1.無盤域控智能卡安裝操作手冊(新)

域控智能卡操作手冊西安聯(lián)友電子有限責任公司目 錄一、配置網(wǎng)絡(luò)（服務(wù)器端）- 3 -二、配置域控制器（Active Directory）- 5 -三、配置IIS服務(wù)器- 13 -四、安裝CA- 16 -五、頒發(fā)證書- 20 -六、申請注冊代理證書- 22 -七、在服務(wù)器端安裝 ePass 的驅(qū)動程序及硬件- 29 -八、添加域用戶- 31 -九、申請智能卡證書- 33 -十、配置客戶端- 43 -十一、配置客戶端安全選項。- 51 -十二、客戶端安裝 ePass 的驅(qū)動程序及硬件- 53 -十三、智能卡登錄 - 55 -1.安裝銳起無盤- 56 -2.硬盤配置：- 81 -3.硬盤備份- 87 -一、配置網(wǎng)絡(luò)（服務(wù)器端）打開“網(wǎng)上鄰居”查看網(wǎng)絡(luò)連接然后按照下圖操作和設(shè)置二、配置域控制器（Active Directory）由于智能卡是基于PKI體系的,而 PKI 體系的核心是CA 中心,而要建立 CA 中心頒發(fā)智能卡證書,需要安裝企業(yè)根 CA,而安裝企業(yè)CA 中心,要求必須安裝域控制器(Active Directory ),下面我們來配置域控制器：點擊開始管理工具管理您的服務(wù)器，打開管理您的服務(wù)器界面，從管理您的服務(wù)器界面上選擇“添加或刪除角色”選項,點擊“下一步（N）”進入到“配置您的服務(wù)器向?qū)А睂υ捒蛟谂渲媚姆?wù)器向?qū)υ捒蛑羞x擇“域控制器(Active Directory)” ,選擇“下一步(N)”按鈕,按界面操作來配置域控制器,設(shè)置服務(wù)器類型,DNS,NetBIOS 等,完成域控制器的配置安裝完畢后，提示“需要重新啟動“，選擇”立即重啟”。點擊“完成”，返回到“管理您的服務(wù)器界面”。此時不要關(guān)閉該界面。三、配置IIS服務(wù)器因為我們從web上來申請智能卡證書，而windows 2003 Server自帶的證書系統(tǒng)需要通過IIS 來發(fā)布證書，因此我們需要安裝 IIS 服務(wù)器，其服務(wù)器程序是基于 asp，所以我們必須配置active server page為允許，我們下面來配置 IIS 服務(wù)器。點擊開始管理工具管理您的計算機，打開管理您的服務(wù)器界面。從管理您的服務(wù)器界面上選擇“添加或刪除角色”選項，進入配置服務(wù)器角色的界面,選擇“應(yīng)用程序服務(wù)器(IIS,ASP.NET)”選擇“下一步(N)”按鈕,按系統(tǒng)提供完成 IIS 的其它配置。安裝完成IIS后，啟動 IIS,出現(xiàn) Web 服務(wù)擴展界面,將 Active Server Pages 服務(wù)設(shè)置為允許。完成 Internet 信息服務(wù)(IIS)管理器的配置提示：”請插入Windows Server 2003 SP2 的第二張光盤”,請插入server2003Windows Server 2003 SP2 的第二張光盤,點擊確定，繼續(xù)安裝，找到提示選中具體的文件,點擊確定繼續(xù)安裝。四、安裝CA要頒發(fā)智能卡證書，必須要配置證書服務(wù)器，我們下面來配置證書服務(wù)器。