Windows预安装环境 (PE) 3.0 中不支持 IEEE 802.1X 身份验证协议

简介

Windows预安装环境 (PE) 3.0 不支持 IEEE 802.X 身份验证协议。 因此，Windows PE 3.0 客户端无法对为 IEEE 802.X 身份验证的网络访问配置的交换机进行身份验证。

更多信息

应用此修补程序后，Windows PE 3.0 支持 IEEE 802.X 身份验证协议。

请注意，从以下内容开始Windows PE 时，不支持 802.1X 身份验证：

• Microsoft System Center Configuration Manager 2007 操作系统部署

• Microsoft 部署Toolkit

将更新添加到 PE 3.0 Windows

以下说明演示如何将以下更新添加到 PE 3.0 Windows。 它不包括与System Center Configuration Manager或其他产品的任何集成。

972831 IEEE 802.1X 身份验证协议在 Windows 预安装环境 (PE) 3.0 中不受支持，必须提供或安装以下文件和先决条件：

• 安装了 Windows 自动安装工具包 (AIK) Windows 7 的技术人员计算机

• 394904_intl_i386_zip.exe或394905_intl_x64_zip.exe，具体取决于Windows PE 映像的体系结构

• 以下 VBS 脚本和两个 XML 文件。 它们位于 “脚本示例”部分：

  • StartDot3.VBS

  • USERDATA-EAP-TLS.xml

  • Wired-WinPE-EAP-TLS.xml

• 根证书，保存为 RootCert.cer

• 保存为 SubCACert.cer 的任何从属 CA 证书

• 用户证书 pfx，保存为 Usercert.pfx

• 基于 Windows 7 的计算机的 x86 或 x64 版本的 certutil.exe 和 certutil.exe.mui，具体取决于 Windows PE 映像的体系结构

注意以下示例生成 x86 版本的 Windows PE。

在基于 Windows 7、基于 Windows Server 2008 或基于服务器 2008 R2 的 Windows计算机上安装 Windows 7 AIK。

1. 在技术人员计算机上，单击"开始"菜单，指向“所有程序”，指向Windows AIK，右键单击“部署工具”命令提示符，然后单击“以管理员身份运行”。
   
   菜单快捷方式将打开命令提示符窗口，并自动将环境变量设置为指向所有必要的工具。 默认情况下，所有工具都安装在 C：\Program Files\Windows AIK\Tools 文件夹中。

2. 在命令提示符处，运行 Copype.cmd 脚本。 该脚本需要两个参数：硬件体系结构和目标位置。
   
   例如，运行 copype.cmd <体系 结构> <目标>，其中<体系 结构>可以是 x86、amd64 或 ia64，<目标>是本地目录的路径。
   
   例如，运行以下命令：

   copype.cmd x86 c：\winpe_x86The脚本创建以下目录结构并复制该体系结构的所有必需文件：

   \winpe_x86
   \winpe_x86\ISO
   \winpe_x86\mount

3. 将基本映像 (Windows PE.wim) 复制到 \Winpe_x86\ISO\sources 文件夹中，并将文件重命名为 boot.wim。

   copy c:\winpe_x86\winpe.wim c:\winpe_x86\ISO\sources\boot.wim

4. 装载基础Windows PE 映像。 在此步骤中，将基本映像装载到本地目录，以便可以添加或删除包。

   Dism /Mount-Wim /WimFile:C:\winpe_x86\ISO\sources\boot.wim /index:1 /MountDir:C:\winpe_x86\mount

5. 将以下包添加到映像。 请注意，每个命令应为单行，并且命令不得换行。
   
   添加 WINPE-WMI 包

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-wmi.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-wmi_en-us.cab" 

   添加WINPE-Scripting包

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-scripting.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-scripting_en-us.cab" 

   添加 WINPE-HTA 包

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-hta.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-hta_en-us.cab"

6. 将394904_intl_i386_zip.exe更新的内容提取到 c：\972831 文件夹。
   

7. 将 802.1X 支持的更新添加到映像：

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"c:\972831\Windows6.1-KB972831-86.cab" 

8. 创建一个文件夹，以包含 802.1X 支持的其他文件。 为此，请运行以下命令：

   md C：\winpe_x86\mount\winpe

9. 将certutil.exe和certutil.exe.mui 从基于 Windows 7 的计算机复制到 c：\winpe_x86\mount\winpe 文件夹。 可以在 %windir%\system32 文件夹中找到这些文件。
   
