H3C EIA LDAP对接（Windows）

典型配置举例

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

资料版本：5W136-20260704

产品版本：EIA (E7202)

 

目  录

1 介绍

1.1 使用场合

1.2 配置前提

2 配置举例

2.1 组网需求

2.2 配置流程

2.3 配置步骤

2.3.1 配置LDAP服务器

2.3.2 配置EIA服务器

2.3.3 EIA服务器加入域控

2.3.4 配置接入设备

3 配置验证

3.1 使用iNode认证

3.2 使用客户端网卡进行认证

4 附录

4.1 安装主域控

4.2 配置证书服务

 

1 介绍

当用户的应用系统使用LDAP服务器来管理终端用户的账号时，引入EIA组件来负责接收终端用户的认证请求，可以减少系统的工作量和时间，同时保护用户的已有投资。通过实时认证（LDAP服务器认证）或者本地认证（EIA本地认证）的方式验证用户合法性，从而实现入网账号和LDAP服务器中账号的统一。

1.1  使用场合

适用于用户的应用系统使用LDAP服务器来管理终端用户的账号，并引入EIA组件对终端用户接入网络进行认证的场景，EIA服务器需为Linux操作系统，例如：

·     企业办公网络接入：企业内员工通过有线/Wi-Fi接入办公网络，使用LDAP统一账号认证，简化管理并提高安全性。

·     医疗机构终端准入：医生、护士、行政人员等通过LDAP统一认证，避免多系统分散管理账号，降低密码泄露风险。

·     政府/金融机构高安全网络：政府机构或银行使用LDAP集中管理账号，方便集中审计账号活动。

1.2  配置前提

·     接入设备支持802.1X协议，网络中存在基于Windows AD的LDAP服务器，安装Windows AD可参考附录。

·     进入服务器管理的[工具>本地安全策略>安全设置>本地策略>安全选项]路径，在网络安全：LAN管理器身份验证级别属性页面不支持配置为“仅发送NTLMv2响应。拒绝LM和NTLM（&）”选项，如下图所示。

图1-1 网络安全：LAN管理器身份验证级别属性

 

2 配置举例

2.1  组网需求

某公司计划启用LDAP用户认证，用户接入网络时需要进行身份验证，具体的组网如下图所示。

·     EIA服务器IP地址为192.168.7.220。

·     接入设备用户侧GigabitEthernet1/0/29对应VLAN虚接口的IP地址为172.18.76.1。

·     PC的IP地址可以通过DHCP服务器进行获取，本文档获取到的IP地址为172.18.76.9。

图2-1 组网图

 

注：本案例中各部分使用的版本信息如下：

·     EIA版本：EIA (E7202)

·     接入设备：H3C S5820V2-54QS-GE

·     iNode版本：iNode PC 7.3 (E0589)

2.2  配置流程

配置步骤如下：

(1)     配置LDAP服务器

¡     新建OU和用户

¡     查看管理员DN

(2)     配置EIA服务器

¡     增加接入设备

¡     增加接入策略

¡     增加LDAP服务器

¡     配置LDAP同步策略

¡     同步LDAP用户作为接入用户

(3)     EIA服务器加入域控

(4)     配置接入设备

2.3  配置步骤

2.3.1  配置LDAP服务器

1. 新建OU（组织单位）和用户

LDAP服务器支持Windows Server 2012及更高版本，本例以在Windows Server 2022下配置为例进行介绍。

(1)     打开服务管理器，单击导航树的[工具>Active Directory用户和计算机]菜单项，如下图所示。

图2-2 Active Directory用户和计算机

 

(2)     进入Active Directory用户和计算机页面，右键单击h3c.com，选择[新建>组织单位]选项，如下图所示。

图2-3 组织单位

 

(3)     进入新建对象-组织单位页面，如下图所示，填写名称，本例以testid为例。

图2-4 新建testid

 

(4)     配置完成后，单击<确定>按钮，完成配置。

(5)     右键单击新建的testid目录，选择[新建>用户]选项，如下图所示。

图2-5 新建用户

 

(6)     进入创建对象-用户页面，如下图所示，填写用户信息。

图2-6 新建对象-用户

 

(7)     单击<下一步>按钮，如下图所示，输入密码。

图2-7 输入密码

 

(8)     单击<下一步>按钮，确认信息是否正确，单击<完成>按钮，完成配置，如下图所示。

图2-8 完成配置

 