在控制面板中選擇“添加或刪除程序”“添加/刪除Windows 組件，出現(xiàn)添加刪除windows 組件的界面（圖1-1）選擇“證書服務(wù)”選項后出現(xiàn)，選擇“下一步（N）”按鈕,根據(jù)系統(tǒng)提示進行操作，出現(xiàn)選擇CA 類型界面此處選擇“是”。提示：“請插入Windows Server 2003 SP2 的第二張光盤”,請插入server2003Windows Server 2003 SP2 的第二張光盤,點擊確定，繼續(xù)安裝，找到提示選中具體的文件,點擊確定繼續(xù)安裝。此處選擇“是”。五、頒發(fā)證書啟動“證書頒發(fā)機構(gòu)”，啟動證書模板對話框 選擇：智能卡用戶，智能卡登錄，注冊代理，注冊代理（計算機）等策略，后選擇“確定”按鈕，返回到證書頒發(fā)機構(gòu)我們看到我們新增加的證書模板，已經(jīng)位于證書模板中了，完成CA 中心的配置六、申請注冊代理證書點擊開始菜單，點擊運行，輸入mmc進入控制臺管理，如下圖。點擊“文件”,”添加/刪除管理單元(M)”,啟動添加獨立管理單元對話對話框 點“添加”,進入“添加獨立管理單元”選擇“證書”，選擇“添加（A）”按鈕,進入下一步。選擇“我的用戶帳戶（M）”，點擊“完成”按鈕，進入下一步“添加獨立管理單元”對話框上，點“關(guān)閉”按鈕。返回“添加/刪除管理單元”點選“確定”。在控制臺管理界面，選擇“證書-當前用戶”，選擇“個人”，點擊鼠標右鍵，選擇“所有任務(wù)（K）”，選擇“申請新證書”， 進行證書類別選擇選擇“注冊代理”，選擇“下一步（N）”按鈕，進入以下界面 輸入好記的名稱，根據(jù)系統(tǒng)提示填寫出現(xiàn)證書的名稱和描述等信息完成注冊代理證書的申請。更改域安全策略的相關(guān)安全設(shè)置：如下圖。選擇“安全設(shè)置”“賬戶策略”“密碼策略”，此處密碼必須符合復(fù)雜性要求設(shè)為已禁用；密碼長度最小值默認設(shè)置是7個字符，為方便起見我們設(shè)為0。如下圖：以下配置“自動注冊設(shè)置”選項。選擇“公鑰策略”“自動注冊設(shè)置” 勾選上自動注冊證書下面兩項，確定。七、在服務(wù)器端安裝 ePass 的驅(qū)動程序及硬件 要在計算機上使用 ePass，必須要安裝 ePass 的驅(qū)動程序，才可以訪問 ePass，下面我們來安裝ePass的驅(qū)動程序。 找到飛天誠信廠家配置的“eps3k_stdSimpChinese.exe”驅(qū)動程序按下圖安裝運行eps1k_full.exe程序，根據(jù)系統(tǒng)提示完成驅(qū)動程序的安裝。 注意：此處一定要選擇“支持智能卡登陸操作系統(tǒng)或者VPN”選項。注意：在安裝驅(qū)動時不要將ePass插在計算機的USB接口上。驅(qū)動安裝完成后需要重新啟動計算機。八、添加域用戶為方便起見我們在桌面設(shè)個AD的快捷方式，程序-管理工具-Active Directory 用戶和計算機，右鍵-發(fā)送到-桌面快捷方式打開AD,選擇“user”“新建”“用戶”,如下圖操作添加用戶此處我們加入四個用戶：財務(wù)1，財務(wù)2，人事1，人事2。九、申請智能卡證書運行Internet Explorer，在地址中輸入(http:/localhost/certsrv，)出現(xiàn)證書服務(wù)頁面（圖3-1） 選擇申請一個證書選擇選擇“高級證書申請”，進行高級證書申請選擇“通過使用智能卡證書注冊站來為另一個用戶申請一個智能卡證書”，出現(xiàn)智能卡證書注冊站如果此處出現(xiàn)如上圖所示的對話框。