   请注意，必须根据Windows PE 映像的体系结构复制这些文件的正确版本。

10. 编辑Wired-WinPE-EAP-TLS.xml文件，并更改以下行以输入正确的证书颁发机构的根 CA 证书指纹/哈希：

    <TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA> 

11. 使用 EAP-TLS 将连接配置文件复制到 Windows PE 目录：

    Copy Wired-WinPE-EAP-TLS.xml C:\winpe_x86\mount\winpe 

12. 编辑USERDATA-EAP-TLS.xml文件，并更改用户名和 UserCert 的以下行：

    <eapTls:Username>contoso\username</eapTls:Username>
    
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>

13. 使用 EAP-TLS 将连接配置文件复制到 Windows PE 目录：

    copy USERDATA-EAP-TLS.xml C:\winpe_x86\mount\winpe 

14. 将根证书和任何从属 CA 证书复制到 c：\winpe_x86\mount\winpe 文件夹。

15. 将用户证书 pfx 复制到 c：\winpe_x86\mount\winpe 文件夹。

16. 编辑StartDot3.vbs文件，并更改以下行：

    certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN 

    请注意，在此行中，必须将 PASSWORD 更改为在导出证书时分配给证书的密码。

17. 将StartDot3.Vbs复制到 c：\winpe_x86\mount\winpe 文件夹。

18. 编辑 startnet.cmd 以自动运行StartDot3.vbs：

    notepad C:\winpe_x86\mount\windows\system32\startnet.cmd

19. 在 wpeinit 命令后添加 .\winpe\StartDot3.vbs，然后保存 startnet.cmd 文件。

20. 卸载并提交对 ..WIM：

    Dism /Unmount-Wim /MountDir:C:\winpe_x86\mount /Commit

21. 使用以下主题下Windows 7 AIK 帮助文件中概述的步骤创建可启动媒体：

    • “创建可启动的 CD-ROM”

    • “创建可启动的 UFD”

‘================================
‘StartDot3.VBS
‘================================
Dim WshShell
Set WshShell = CreateObject("WScript.Shell")

commandLine = "certutil -addstore Root \winpe\Rootcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil -addstore CA \winpe\SubCAcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "net start dot3svc"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan add profile filename=\winpe\Wired-WinPE-EAP-TLS.xml"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan set eapuserdata filename=\winpe\Wired-WinPE-UserData-EAP-TLS.xml allusers=yes interface=*"
Return  = WshShell.Run(commandLine, 0, true)

<?xml version="1.0"?>
<EapHostUserCredentials xmlns="http://www.microsoft.com/provisioning/EapHostUserCredentials" xmlns:eapCommon="http://www.microsoft.com/provisioning/EapCommon" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapMethodUserCredentials">
 <EapMethod>
  <eapCommon:Type>13</eapCommon:Type>
  <eapCommon:AuthorId>0</eapCommon:AuthorId>
 </EapMethod>
 <Credentials xmlns:eapUser="http://www.microsoft.com/provisioning/EapUserPropertiesV1" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapUserPropertiesV1" xmlns:eapTls="http://www.microsoft.com/provisioning/EapTlsUserPropertiesV1">
  <baseEap:Eap>
  <baseEap:Type>13</baseEap:Type>
   <eapTls:EapType>
    <eapTls:Username>contoso\username</eapTls:Username>
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>
   </eapTls:EapType>
  </baseEap:Eap>
 </Credentials>
</EapHostUserCredentials>

<?xml version="1.0"?>
<LANProfile xmlns="http://www.microsoft.com/networking/LAN/profile/v1">
 <MSM>
  <security>
   <OneXEnforced>false</OneXEnforced>
   <OneXEnabled>true</OneXEnabled>
   <OneX xmlns="http://www.microsoft.com/networking/OneX/v1">
    <authMode>user</authMode>
    <EAPConfig><EapHostConfig xmlns="http://www.microsoft.com/provisioning/EapHostConfig"><EapMethod>
<Type xmlns="http://www.microsoft.com/provisioning/EapCommon">13</Type>
<VendorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorId>
<VendorType xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorType>
<AuthorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</AuthorId>
</EapMethod>
<Config xmlns="http://www.microsoft.com/provisioning/EapHostConfig">
<Eap xmlns="http://www.microsoft.com/provisioning/BaseEapConnectionPropertiesV1"><Type>13</Type>
<EapType xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV1">
<CredentialsSource>
<CertificateStore>
<SimpleCertSelection>true</SimpleCertSelection>
</CertificateStore>
</CredentialsSource>
<ServerValidation>
<DisableUserPromptForServerValidation>false</DisableUserPromptForServerValidation>
<ServerNames></ServerNames>
<TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA>
</ServerValidation>
<DifferentUsername>false</DifferentUsername>
<PerformServerValidation xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">true</PerformServerValidation>
<AcceptServerName xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</AcceptServerName>
</EapType>
</Eap>
</Config>
</EapHostConfig>
</EAPConfig>
   </OneX>
  </security>
 </MSM>
</LANProfile>

参考

本文中提到的第三方产品由 Microsoft 以外的其他公司提供。 对于这些产品的性能或可靠性，Microsoft 不做任何暗示保证或其他形式的保证。