(9)     返回微软活动目录，查看新增test1用户，如下图所示。

图2-9 新增用户

 

(10)     重复同样的方法新增多个用户，如下图所示。

图2-10 新建多个用户

 

2. 查看管理员DN（管理员DN：标识管理员账户的唯一路径）

(1)     查看administrator管理员所在的文件夹为Users，所以管理员DN为CN=Administrator,CN=Users,DC=h3c,DC=com，管理员密码为EIA123456。

图2-11 管理员

 

2.3.2  配置EIA服务器

1. 增加接入设备

增加接入设备是为了建立服务器和接入设备之间的联动关系。

增加接入设备的方法如下：

(1)     选择“自动化”页签，单击导航树中的[网络准入>准入管理>接入设备>接入设备>设备配置]菜单项，进入设备配置页面，如下图所示。

图2-12 设备配置页面

 

(2)     单击<增加>按钮，进入增加接入设备页面，如下图所示。

图2-13 增加接入设备

 

(3)     单击设备列表中的<增加IPv4设备>按钮，弹出增加接入设备窗口。填入接入设备信息，单击<确定>按钮，返回增加接入设备页面。其中，接入设备的IP地址都必须满足以下要求：

¡     如果在接入设备上配置RADIUS scheme时配置了nas ip命令，则EIA中接入设备的IP地址必须与nas ip的配置保持一致。

¡     如果未配置nas ip命令，则EIA中接入设备的IP地址必须是设备连接EIA服务器的接口IP地址（或接口所在VLAN的虚接口IP地址）。

(4)     配置公共参数。

公共参数的配置要求如下：

¡     认证端口：EIA监听RADIUS认证报文的端口。此处的配置必须与接入设备命令行配置的认证端口保持一致。EIA和接入设备一般都会采用默认端口1812。

¡     计费端口：EIA监听RADIUS计费报文的端口。此处的配置必须与接入设备命令行配置的计费端口保持一致。EIA和接入设备一般都会采用默认端口1813。

 

¡     共享密钥/确认共享密钥：输入两次相同的共享密钥。接入设备与EIA配合进行认证时，使用该密钥互相验证对方的合法性。此处的配置必须与接入设备命令行配置的共享密钥保持一致。如果在[自动化>网络准入>准入管理>参数管理>接入认证>系统参数]中的“密钥显示方式”设置为明文时，只需输入一次共享密钥即可。

(5)     单击<确定>按钮，增加接入设备完毕，可在设备配置列表中查看新增的接入设备，如下图所示。

图2-14 查看新增的接入设备

 

2. 增加接入策略

配置一个不进行任何接入控制的接入策略。

增加接入策略的方法如下：

(1)     选择“自动化”页签，单击导航树中的[网络准入>准入管理>接入服务>接入策略]菜单项，进入接入策略页面，如下图所示。

图2-15 接入策略

 

(2)     单击<增加>按钮，进入增加接入策略页面，如下图所示。由于不需要任何接入控制，所以只需输入接入策略名，其他参数保持默认即可。

图2-16 增加接入策略

 

(3)     单击<确定>按钮，接入策略增加完毕。返回接入策略管理页面，可在接入策略列表中查看新增的接入策略，如下图所示。

图2-17 查看新增的接入策略

 

3. 增加接入服务

接入服务是对用户进行认证授权的各种策略的集合。本例不对用户进行任何接入控制，因此只需增加一个简单的接入服务即可。

增加接入服务的方法如下：

(1)     选择“用户”页签，单击导航树中的[网络准入>准入管理>接入服务]菜单项，进入接入服务页面，如下图所示。

图2-18 接入服务管理

 

(2)     单击<增加>按钮，进入增加接入服务页面，如下图所示。

图2-19 增加接入服务

 

配置服务的各个参数：

¡     服务名：输入服务名称，在EIA中必须唯一。

¡     服务后缀：服务后缀、认证连接的用户名、设备的Domain和设备Radius scheme中的命令这四个要素密切相关，具体的搭配关系请参见下表。

¡     缺省接入策略：选择之前新增的接入策略。

¡     缺省安全策略：接入用户的接入场景与服务中的接入场景均不匹配时，会根据该安全策略指定的安全方案对用户的上网的计算机进行安全检查和监控，从而实现网络的自动防御。该选项只有安装了EAD安全策略组件后才会出现。

