win2008域控智能卡登录配置最佳实践.doc

win2008 域控智能卡登录配置最佳实践目的:构建 win2008 域控智能卡登录环境范围:建议 以上、 win2008 、飞天 epass3000 注意: win7 终端域用户需要使用双证书,且加密证书需要包含签名算法才能进行智能卡登录; XP 不受影响步骤: 域控与客户端时间校准域控 2008 初始化设置管理员密码 12345678aA 改计算机名为 ADServer // 见名知意重启安装 AD域计算机- 右键- 管理- 添加角色-AD域- -下一步- 关闭前安装 DNS ( 完成 AD 关闭前)dcpromo( 或者直接开始- 运行- dcpromo) - 下一步- 新林- - win2008R2 - 否,静态地址设置网卡地址为静态地址是(不创建委派) 还原模式启动密码 1~8aA 完成- 重启系统 CA 准备签发 ADServer. 域控证书签发 swg 域控用户证书导出 ROOTCA SUBCA 证书及 CRL 域控服务器证书配置开始- MMC - 添加证书(部分内容略可参考其他文档) 导入域控证书导入 ROOTCA SUBCA 及 CRL 域控服务器添加中级 CA 证书到信任区域 C:\Users\Administrator> -dspublish -f C:\Users\Administrator\Desktop\yu08\ NTAuthCA 结果: ldap:///CN==Public Key ==Configuration,DC=demo,?cACert ificate 证书被添加到 DS 存储。 CertUtil: -dsPublish 命令成功完成。域控服务器重启系统服务启动 Smart Card 服务重启 Kerberos 域控服务器刷新组策略 gpupdate /force 重启系统域控服务端添加域用户 AD 计算机和用户- user - 新建- 用户- swg 域控客户端加入域我的电脑- 右键- 属性- 计算机名- 更改-域- - administrator/1~8aA 重启系统域控客户端导入根证 MMC 方式导入 ROOTCA SUBCA 证书(不含 CRL ) <> 域控终端使用新域用户登录注销当前用户使用用户名密码方式(域用户)登录结果登录成功使用智能卡方式(域用户)登录结果登录失败,提示“系统无法让你登录,无法验证凭证”客户端导入 CRL MMC 方式导入 CRL