解決的辦法是：點擊“確定”在瀏覽器工具選項中選擇“Internet選項（O）”如圖操作。然后刷新一次頁面顯示正常頁面。(修改了兩個ActiveX控件的安全級別：1：“對未標記為可安全執(zhí)行腳本的ActiveX控件初始化并執(zhí)行腳本”由“禁用”改為“啟用”；2、“下載未簽名的ActiveX控件”由“禁用”改為“啟用”。)進入智能卡證書注冊站,選擇證書模板為“智能卡登陸”，選擇加密服務(wù)提供程序為：“FEITIAN ePassNG RSA Cryptographic Service Provider”，選擇證書，彈出選擇證書對話框。選擇已注冊過的注冊代理證書”test111”，點擊“選擇用戶”按鈕，彈出選擇用戶的對話框，點“高級(A)”按鈕,進入以下界面。點“立即查找(N)”,進入以下界面。選中”caiwu1”,點確定按鈕,出現(xiàn)以下界面。點擊確定按鈕,返回到智能卡注冊站。把智能卡插入到電腦上，點擊“注冊”按鈕，出現(xiàn)輸入用戶PIN 碼的對話框。輸入用戶PIN 碼(PIN碼默認為1234)輸入用戶PIN 碼后，選擇“確定（O）”按鈕，顯示以下界面，用戶正在被注冊。以下是注冊完畢后的顯示界面。如需新建用戶，點擊“新建用戶”按鈕，重新進入智能卡注冊站選擇用戶界面，如下圖。經(jīng)過“選擇用戶”，插入智能卡，點擊“注冊按鈕”，完成智能卡證書的申請。如果不需要再注冊用戶，請關(guān)閉瀏覽器。至此已完成了智能卡證書的申請。十、配置客戶端用administrator賬號登陸客戶機, 打開“網(wǎng)上鄰居”查看網(wǎng)絡(luò)連,接然后按照下圖操作和設(shè)置注意：DNS配置為服務(wù)器的IP地址。至此，客戶端網(wǎng)絡(luò)已配置完畢。開始配置客戶端的證書。打開瀏覽器，輸入/certsrv,進入以下界面。（注意：如此時無法打開頁面，請檢查服務(wù)器IIS服務(wù)是否未啟動）輸入域用戶的用戶名和密碼(如：caiwu1),顯示以下界面。登陸成功后，顯示以下界面。點擊“下載一個CA證書，證書鏈或CRL”鏈接，進入以下界面。 點擊“下載CA證書”鏈接，進入以下界面。點擊“保存”按鈕，進入以下界面。選擇桌面,點擊保存，把證書保存到桌面上。選中“certnew.car”證書，右鍵選擇“安裝證書”，進入以下界面。點“打開”按鈕，進入下一步。點擊“下一部”按鈕，進入“證書導(dǎo)入向?qū)А薄＿x擇“將所有的證書放入下列存儲”，彈出“選擇證書存儲”對話框，勾選“顯示物理存儲區(qū)”，顯示以下界面。點擊樹結(jié)構(gòu)，選擇“受信任的根證書頒發(fā)機構(gòu)”，選擇“本機計算機或local computer”,點擊確定按鈕，顯示以下界面。點擊“下一步”按鈕，顯示以下界面。點擊“完成”按鈕。提示“導(dǎo)入成功”，點擊“確定”。此時，已完成了客戶端證書的安裝。十一、配置客戶端安全選項。點擊開始-運行點擊運行，輸入gpedit.msc,點擊“確定”按鈕，進入“組策略”界面。選計算機設(shè)置Windows設(shè)置-安全設(shè)置-本地策略-安全選項選擇交互式登錄：智能卡移除操作，雙擊進入屬性頁面。選擇鎖定工作站,點擊“確定”按鈕。注釋:當移除智能卡時自動鎖定當前計算機。至此已完成客戶端組策略的配置。十二、客戶端安裝 ePass 的驅(qū)動程序及硬件 找到飛天誠信廠家配置的“eps3k_stdSimpChinese.exe”驅(qū)動程序按下圖安裝運行eps1k_full.exe程序，根據(jù)系統(tǒng)提示完成驅(qū)動程序的安裝。 