¡     缺省内网外连策略：接入用户的接入场景与服务中的接入场景均不匹配时，用户受到缺省内网外连策略的控制。

¡     缺省私有属性下发策略：接入用户的接入场景与服务中的接入场景均不匹配时，EIA会根据本参数指定的策略将私有属性下发到此用户连接的接入设备上。

¡     缺省单帐号最大绑定终端数：接入用户的接入场景与服务中的接入场景均不匹配时，用户受到缺省单账号最大绑定终端数的控制。

¡     缺省单帐号在线数量限制：接入用户的接入场景与服务中的接入场景均不匹配时，用户受到缺省单账号在线数量限制的控制。

¡     单日累计在线最长时间（分钟）：每天允许账号使用该服务接入网络的总时长，达到该时长后，账号将被强制下线，且当日不能再次接入。该参数单位是分钟，只支持输入整数，最小值是0，表示不限制每天在线时长，最大值是1440。

¡     其他参数保持默认。

表2-1 服务后缀的选择

认证连接用户名	设备用于认证的Domain	设备Radius scheme中的命令	EIA中服务的后缀
X@Y	Y	user-name-format with-domain	Y
		user-name-format without-domain	无后缀
X	[Default Domain] 设备上指定的缺省域	user-name-format with-domain	[Default Domain]
		user-name-format without-domain	无后缀

 

(3)     单击<确定>按钮，完成增加接入服务。返回接入服务管理页面，可在接入服务列表中查看新增的接入服务，如下图所示。

图2-20 查看新增的接入服务

 

4. 增加LDAP服务器

本文档以微软活动目录中[h3c.com>testid]目录下的用户为例进行介绍，如下图所示。

图2-21 微软活动目录数据

 

(2)     选择“自动化”页签，单击左侧导航树中的[网络准入>准入管理>LDAP配置>服务器配置]菜单项，进入服务器配置页面。单击<增加>按钮，进入增加LDAP服务器页面，如下图所示。

图2-22 增加LDAP服务器基本信息

 

参数说明：

¡     服务器名称：输入服务器名称，在EIA中唯一。本例为“Windows AD”。

¡     服务器地址：输入LDAP服务器的IP地址，该参数和Base DN的组合必须唯一。本例为“10.114.117.46”。

¡     服务器类型：LDAP服务器是Windows AD，推荐选择微软活动目录，所以本例保持缺省值“微软活动目录”。

¡     管理员DN（Distinguished Name）：输入LDAP服务器的管理员（用户可以自行创建管理员用户），必须输入能定位到管理员的绝对路径。本例为查看管理员DN（管理员DN：标识管理员账户的唯一路径）中的管理员DN“CN=Administrator,CN=Users,DC=h3c,DC=com”。

¡     管理员密码：输入LDAP服务器管理员的密码，本例为查看管理员DN（管理员DN：标识管理员账户的唯一路径）中administrator的密码，系统利用管理员DN和密码与LDAP服务器建立连接。

¡     显示明文：该参数决定管理员密码是否允许明文显示。考虑到管理员密码的安全性，启用该参数时，管理员密码需要重新输入。

¡     Base DN：LDAP服务器中保存用户数据的根节点名称，必须使用LDAP服务器上的绝对路径。Base DN分为选择及手动输入两种方式。

-     选择：单击<选择>按钮，进入选择Base DN页面。单击<查询>按钮，刷新Base DN列表，按需选择相应的Base DN。其中，只有正确填写了服务器地址、管理员DN、管理员密码，才能获取对应服务器下的所有Base DN信息。

-     手动输入：以微软活动目录为例进行介绍，LDAP服务器的域为“h3c.com”，域下面有组织(OU) group1，组织group1下有组织单位(OU) test。当需要以group1为根节点新增一个LDAP服务器时，那么Base DN应配置为“ou=group1,dc=h3c,dc=com”；当以test为根节点新增一个LDAP服务器时，则Base DN应配置为“ou=test,ou=group1,dc=h3c,dc=com”。其中，手动输入只能使用“，”或“；”中的一种符号作为分隔符。

(3)     在高级信息区域配置服务同步方式及实时认证，如下图所示。

图2-23 配置服务同步方式及实时认证

 

