ケルベロス認証のバックアップ(No.13) - マイクロソフト系技術情報 Wiki

[ トップ ] [ 新規 | 一覧 | 単語検索 | 最終更新 | ヘルプ ]

「マイクロソフト系技術情報 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。

戻る
- 認証基盤
- Windows
  - ドメインサービス (AD DS)

目次 †

概要 †

ケルベロス認証（Kerberos Authentication）

クライアント・サーバ間のネットワーク認証方式の一つ。
Active Directoryでドメインアカウントを使用しシングルサインオンを提供する。
MITのAthenaプロジェクトによって開発され、RFCで規定されている。

詳細 †

KDC : Key Distribution Center †

Active Directory（以下、ADと略す）のドメインコントローラに同梱される。

クライアント・サーバから見て第3者である
KDCを介してユーザとホストが互いに相互認証する。

2者間認証は行わず、3者間認証を行う。

KDCは
- 認証と暗号化用の鍵の配布を鍵管理センタ。
- 各参加者とそれぞれ秘密の鍵(暗号鍵)を共有する。
- 下記の３つのサーバ機能を持っている。

AS : Authentication Server †

認証サーバー機能

ユーザーからの認証を受け付ける。

TGS : Ticket Granting Server †

チケット交付サーバー機能

各サーバーを利用するためのチケットを発行する。

KDB : Kerberos Database Server †

ケルベロスDBサーバー機能

各ユーザの認証情報や、共通鍵などを保存する。
内部的にディレクトリサービスなどが利用される。

用語 †

Kerberosの用語
http://web.mit.edu/rhel-doc/4/RH-DOCS/rhel-rg-ja-4/s1-kerberos-terminology.html

TGT : Ticket Granting Ticket †

チケット発行のための大もとのチケット。

TGTは以下を含む。

ASとユーザ間で共有する...
- ASキー

TGSとユーザ間で共有する...
- TGSチケット
- TGSキー

レルム : realm †

ケルベロスで管理される範囲を
示す（ADであればドメインのこと）。

≒全て大文字で記載されたドメイン名

プリンシパル : principals †

レルム内で管理されるユーザ、ホスト、サービス

ユーザプリンシパル
- ユーザ名@レルム
- ユーザ名/グループ名@レルム

ホストプリンシパル
- ホスト名/FQDN名@レルム

サービスプリンシパル（SPN）
- サービス名/FQDN名@レルム

Kerberosチケット交付サービスプリンシパル

シーケンス †

(1) ユーザー †

ドメインアカウントをKDC-ASに送信する。

(2) KDC-AS †

ドメインアカウントを認証する。
ユーザーに対してASキーで暗号化したTGTを発行する。

(3) ユーザー †

TGTをASキーで復号化して、TGSキーとチケットを取得。

TGSチケットに情報を付与してTGSキーで暗号化する。

コレを用いて、KDCのTGSに対して
証明書（チケットとセッション鍵）の発行を依頼する。

(4) KDC-TGS †

TGSキーでTGSチケットを取り出す。

ユーザーを認証し、KDBの共通鍵で暗号化された
証明書（チケットとセッション鍵）を発行する。

(5) ユーザー †

証明書をKDBの共通鍵で復号化し証明書（チケットとセッション鍵）を取り出す。
チケットにクライアント情報を付与し、認証チケットとする。
認証チケットをセッション鍵で暗号化して、アクセス先のサーバへ提出する。

(6) サーバー †

認証チケットをセッション鍵で復号化する。
これを、更にKDBの共通鍵で復号化する。
ユーザーを識別してアクセスを許可する。

複数ドメインを跨るSSO †

信頼関係 †

ドメイン間のフォレストの信頼関係を設定する必要がある。

IBM Knowledge Center - 複数の Active Directory ドメインをまたがる Web クライアント用の Windows シングルサインオン
https://www.ibm.com/support/knowledgecenter/ja/SSKTMJ_9.0.1/admin/conf_windowssinglesignonforwebclientsacrossmultipleac_t.html

FIM/MIM †

FIM/MIMなどの統合ID管理ソリューションの、プロビジョニング機能を使用して、
異なるドメインで同じアカウントを使用して認証可能（ただし、OSSにならない）。

クレームベース認証を使用するという手段も有効（こちらはSSOになる）。

参考 †

Insider's Computer Dictionary [Kerberos] －＠IT
http://www.atmarkit.co.jp/icd/root/11/87736911.html

情報セキュリティ入門 - ケルベロス認証：ITpro
http://itpro.nikkeibp.co.jp/article/COLUMN/20060518/238303/

Kerberos 認証の概要
https://technet.microsoft.com/ja-jp/library/Hh831553.aspx

3 Minutes Networking †

http://www5e.biglobe.ne.jp/%257eaji/3min/

補講第４回Kerberos(1) プリンシパルとレルム
http://www5e.biglobe.ne.jp/%257eaji/3min/ex/sup04.html
補講第５回Kerberos(2) 鍵配布センター
http://www5e.biglobe.ne.jp/%257eaji/3min/ex/sup05.html
補講第６回Kerberos(3) チケット
http://www5e.biglobe.ne.jp/%257eaji/3min/ex/sup06.html
補講第７回Kerberos(4) KDCセキュリティ
http://www5e.biglobe.ne.jp/%257eaji/3min/ex/sup07.html
補講第８回Kerberos(5) クロスレルム認証
http://www5e.biglobe.ne.jp/%257eaji/3min/ex/sup08.html

ベースクライアントセキュリティモデル †

SPN †

委任 †

ドメインアカウント †

Tags: :IT国際標準, :Windows, :認証基盤