切記：此處一定要選擇“支持智能卡登陸操作系統(tǒng)或者VPN”選項。注意：在安裝驅(qū)動時不要將ePass插在計算機的USB接口上。驅(qū)動安裝完成后需要重新啟動計算機。十三、智能卡登錄 現(xiàn)在我們已經(jīng)將證書存儲在ePass中了，我們開始使用ePass來進行智能卡登錄插入智能卡，顯示以下界面。 當插入 ePass 時，系統(tǒng)提示要輸入硬件的 PIN 碼(默認為1234)。校驗 PIN 碼正確后就可進入Windows系統(tǒng)。至此智能卡登陸系統(tǒng)已完成。注:無盤方案中客戶端加入域時，必須使用銳起自帶的加域工具否則會出現(xiàn)客戶端掉域問題。1. 安裝銳起無盤 3.1.1 磁盤分區(qū)設(shè)置 A. 先將作為讀盤使用的磁盤進行分區(qū)： 操作系統(tǒng)：C:盤（通常為30G；可根據(jù)實際需求進行調(diào)整）； 其余空間分區(qū)：D:盤，卷標 VLD； 在 D:盤根目錄建立兩個子目錄（DISKS 和 RESTOR）：DISKS，用于存放 IMG磁盤鏡像文件； RESTORE，用于存放為磁盤鏡像設(shè)置的還原點文件； B. 再將其余作為寫盤的磁盤各自獨立劃分為一個分區(qū)：E、F、G，卷標分別為 WKS1、WKS2、WKS3，作為工作站的回寫目錄（ 存放工作站運行時產(chǎn)生的臨時文件）；處，我們將工作站產(chǎn)生的臨時文件直接寫在根目錄內(nèi)，不必再建立子目錄。 注：在 Windows平臺下，需確保磁盤分區(qū)格式為 NTFS（所有分區(qū)均為NTFS）。 配置完成后，其顯示應(yīng)如下圖所示： 在上圖中，BSD系統(tǒng)讀盤為 D；寫盤為 E、F、G，讀寫分離、實現(xiàn)了分盤回寫，這樣設(shè)置可提高工作站運行的速度。 3.1.2 服務(wù)器系統(tǒng)設(shè)置 安裝銳起 BSD系統(tǒng)服務(wù)端前，需要注意以下幾點： A. 確保服務(wù)器有足夠的硬盤空間，以存放鏡像文件及工作站運 行時產(chǎn)生的臨時文件； B. 為 BSD服務(wù)器指定一個靜態(tài) IP地址，請將其連接在網(wǎng)絡(luò)主 干上，并要保證其千兆出口帶寬； C. 關(guān)閉系統(tǒng)防火墻服務(wù)； D. 預(yù)先創(chuàng)建 disks（磁盤鏡像） 、wks（工作站臨時回寫）和restore（還原點）三個目錄； 目錄名稱可自定義，同時建議將 disks 和wks 兩個目錄分別放在兩塊不同的硬盤中，這樣可以提高工作站運行的速度。 在本手冊中，我們將 wks 目錄直接指定為寫盤的根目錄。 綜上所述，要使銳起 BSD系統(tǒng)運行具有良好效果，硬件配置、操作系統(tǒng)和相關(guān)軟件的設(shè)置都要符合要求。 3.1.3 安裝銳起商業(yè)標準桌面軟件主服務(wù)端 A. 服務(wù)器端操作系統(tǒng)配置好后， 運行銳起 BSD系統(tǒng)安裝光盤中Master Server 目錄下的 SETUP.EXE。安裝程序會先自動安裝加密鎖驅(qū)動程序， 并啟動銳起 BSD系統(tǒng)服務(wù)端的軟件安裝程序界面； B. 根據(jù)提示完成銳起 BSD 服務(wù)端安裝（建議使用默認選項） ；如下圖所示： C. 