参数说明：

¡     服务同步方式：当“服务器类型”设置为通用LDAP服务器时，该参数只能设置为手工指定；当“服务器类型”设置为微软活动目录时，该参数可以设置为手工指定或基于AD组。手工指定表示为LDAP服务器配置同步策略时，可以为绑定用户指定服务；基于AD组表示为LDAP服务器配置同步策略时，只能为LDAP组指定服务，根据绑定用户所属的LDAP组自动为用户分配服务。本例选择“手工指定”。

 

¡     实时认证：用户认证信息提交到EIA后，确定是在EIA本地认证，还是实时在LDAP服务器上认证。当“服务器类型”设置为微软活动目录时，由于微软活动目录不提供用户密码数据接口，该参数只能设置为实时认证；当“服务器类型”设置为通用LDAP服务器时，由于可以把用户的密码也同步至EIA，因此可以选择到EIA本地认证。

¡     其他参数保持默认。

(4)     勾选MS-CHAPv2认证，然后选择“通过SMB协议认证”选项，配置DNS服务器IP地址和域控服务器IP地址，本例均为“10.114.117.46”，如下图所示

图2-24 MS-CHAPv2

 

 

(5)     配置完成后，单击<检测>按钮，检测与LDAP服务器的连通性，如下图所示。

图2-25 检测LDAP服务器连通性

 

(6)     检测成功后，单击<确定>按钮，完成配置，如下图所示。

图2-26 完成

 

5. 配置LDAP同步策略

 

自动同步策略是在自动同步完成后，可以使LDAP服务器与EIA保持数据上的同步。

当LDAP同步策略中同步选项勾选了“自动同步”，并且用户未对此同步策略进行同步时，EIA每天会按照[自动化>网络准入>准入管理>LDAP配置>参数配置]页面中“LDAP同步/备份任务”设置的时间点进行自动同步用户。

配置LDAP自动同步策略步骤如下：

(1)     选择“自动化”页签，单击左侧导航树中的[网络准入>准入管理>LDAP配置>同步策略配置]菜单项，进入同步策略配置页面。单击<增加>按钮，进入增加LDAP同步策略页面，如下图所示。

图2-27 自动同步

 

(2)     配置同步策略的基本信息：

¡     同步策略名称：输入LDAP同步策略的名称，在EIA中必须唯一。本例为“LDAP同步策略”。

¡     服务器名称：在下拉框中选择“Windows AD”。

¡     子Base DN：输入LDAP服务器中保存用户数据的子目录路径。同步策略同步该目录下的用户数据。子Base DN用LDAP服务器上的绝对路径来表示，且必须是Base DN或其子集。本例为“OU=testid,DC=h3c,DC=com”。

¡     同步的用户类型：本例以选择“接入用户”的方式进行介绍。

-     增加同步策略时，只有选择接入用户，新增的同步策略才属于接入用户类型的LDAP同步策略。

-     增加同步策略时，只有选择设备管理用户，新增的同步策略才属于设备管理用户类型的LDAP同步策略。

¡     同步选项：选择同步选项，本例选择“用户同步”、“新增用户及其接入账号”、“为已存在的用户新增接入账号”和“过滤计算机账号”。

-     自动同步：每天按照系统参数中“LDAP同步/备份任务”设置的时间进行同步。

-     按需同步： EIA系统中不存在、而LDAP服务器中存在的用户进行接入认证时，EIA自动将认证请求转给LDAP服务器进行校验。如果用户通过认证，系统将自动将此用户从LDAP服务器同步到EIA中。需要注意的是，如果EIA中用户相关的License已达授权数量的上限，则无法进行同步，同时强制用户下线。LDAP按需同步功能只能同步采用PAP和EAP-MD5方式认证的用户，不能同步采用CHAP和任何证书认证的用户。PEAP/MS-CHAPv2认证方式支持LDAP按需同步用户特性需要具备的条件是：LDAP按需同步用户申请的服务，需要配置缺省接入策略，而不能配置为“禁止接入”， 而且这个缺省接入策略需要配置为PEAP/MS-CHAPv2认证方式。当一个按需同步用户首次发起EAP认证时（此时还拿不到用户的密码信息），EIA会检查这个LDAP临时用户是否符合上述条件， 符合则把这个用户同步为正式用户，无论随后的认证能否通过。

