Ключевое слово в защите информации
КЛЮЧЕВОЕ СЛОВО
в защите информации
Получить ГОСТ TLS-сертификат для домена (SSL-сертификат)
Добро пожаловать, Гость! Чтобы использовать все возможности Вход или Регистрация.

Уведомление

Icon
Error

4 Страницы<1234>
Опции
К последнему сообщению К первому непрочитанному
Offline Максим Коллегин  
#11 Оставлено : 12 ноября 2013 г. 21:16:44(UTC)
Максим Коллегин

Статус: Сотрудник

Группы: Администраторы
Зарегистрирован: 12.12.2007(UTC)
Сообщений: 6,399
Мужчина
Откуда: КРИПТО-ПРО

Сказал «Спасибо»: 37 раз
Поблагодарили: 719 раз в 623 постах
Нужно добавлять Guid контроллера из контрольной панели CSP на контроллере.
Знания в базе знаний, поддержка в техподдержке
Offline Zhivotnikov.Mihael  
#12 Оставлено : 12 ноября 2013 г. 21:20:38(UTC)
Zhivotnikov.Mihael

Статус: Активный участник

Группы: Участники
Зарегистрирован: 28.10.2013(UTC)
Сообщений: 36
Российская Федерация
Откуда: Санкт-Петербург

Я так и сделал. На контроллере в панеле управления запустил csp на закладке винлогон нажал экспортировать и сохранил результат в блокнот и из него уже копировал гуи в свойства пользователя на арм администратора
Offline Molostvov  
#13 Оставлено : 12 ноября 2013 г. 21:30:31(UTC)
Molostvov

Статус: Сотрудник

Группы: Участники
Зарегистрирован: 14.03.2013(UTC)
Сообщений: 448
Российская Федерация
Откуда: Москва

Сказал(а) «Спасибо»: 2 раз
Поблагодарили: 95 раз в 85 постах
УЦ, выпустивший сертификаты для работы с Winlogon, подчиненный или корневой? Также проверьте доступность списков отзыва на контроллере домена.
Offline Zhivotnikov.Mihael  
#14 Оставлено : 12 ноября 2013 г. 21:34:29(UTC)
Zhivotnikov.Mihael

Статус: Активный участник

Группы: Участники
Зарегистрирован: 28.10.2013(UTC)
Сообщений: 36
Российская Федерация
Откуда: Санкт-Петербург

УЦ выпустивший сертификат для работы с winlogon подчиненный. С контроллера домена есть доступность по http и CDP и AIA, проверил!

Offline Zhivotnikov.Mihael  
#15 Оставлено : 12 ноября 2013 г. 21:47:17(UTC)
Zhivotnikov.Mihael

Статус: Активный участник

Группы: Участники
Зарегистрирован: 28.10.2013(UTC)
Сообщений: 36
Российская Федерация
Откуда: Санкт-Петербург

Что было понятней опишу структуру УЦ! Есть один корневой (офлайновый) ЦС и один подчиненный ЦС к подчиненному ЦС есть ЦР, а к ЦР соответственно АРМ администратора. Корневым ЦС я удостоверил подчиненный ЦС и выключил его (всмысле выключил корневой естественно). дальше все делалось только на тройке subЦС, ЦР, АРМ админ. cdp и aia хранятся и публикуются на ЦР к ним доступ по http. Когда я подошел к тому что бы настроить winlogon я сделал все в следующем порядке настроил соответствующим образом саб ЦС и ЦР (политики) все по инструкции и перешел в АРМ администратора ЦР создал на нем пользователя domain controller (предварительно скопировал в блокнот с контроллера значения имени днс и guid) в свойствах пользователя на закладке дополнительно я внес эти параметры, после этого создал html форму для формирования запроса и скопировал ее на контроллер, сделал запрос выпустил по нему сертификат на АРМе и скопипастил сертификат на контроллер и установил в той же html форме. К тому времени я уже естественно как и требовала инструкция распространил через gpo сертификат корневого ЦС и поместил в хранилище NTAuth сертификат подчиненного ЦС (команда certutil.exe -dcpublish c:\share\sub-ca.crt NTAuthCA) результат исполнения команды был положительный

Отредактировано пользователем 12 ноября 2013 г. 21:53:15(UTC)  | Причина: Не указана

Offline Zhivotnikov.Mihael  
#16 Оставлено : 12 ноября 2013 г. 21:50:27(UTC)
Zhivotnikov.Mihael

Статус: Активный участник

Группы: Участники
Зарегистрирован: 28.10.2013(UTC)
Сообщений: 36
Российская Федерация
Откуда: Санкт-Петербург

Собсна дальше завел на АРМе ЦР пользователя для клиента естественно с полем upn и при помощи html формы произвел формирование запроса и установку сертификата. И результат при попытке залогинить юзера через смарт карту пишет "Вход в систему невозможен. Нельзя использовать смарт-карту для входа в систему, так как вход в систему с помощью смарт-карты не поддерживается для этой учетной записи пользователя. Обратитесь в администратору и выясните, можно ли использовать вход со смарт-картой в вашей организации."
Может быть надо в АД в свойствах пользователся какую галку поставить хотя я пробовал там ставить "для интерактивного входа требуется смарт карта" но не помогло
Offline Максим Коллегин  
#17 Оставлено : 13 ноября 2013 г. 5:54:47(UTC)
Максим Коллегин

Статус: Сотрудник

Группы: Администраторы
Зарегистрирован: 12.12.2007(UTC)
Сообщений: 6,399
Мужчина
Откуда: КРИПТО-ПРО

Сказал «Спасибо»: 37 раз
Поблагодарили: 719 раз в 623 постах
Эта ошибка пропала: "Это событие показывает попытку входа со смарт-картой, но KDC не удалось использовать протокол PKINIT, поскольку нет подходящего сертификата."?
Знания в базе знаний, поддержка в техподдержке
Offline Zhivotnikov.Mihael  
#18 Оставлено : 13 ноября 2013 г. 6:00:37(UTC)
Zhivotnikov.Mihael

Статус: Активный участник

Группы: Участники
Зарегистрирован: 28.10.2013(UTC)
Сообщений: 36
Российская Федерация
Откуда: Санкт-Петербург

Да, есть такое в логах! Но не при каждой попытке входа появляется такое сообщение об ошибке.
Offline Zhivotnikov.Mihael  
#19 Оставлено : 13 ноября 2013 г. 6:06:47(UTC)
Zhivotnikov.Mihael

Статус: Активный участник

Группы: Участники
Зарегистрирован: 28.10.2013(UTC)
Сообщений: 36
Российская Федерация
Откуда: Санкт-Петербург

И это я смотрел в логах на контроллере
Offline Максим Коллегин  
#20 Оставлено : 13 ноября 2013 г. 6:16:48(UTC)
Максим Коллегин

Статус: Сотрудник

Группы: Администраторы
Зарегистрирован: 12.12.2007(UTC)
Сообщений: 6,399
Мужчина
Откуда: КРИПТО-ПРО

Сказал «Спасибо»: 37 раз
Поблагодарили: 719 раз в 623 постах
Нужно сначала с ней разобраться - что-то не так с сертификатом контроллера.
Знания в базе знаний, поддержка в техподдержке
RSS Лента  Atom Лента
Пользователи, просматривающие эту тему
Guest
4 Страницы<1234>
Быстрый переход  
Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.