安裝完畢，在【開始】【程序】菜單中生成【銳起 BSD系統(tǒng)服務(wù)端】程序組；在桌面生成【銳起 BSD系統(tǒng)管理器】圖標；如下圖所示： 3.1.4 配置銳起商業(yè)標準桌面軟件主服務(wù)端 A. 將加密鎖插入服務(wù)器的 USB 接口，運行【銳起 BSD 系統(tǒng)管理器】 ，打開管理器界面，該界面主要分為左、右兩個操作區(qū)域：左側(cè)是編輯區(qū)域，右側(cè)區(qū)域用來顯示 BSD工作站的相關(guān)信息（如：工作站名稱、工作站 IP地址等） ；如下圖所示： B. 選擇【配置】【磁盤管理】菜單項，打開【磁盤管理】對話框； C. 點擊【新增】 ，打開【新增磁盤】界面，設(shè)置好磁盤名稱、磁容量大小以及映像文件的存放路徑（此處選擇前面預(yù)先創(chuàng)建的 D:DISKS 目錄） ，單擊【確定】【退出】 ，完成磁盤鏡像的創(chuàng)建；如下圖所示： 注：如勾選【使用稀疏文件】選項，則新建的鏡像文件只占用很少（64K）物理磁盤空間，隨著寫入數(shù)據(jù)的增加，其占用的物理磁盤空間也會隨之增加；如不勾選則為實體格式，鏡像文件就會占用【磁盤容量】欄指定的物理磁盤空間。 D. 在銳起 BSD管理器界面右側(cè)區(qū)域工具欄中單擊 【新增】 按鈕，打開【新增工作站】窗口。 依次在【名稱】 、 【MAC地址】 、 【IP地址】 、 【子網(wǎng)掩碼】等欄中填入模板工作站的相應(yīng)參數(shù)； 注：1、模板工作站：即首臺部署銳起 BSD系統(tǒng)客戶端的工 作站，它配有本地硬盤及本地操作系統(tǒng)。 2、在“IP 地址”欄填入模板工作站的 IP 地址，必須能服務(wù)器正常通信。 【啟動網(wǎng)卡】欄中選擇【自動選擇】 ；【硬件配置】欄中選擇【默認配置】 ； 【工作站目錄】 欄中指定回寫路徑 （本手冊中指定為 E:、F:或 G:目錄均可） 。 E. 在【磁盤】選項界面中點擊【編輯磁盤】按鈕，將所要使用磁盤鏡像從【全部可用磁盤】移動到【工作站磁盤】列表中。 依次點擊【確定】【應(yīng)用】 ，完成模板工作站的添加。 至此，銳起 BSD 系統(tǒng)主服務(wù)端的配置基本完成。3.2 客戶端安裝及配置 銳起 BSD系統(tǒng)客戶端支持的操作系統(tǒng)有：Win2000/ XP/ win2003/win7、 Fedora 系列/ 紅旗 Linux/ Ubuntu 等，本手冊以Windows XP為例。 3.2.1 客戶端操作系統(tǒng)的配置 關(guān)于正版 Windows XP Professional 的安裝過程，本手冊就不做說明了。 部署銳起B(yǎng)SD 系統(tǒng)客戶端前需要注意的事項： A. 請使用正版 Windows XP 系統(tǒng)光盤（如原裝專業(yè)版、上海市政府版、聯(lián)想 OEM版等） ，以光盤引導(dǎo)方式，根據(jù)系統(tǒng)提示，手動逐步安裝操作系統(tǒng)；禁止使用精簡版操作系統(tǒng)或者以 GHOST 方式安裝操作系統(tǒng)。 B. 請使用官方驅(qū)動，按照合理的順序和要求安裝驅(qū)動； 一般采用主板顯卡網(wǎng)卡的順序， 安裝完一個硬件驅(qū)動后，請重啟一次操作系統(tǒng)； C. 指定靜態(tài) IP地址，并確保能和服務(wù)端正常通信； D. 關(guān)閉系統(tǒng)防火墻服務(wù)； 在 【計算機管理】 【服務(wù)】 中將 “Windows Firewall/Internet Connection Sharing (ICS)”服務(wù)禁用。 