-     启用第三方认证：勾选该选项时，该同步策略同步过来的LDAP用户认证时会做第三方认证，当不勾选时，做LDAP认证。

-     新增用户及其接入帐号：如果在LDAP服务器中存在某个用户，而在EIA中不存在该用户，则同步时会在EIA中新增该用户，并在EIA组件中新增对应的接入用户。

-     为已存在用户新增接入帐号：如果在LDAP服务器和EIA中都存在某个用户，而在EIA组件中不存在该用户对应的接入用户，则同步时会在EIA组件中新增对应的接入用户。

-     仅同步当前节点下的用户：如果选中该项，则只同步子BaseDN下的用户，不同步子BaseDN下属OU的用户；如果不选中，则同步子BaseDN及其下属OU中的所有用户。

-     过滤计算机帐号：如果去勾选该项，则计算机账号会被同步为接入用户。

-     发送密码通知短信：通过短信发送密码通知。

-     发送密码通知电子邮件：通过电子邮件发送密码通知

¡     其他参数：保持缺省值。

(3)     勾选“自动同步”项，配置完成后，单击<配置检测>按钮，检测连通性。检测完成后，单击<下一步>按钮，进入增加LDAP同步策略页面，配置密码，如下图所示。

图2-28 增加同步策略配置

 

(4)     选择接入服务，如下图所示。

图2-29 选择接入服务

 

(5)     配置完成后，单击<确定>按钮，完成配置。

6. 同步LDAP用户作为接入用户

 

(1)     同步策略配置完成后，在同步策略配置页面列表中可以查看增加的同步策略，如下图所示。

图2-30 同步策略

 

(2)     单击列表中“同步”列的“同步”链接，同步LDAP用户，如下图所示。

图2-31 同步

 

(3)     同步完成后，选择“用户”页签，单击左侧导航树中的“接入用户管理 > 接入用户”菜单项，进入接入用户页面。可在该页面中查看同步的LDAP用户，如下图所示。

图2-32 同步LDAP用户结果

 

2.3.3  EIA服务器加入域控

(1)     使用root用户，进入EIA服务器所在的Linux系统，打开终端，执行如下命令，如下图所示

cd /usr/local/samba/bin

./net join –w h3c.com –U Administrator

图2-33 入域操作

 

(2)     h3c.com为LDAP服务器的域控名，可进入LDAP服务器，单击我的电脑，在属性中查看域控名，如下图所示。

图2-34 域控名

 

(3)     输入密码，进行入域操作，如下图所示。

图2-35 加入域

 

(4)     加入域控成功后，可以在域控服务器上computer目录下看到一个eiaserver的计算机账号，如下图所示。

图2-36 查看账号

 

2.3.4  配置接入设备

接入设备用于控制用户的接入。通过认证的用户可以接入网络，未通过认证的用户无法接入网络。

以下使用Windows的CLI窗口telnet到接入设备并进行配置，具体的命令及其说明如下：

(1)     进入系统视图。

<Device>system-view

System View: return to User View with Ctrl+Z.

(2)     配置RADIUS策略“allpermit”。认证、计费服务器均指向EIA。认证端口、计费端口、共享密钥要与增加接入设备的配置保持一致。

[Device]radius scheme allpermit

New Radius scheme

[Device-radius-allpermit]primary authentication 192.168.7.220 1812

[Device-radius-allpermit]primary accounting 192.168.7.220 1813

[Device-radius-allpermit]key authentication simple movie

[Device-radius-allpermit]key accounting simple movie

[Device-radius-allpermit]user-name-format with-domain

[Device-radius-allpermit]nas-ip 172.19.254.76

[Device-radius-allpermit]quit

(3)     配置domain域“cer”，引用配置好的“allpermit”策略。domain的名称必须与增加接入服务中配置的服务后缀保持一致。

[Device]domain cer

New Domain added.

