CertificateStore>
</CredentialsSource>
<ServerValidation>
<DisableUserPromptForServerValidation>false</DisableUserPromptForServerValidation>
<ServerNames></ServerNames>
<TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA>
</ServerValidation>
<DifferentUsername>false</DifferentUsername>
<PerformServerValidation xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">true</PerformServerValidation>
<AcceptServerName xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</AcceptServerName>
</EapType>
</Eap>
</Config>
</EapHostConfig>
</EAPConfig>
   </OneX>
  </security>
 </MSM>
</LANProfile>

Referências

Os produtos de terceiros referidos neste artigo são fabricados por empresas independentes da Microsoft. A Microsoft não concede qualquer garantia, implícita ou de outra natureza, relativamente ao desempenho ou à fiabilidade destes produtos.