Windows預先安裝環境 (PE) 3.0 不支援 IEEE 802.1X 驗證通訊協定

簡介

Windows預先安裝環境 (PE) 3.0 不支援 IEEE 802.X 驗證通訊協定。 因此，WINDOWS PE 3.0 用戶端無法驗證為 IEEE 802.X 已驗證網路存取設定的開關。

其他相關資訊

套用此 Hotfix 之後，Windows PE 3.0 支援 IEEE 802.X 驗證通訊協定。

注意：當您從下列專案啟動 PE Windows時，不支援 802.1X 驗證：

• Microsoft System Center Configuration Manager 2007 作業系統部署

• Microsoft Deployment Toolkit

將更新新增至 Windows PE 3.0

下列指示說明如何將下列更新新增至 PE 3.0 Windows。 它不涵蓋與System Center Configuration Manager或其他產品的任何整合。

972831 Windows預先安裝環境 (PE) 3.0 不支援 IEEE 802.1X 驗證通訊協定：您必須有下列可用或安裝的檔案和先決條件：

• 已安裝適用于 Windows 7 的 Windows 自動安裝套件 (AIK) 的技術人員電腦

• 視 Windows PE 影像的架構而定，394904_intl_i386_zip.exe或394905_intl_x64_zip.exe

• 下列 VBS 腳本和兩個 XML 檔案。 它們位於 [ 腳本範例] 區段中：

  • StartDot3.VBS

  • USERDATA-EAP-TLS.xml

  • Wired-WinPE-EAP-TLS.xml

• 您的根憑證，儲存為 RootCert.cer

• 任何從屬 CA 憑證，儲存為 SubCACert.cer

• 您的使用者憑證 pfx，儲存為 Usercert.pfx

• Windows 7 型電腦上的 x86 或 x64 certutil.exe和 certutil.exe.mui 版本，取決於 Windows PE 影像的架構

注意 下列範例會建立 x86 版本的 Windows PE。

在 Windows 7 型、Windows Server 2008 或 Windows Server 2008 R2 型電腦上，安裝 Windows 7 AIK。

1. 在技術人員的電腦上，按一下 [開始]，指向[所有程式]，指向[Windows AIK]，以滑鼠右鍵按一下 [部署工具命令提示字元]，然後按一下 [以系統管理員身分執行]。
   
   功能表快捷方式會開啟命令提示字元視窗，並自動設定環境變數以指向所有必要的工具。 根據預設，所有工具都會安裝在 C：\Program Files\Windows AIK\Tools 資料夾中。

2. 在命令提示字元中，執行 Copype.cmd 腳本。 腳本需要兩個引數：硬體架構和目的地位置。
   
   例如，執行 copype.cmd <架 構> <目的地>，其中<架 構>可以是 x86、amd64 或 ia64，而<目的地>則是本機目錄的路徑。
   
   例如，執行此命令：

   copype.cmd x86 c：\winpe_x86The script 會建立下列目錄結構，並複製該架構的所有必要檔案：

   \winpe_x86
   \winpe_x86\ISO
   \winpe_x86\mount

3. 將基本影像 (Windows PE.wim) 複製到 \Winpe_x86\ISO\sources 資料夾，然後將檔案重新命名為 boot.wim。

   copy c:\winpe_x86\winpe.wim c:\winpe_x86\ISO\sources\boot.wim

4. 裝載基座Windows PE 影像。 在此步驟中，您將基本圖像裝載到本機目錄，以便新增或移除包裹。

   Dism /Mount-Wim /WimFile:C:\winpe_x86\ISO\sources\boot.wim /index:1 /MountDir:C:\winpe_x86\mount

5. 新增下列套件至影像。 請注意，每個命令應為單一行，且命令不得換行。
   
   新增 WINPE-WMI 套件

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-wmi.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-wmi_en-us.cab" 

   新增WINPE-Scripting套件

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-scripting.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-scripting_en-us.cab" 

   新增 WINPE-HTA 套件

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-hta.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-hta_en-us.cab"

6. 擷取394904_intl_i386_zip.exe更新至 c：\972831 資料夾的內容。
   

7. 將 802.1X 支援的更新新增至影像：

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"c:\972831\Windows6.1-KB972831-86.cab" 

8. 建立資料夾以包含 802.1X 支援的其他檔案。 若要這麼做，請執行下列命令：

   md C：\winpe_x86\mount\winpe

9. 將 certutil.exe 和 certutil.exe.mui 從 Windows 7 型電腦複製到 c：\winpe_x86\mount\winpe 資料夾。 您可以在 %windir%\system32 資料夾中找到這些檔案。
   