[Device-isp-cer]authentication portal radius-scheme allpermit

[Device-isp-cer]authorization portal radius-scheme allpermit

[Device-isp-cer]accounting portal radius-scheme allpermit

[Device-isp-cer]quit

(4)     启动802.1X认证功能

[Device]dot1x

[Device]interface GigabitEthernet 1/0/2

[Device-GigabitEthernet 1/0/2]dot1x

[Device-GigabitEthernet 1/0/2]dot1x mandatory-domain cer

[Device-GigabitEthernet 1/0/2]quit

//只有在全局和接口上都启用802.1X认证，802.1X认证才生效。

[Device]dot1x authentication-method pap

//802.1X 的认证方式包括PAP、CHAP和 EAP。进行LDAP认证，可以设置为PAP和 EAP；目前LDAP认证不支持 CHAP。

3 配置验证

可通过以下两种方式进行认证，选择其中一种方式进行认证即可。

3.1  使用iNode认证

1. 安装iNode客户端

 

2. 配置802.1X连接属性

(1)     打开iNode客户端，如下图所示。

图3-1 iNode客户端界面

 

(2)     单击<更多>按钮，然后单击<属性>按钮，弹出802.1X属性设置窗口，如下图所示。

图3-2 802.1X属性设置

 

(3)     选择“高级”页签，进入高级认证配置页面，如下图所示。

图3-3 高级认证设置

 

(4)     勾选“启用高级认证”前的复选框，并在下拉框中选择“证书认证”，认证类型选择“PEAP”，子类型选择“MS-CHAP-V2”，如下图所示。

图3-4 选择连接类型

 

(5)     单击<确定>按钮，802.1X属性设置完成。

3. 使用iNode客户端进行802.1X认证

(1)     在认证窗口中，选择802.1X连接，输入用户名和密码，如下图所示。

图3-5 认证

 

(2)     单击<连接>按钮，认证成功，如下图所示。

图3-6 认证成功

 

4. 在EIA中查看在线用户

在EIA 配置页面中，选择“自动化”页签。单击导航树中的[网络准入>准入管理>在线用户>本地在线用户]菜单项，查看本地在线用户，如下图所示。

图3-7 在线用户

 

3.2  使用客户端网卡进行认证

(1)     在客户端依次单击[开始>控制面板>网络和共享中心>更改适配器设置]菜单项，双击本地连接，弹出本地连接状态窗口，如下图所示。

图3-8 本地连接状态窗口

 

(2)     单击<属性>按钮，弹出本地连接属性窗口。切换至“身份验证”页签，进入身份验证页面，如下图所示。

图3-9 身份验证页面

 

(3)     单击<设置>按钮，进入受保护的EAP属性页面，如下图所示。

图3-10 受保护的EAP属性页面

 

参数配置如下：

¡     勾选“通过验证证书来验证服务器的身份”项。

¡     受信任的根证书颁发机构：勾选“h3c-WIN-3VTAU07SVFS-CA”项。其中，h3c-WIN-3VTAU07SVFS-CA是CA证书服务器的名字，正确安装根证书和客户端身份验证证书后，受信任的根证书颁发机构选框下才会出现相应选项。

¡     其他参数：保持缺省值。

(4)     单击<配置>按钮，弹出EAP MSCHAPv2的属性，去勾选“自动使用Windows登录名和密码（以及域，如果有的话）”，如下图所示，单击<确定>按钮，

图3-11 EAP MSCHAPv2属性

 

(5)     单击<确定>按钮，返回本地连接属性窗口。单击<其他设置>按钮，弹出高级设置窗口，如下图所示。

图3-12 高级设置页面

 

参数配置如下：

¡     勾选“指定身份验证模式”。

¡     身份验证模式：选择“用户或计算机身份验证”项。

¡     其他参数：保持缺省值。

单击<确定>按钮，返回本地连接属性窗口。单击<确定>按钮，认证成功后，本地连接状态会显示“已认证”。

4 附录

4.1  安装主域控

本例以在Windows Server 2022下配置为例进行介绍。

(1)     单击服务管理器，进入仪表板界面，如下图所示

图4-1 仪表板

 

(2)     单击“添加角色和功能”步骤，进入添加角色和功能向导页面，如下图所示，单击<下一步>按钮。

图4-2 添加角色和功能向导

 

(3)     进入选择安装类型页面，如下图所示，选择“基于角色或基于功能的安装”选项，单击<下一步>按钮。

图4-3 安装类型

 

(4)     进入服务器选择页面，选择“从服务器池中选择服务器”，如下图所示，单击<下一步>按钮。

图4-4 服务器选择

 

(5)     进入选择服务器角色页面，勾选“Active Directory域服务”选项，如下图所示。

图4-5 服务器角色

 

(6)     弹出确认窗口，单击<添加功能>按钮，然后单击<下一步>按钮。

图4-6 添加功能

 

(7)     进入功能页面，如下图所示，直接单击<下一步>按钮。

图4-7 功能

 