關(guān)閉自動更新、系統(tǒng)還原、屏幕保護； 電源使用方案設(shè)置為： “一直開著”及“從不關(guān)閉顯示器” ； E. 必須刪除本地連接屬性中的“QOS數(shù)據(jù)包計劃程序” ； 如下圖所示： F. 上傳操作系統(tǒng)之前，不要安裝應(yīng)用軟件以及對系統(tǒng)進行優(yōu)化設(shè)置。 G. 用交叉線將模板工作站與服務(wù)器直連，再上傳操作系統(tǒng)。 3.2.2 部署銳起商業(yè)標準桌面軟件客戶端 客戶端操作系統(tǒng)配置完成后， 運行銳起 BSD系統(tǒng)安裝光盤中Client 目錄下的 SETUP.EXE，進入客戶端安裝界面； 根據(jù)提示選擇安裝目錄，按默認設(shè)置安裝即可；如下圖所示： 安裝完成后會自動打開【配置系統(tǒng)】對話框，如下圖所示：在【服務(wù)器 IP 地址】欄輸入銳起 BSD服務(wù)器的 IP地址，點擊【確定】退出。安裝完成后，在工作站的【開始】【程序】菜單中會生成【銳起 BSD系統(tǒng)客戶端】程序組。 至此，銳起 BSD系統(tǒng)客戶端安裝完畢。 3.3 上傳模板操作系統(tǒng) A. 在服務(wù)端【銳起 BSD系統(tǒng)管理器】中選中工作站； 選擇【超級】選項，在彈出的窗口中勾選好磁盤； 點擊【確定】按鈕 ，如下圖所示： 此時工作站前面的狀態(tài)圖標會由暗綠色變成暗紅色，工作站進入“超級用戶”模式。 B. 重啟模板工作站，系統(tǒng)會提示找到新硬件并要求再次重啟。（此處需要重啟兩次） C. 在模板工作站上選擇【計算機管理】【磁盤管理】 ，系統(tǒng)提示發(fā)現(xiàn)新磁盤；如下圖所示： 單擊“下一步” ，在打開的界面中選擇需要初始化的磁盤，按照默認設(shè)置，初始化為基本磁盤模式； 在上圖界面中，注意不要勾選磁盤進行動態(tài)磁盤轉(zhuǎn)換。注：請將新磁盤格式化成主磁盤分區(qū)模式，文件系統(tǒng)格式為 NTFS； D. 完成后退出【計算機管理】界面，依次選擇【開始】【程序】【銳起 BSD 系統(tǒng)客戶端】【系統(tǒng)上傳】 ，打開【銳起 BSD系統(tǒng)上傳工具】對話框，如下圖所示： 銳起 BSD客戶端會自動識別本地硬盤和網(wǎng)絡(luò)磁盤， 確認源盤和目標盤無誤后，單擊【開始】上傳系統(tǒng)； 注：根據(jù)網(wǎng)絡(luò)帶寬情況，上傳過程預(yù)計需要 510分鐘。 E. 上傳結(jié)束后，關(guān)閉模板工作站，移除本地硬盤，在 COMS中將啟動方式設(shè)為網(wǎng)絡(luò)啟動。 確認模板工作站能夠正常啟動后，將其設(shè)回【普通】用戶模式。 至此，銳起 BSD系統(tǒng)搭建完成。 3.4 添加工作站及安裝應(yīng)用軟件 應(yīng)用軟件的安裝及對操作系統(tǒng)的相關(guān)設(shè)置都需要在工作站上進行，其安裝和設(shè)置的方法與在有盤系統(tǒng)中無任何差別。安裝應(yīng)用軟件之前需要將對應(yīng)的工作站設(shè)為“超級用戶”模式。 普通用戶模式下的所有操作都是臨時的，系統(tǒng)重啟后，即復(fù) 原到初始狀態(tài)。 超級用戶模式下所做的更改會永久保存到磁盤鏡像中，重啟后不會被復(fù)原。 A. 超級用戶是直接對磁盤鏡像進行讀寫操作， 請務(wù)必小心操作。切換【超級用戶】模式之前請采用復(fù)制鏡像