Администрирование

Обзор протокола Kerberos

В Windows протокол Kerberos является службой аутенти- фикации по умолчанию и основным протоколом безопасности. Он позволяет пользователю получить доступ ко всем ресурсам сети после однократной регистрации. Kerberos проверяет как подлинность пользователя, так и целостность данных во время сеанса связи. Это обусловлено тем, что служба Kerberos уста- навливается на каждом контроллере домена, а клиент Kerberos – на все компьютеры с Windows.
При наличии протокола аутентификации Kerberos служба Kerberos на сервере проверяет подлинность пользователя. Прежде чем связаться с сервером, пользователь запрашивает билет от службы Kerberos — центра распространения ключей (Key Distribution Centre, KDC) — для подтверждения своей лич- ности. Затем пользователь посылает этот билет на целевой сер- вер. Так как сервер доверяет Kerberos, ручающейся за личность пользователя, он принимает пропуск как доказательство под- линности пользователя. Протокол Kerberos не дает пользовате- лям входить в систему и получать доступ к ресурсам простым введением правильного имени и пароля. Вместо того чтобы ве- рить введенным данным, ресурс должен войти в контакт со службой Kerberos и получить пропуск, удостоверяющий пользо- вателя. Kerberos выступает как доверяемая третья сторона, гене- рирующая сеансовый ключ и предоставляющая пропуск для данной сессии клиент-сервер.
Выпускаемый службой Kerberos билет включает:

• 
  сеансовый ключ;
  
• 
  имя пользователя, для которого выдан сеансовый ключ;
  
• 
  срок действия билета;
  
• 
  любые дополнительные требуемые поля данных или па- раметры.
  

Срок действия билета определяется системными правила- ми домена. Если срок действия билета закончился во время се- анса, служба Kerberos извещает клиента и сервер о необходимо- сти восстановления билета. Затем Kerberos генерирует новый сеансовый ключ, и сеанс продолжается.

1. 
   Термины протокола Kerberos
   

Чтобы лучше понять протокол Kerberos, ознакомимся с его терминологией.