(8)     进入AD DS页面，如下图所示，直接单击<下一步>按钮。

图4-8 AD DS

 

(9)     进入确认页面，勾选“如果需要，自动重新启动目标服务器”选项，如下图所示。

图4-9 确认

 

(10)     单击<安装>按钮，进入结果页面，查看安装进度，如下图所示。

图4-10 功能安装

 

(11)     进入结果页面，选择“将此服务器提升为域控制器”链接，如下图所示。

图4-11 安装完成

 

(12)     进入部署配置页面，选择“添加新林”选项，填写根域名，如下图所示，本文以“h3c.com”为例。

图4-12 部署配置

 

(13)     单击<下一步>按钮，进入域控制器选项页面，选择新林和根域的功能级别，并输入目录服务还原模式（DSRM）密码，如下图所示。

图4-13 域控制器选项

 

(14)     单击<下一步>按钮，进入其他选项页面，如下图所示。

图4-14 其他选项

 

(15)     直接单击<下一步>按钮，进入路径页面，如下图所示。

图4-15 路径

 

(16)     单击<下一步>按钮，进入查看选项页面，如下图所示。

图4-16 查看选项

 

(17)     直接单击<下一步>按钮，进入先决条件检查页面，如下图所示。

图4-17 先决条件检查

 

(18)     待先决条件检查完之后，单击<安装>按钮，安装完成后，提示重启。

(19)     重启完成后，重新登录域服务器。

(20)     打开服务器管理器，选择[工具>Active Directory用户和计算机]路径，如下图所示。

图4-18 打开Active Directory用户和计算机

 

(21)     进入Active Directory用户和计算机页面，如下图所示，可查看用户和组管理。

图4-19 查看目录

 

(22)     进入[控制面板>系统和安全>系统>高级系统设置>计算机名]路径，如下图所示，可以查看域控安装成功。

图4-20 查看域

 

4.2  配置证书服务

(1)     打开服务器管理器，进入仪表板界面，如下图所示。

图4-21 仪表板

 

(2)     选择添加角色和功能，连续单击<下一步>按钮，直到进入选择服务器角色页面，选择Active Directory证书服务，如下图所示，单击<下一步>按钮。

图4-22 服务器角色

 

(3)     进入添加角色和功能向导页面，单击<添加功能>按钮，如下图所示。

图4-23 添加功能

 

(4)     进入角色服务页面，勾选证书颁发机构选项，如下图所示，单击<下一步>按钮。

图4-24 角色服务

 

(5)     进入确认页面，勾选“如果需要，自动重新启动目标服务器”选项，如下图所示，单击<安装>按钮。

图4-25 确认

 

(6)     进入结果页面，查看安装进度，如下图所示。

图4-26 安装完成

 

(7)     安装完成后单击“配置目标服务器上的Active Directory证书服务”，进入凭据页面，如下图所示，单击<下一步>按钮。

图4-27 凭据

 

(8)     进入角色服务页面，勾选“证书颁发机构”，如下图所示，单击<下一步>按钮。

图4-28 角色服务

 

(9)     进入指定CA的设置类型页面，如下图所示，单击<下一步>按钮。

图4-29 设置类型

 

(10)     进入指定CA类型页面，如下图所示，单击<下一步>按钮。

图4-30 CA类型

 

(11)     进入私钥页面，选择创建新的私钥，如下图所示，单击<下一步>按钮。

图4-31 私钥

 

(12)     进入指定加密选项，选择SHA1选项，如下图所示，单击<下一步>按钮。

图4-32 加密

 

(13)     进入指定CA名称页面，保持默认值，如下图所示，单击<下一步>按钮。

图4-33 CA名称

 

(14)     进入指定有效期页面，设置有效期，如下图所示，单击<下一步>按钮。

图4-34 有效期

 

(15)     进入证书数据库页面，如下图所示，单击<下一步>按钮。

图4-35 证书数据库

 

(16)     进入确认页面，如下图所示，单击<配置>按钮。

图4-36 确认

 

(17)     查看配置进度，如下图所示。

图4-37 进度

 

(18)     安装完成后提示配置成功，如下图所示。

图4-38 配置成功

 

(19)     安装完成之后可进入[服务器管理器>工具>证书颁发机构>颁发的证书]页面查看证书，如下图所示。

图4-39 查看证书