   注意 您必須根據您的 PE 圖像Windows架構，複製這些檔案的正確版本。

10. 編輯Wired-WinPE-EAP-TLS.xml檔案，並變更下列行以輸入適用于正確憑證授權單位單位的 Root CA 憑證縮圖/雜湊：

    <TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA> 

11. 使用 EAP-TLS 將連線配置檔案複製到 Windows PE 目錄：

    Copy Wired-WinPE-EAP-TLS.xml C:\winpe_x86\mount\winpe 

12. 編輯USERDATA-EAP-TLS.xml檔案，並變更 Username 和 UserCert 的下列行：

    <eapTls:Username>contoso\username</eapTls:Username>
    
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>

13. 使用 EAP-TLS 將連線配置檔案複製到 Windows PE 目錄：

    copy USERDATA-EAP-TLS.xml C:\winpe_x86\mount\winpe 

14. 將您的根憑證及任何從屬 CA 憑證複製到 c：\winpe_x86\mount\winpe 資料夾。

15. 將您的使用者憑證 pfx 複製到 c：\winpe_x86\mount\winpe 資料夾。

16. 編輯StartDot3.vbs檔案，並變更下列行：

    certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN 

    附注 在此行中，您必須將密碼變更為匯出時指派給憑證的密碼。

17. 將StartDot3.Vbs複製到 c：\winpe_x86\mount\winpe 資料夾。

18. 編輯 startnet.cmd 以自動執行StartDot3.vbs：

    notepad C:\winpe_x86\mount\windows\system32\startnet.cmd

19. 在 wpeinit 命令之後新增 .\winpe\StartDot3.vbs，然後儲存 startnet.cmd 檔案。

20. 取消復原並認可變更 。WIM：

    Dism /Unmount-Wim /MountDir:C:\winpe_x86\mount /Commit

21. 使用下列主題底下Windows 7 AIK 說明檔案中所述的步驟，建立可開機媒體：

    • 「建立可開機 CD-ROM」

    • 「建立可開機的 UFD」

‘================================
‘StartDot3.VBS
‘================================
Dim WshShell
Set WshShell = CreateObject("WScript.Shell")

commandLine = "certutil -addstore Root \winpe\Rootcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil -addstore CA \winpe\SubCAcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "net start dot3svc"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan add profile filename=\winpe\Wired-WinPE-EAP-TLS.xml"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan set eapuserdata filename=\winpe\Wired-WinPE-UserData-EAP-TLS.xml allusers=yes interface=*"
Return  = WshShell.Run(commandLine, 0, true)

<?xml version="1.0"?>
<EapHostUserCredentials xmlns="http://www.microsoft.com/provisioning/EapHostUserCredentials" xmlns:eapCommon="http://www.microsoft.com/provisioning/EapCommon" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapMethodUserCredentials">
 <EapMethod>
  <eapCommon:Type>13</eapCommon:Type>
  <eapCommon:AuthorId>0</eapCommon:AuthorId>
 </EapMethod>
 <Credentials xmlns:eapUser="http://www.microsoft.com/provisioning/EapUserPropertiesV1" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapUserPropertiesV1" xmlns:eapTls="http://www.microsoft.com/provisioning/EapTlsUserPropertiesV1">
  <baseEap:Eap>
  <baseEap:Type>13</baseEap:Type>
   <eapTls:EapType>
    <eapTls:Username>contoso\username</eapTls:Username>
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>
   </eapTls:EapType>
  </baseEap:Eap>
 </Credentials>
</EapHostUserCredentials>

<?xml version="1.0"?>
<LANProfile xmlns="http://www.microsoft.com/networking/LAN/profile/v1">
 <MSM>
  <security>
   <OneXEnforced>false</OneXEnforced>
   <OneXEnabled>true</OneXEnabled>
   <OneX xmlns="http://www.microsoft.com/networking/OneX/v1">
    <authMode>user</authMode>
    <EAPConfig><EapHostConfig xmlns="http://www.microsoft.com/provisioning/EapHostConfig"><EapMethod>
<Type xmlns="http://www.microsoft.com/provisioning/EapCommon">13</Type>
<VendorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorId>
<VendorType xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorType>
<AuthorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</AuthorId>
</EapMethod>
<Config xmlns="http://www.microsoft.com/provisioning/EapHostConfig">
<Eap xmlns="http://www.microsoft.com/provisioning/BaseEapConnectionPropertiesV1"><Type>13</Type>
<EapType xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV1">
<CredentialsSource>
<CertificateStore>
<SimpleCertSelection>true</SimpleCertSelection>
</CertificateStore>
</CredentialsSource>
<ServerValidation>
<DisableUserPromptForServerValidation>false</DisableUserPromptForServerValidation>
<ServerNames></ServerNames>
<TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA>
</ServerValidation>
<DifferentUsername>false</DifferentUsername>
<PerformServerValidation xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">true</PerformServerValidation>
<AcceptServerName xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</AcceptServerName>
</EapType>
</Eap>
</Config>
</EapHostConfig>
</EAPConfig>
   </OneX>
  </security>
 </MSM>
</LANProfile>

參考

本文提及的協力廠商產品是由與 Microsoft 無關的獨立廠商所製造。 Microsoft 不以默示或其他方式，提供與這些產品的效能或可靠性有關的擔保。