Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Kerberos ist ein Authentifizierungsprotokoll, das zum Überprüfen der Identität eines Benutzers oder Hosts verwendet wird. Dieses Thema enthält Informationen zur Kerberos-Authentifizierung in Windows Server und Windows.
Mit dem Betriebssystem Windows Server werden das Authentifizierungsprotokoll Kerberos, Version 5, sowie Erweiterungen für die Authentifizierung mit öffentlichen Schlüsseln, den Transport von Autorisierungsdaten und die Delegierung implementiert. Der Kerberos-Authentifizierungsclient wird als Security Support Provider (SSP) implementiert und ist über die Security Support Provider-Schnittstelle (SSPI) zugänglich. Die Erstauthentifizierung von Benutzern ist in die Windows-Anmeldearchitektur für einmaliges Anmelden integriert.
Das Kerberos-Schlüsselverteilungscenter (Key Distribution Center, KDC) ist in andere Windows Server-Sicherheitsdienste integriert, die auf dem Domänencontroller ausgeführt werden. Das KDC verwendet die Active Directory Domain Services-Datenbank (AD DS) als Sicherheitskontendatenbank. AD DS ist für Kerberos-Standardimplementierungen innerhalb der Domäne oder Gesamtstruktur erforderlich.
Wie die Kerberos-Authentifizierung funktioniert
Die Kerberos-Authentifizierung umfasst drei Parteien: den Client, der für einen Security Principal handelt, den Dienst, den der Principal erreichen möchte, und das Key Distribution Center (KDC), dem beide Parteien vertrauen. Ein Sicherheitsprinzip ist eine Identität, wie ein Benutzer, Computer oder Dienst, die das System authentifizieren kann. In Windows Server läuft der KDC auf jedem Domänencontroller und verwendet die Active Directory Domain Services-Datenbank der Domäne als Kontodatenbank.
Wenn sich ein Nutzer anmeldet, kontaktiert der Kerberos-Client das KDC, um die Identität des Nutzers zu beweisen und ein Ticket-Granting Ticket (TGT) zu erhalten. Die TGT ist eine Zugangsberechtigung, mit der der Client Zugriff auf Dienste anfordern kann, ohne erneut das Passwort des Benutzers anzuzeigen. Der Client speichert das TGT in seinem Ticket-Cache und verwendet es wieder, bis das Ticket abläuft.
Um sich mit einem Dienst zu verbinden, präsentiert der Client seine TGT beim KDC und fordert ein Serviceticket für diesen speziellen Dienst an. Der KDC gibt ein Service-Ticket zurück, das der Client direkt an den Zieldienst präsentiert. Da das Ticket bereits die Informationen enthält, die der Dienst zur Überprüfung der Identität des Clients benötigt, kann der Dienst den Client authentifizieren, ohne für jede Verbindung einen Domänencontroller zu kontaktieren.
Windows Server implementiert das branchenübliche Kerberos Version 5-Protokoll, das von der Internet Engineering Task Force (IETF) definiert wird. Diese Standard-Track-Grundlage ermöglicht es der Windows-Implementierung, mit anderen Systemen zu interagieren, die Kerberos verwenden. Zusätzlich zum Standard fügt Windows Erweiterungen für die Authentifizierung öffentlicher Schlüssel, den Transport von Autorisierungsdaten und die Delegation hinzu. Microsoft dokumentiert diese Windows-spezifischen Verhaltensweisen in der Windows Protocols-Spezifikation [MS-KILE]: Kerberos Protocol Extensions, die beschreibt, wo die Windows-Implementierung den Standard erweitert oder davon abweicht.
Praktische Anwendung
Die Vorteile, die durch die Verwendung von Kerberos für die domänenbasierte Authentifizierung gewonnen werden, werden in den folgenden Abschnitten beschrieben.
Delegierte Authentifizierung
Dienste, die unter Windows-Betriebssystemen ausgeführt werden, können die Identität eines Clientcomputers annehmen, wenn sie im Auftrag des Clients auf Ressourcen zugreifen. In vielen Fällen kann ein Dienst die Arbeit für den Client abschließen, indem er auf Ressourcen auf dem lokalen Computer zugreift. Wenn ein Clientcomputer sich beim Dienst authentifiziert, bieten das NTLM- und Kerberos-Protokoll die Autorisierungsinformationen, die ein Dienst benötigt, um lokal die Identität des Clientcomputers anzunehmen. Einige verteilte Anwendungen sind jedoch so konzipiert, dass ein Front-End-Dienst die Identität des Clientcomputers annehmen muss, wenn eine Verbindung mit Back-End-Diensten auf anderen Computern hergestellt wird. Die Kerberos-Authentifizierung unterstützt einen Delegierungsmechanismus, der es einem Dienst ermöglicht, im Auftrag seines Clients zu fungieren, wenn eine Verbindung mit anderen Diensten hergestellt wird.
Einmaliges Anmelden
Mithilfe der Kerberos-Authentifizierung innerhalb einer Domäne oder Gesamtstruktur kann ein Benutzer oder Dienst auf Ressourcen mit der Erlaubnis von Administratoren auf Ressourcen zugreifen, ohne dass mehrere Anforderungen von Anmeldeinformationen erfolgen. Nach der ersten Anmeldung bei der Domäne über die Windows-Anmeldung verwaltet Kerberos die Anmeldeinformationen in der gesamten Gesamtstruktur, wenn ein Zugriff auf Ressourcen versucht wird.
Interoperability
Die Implementierung des Kerberos V5-Protokolls von Microsoft basiert auf Spezifikationen von Internetstandards, die der Internet Engineering Task Force (IETF) empfohlen wurden. Bei Windows-Betriebssystemen schafft das Kerberos-Protokoll daher die Grundlage für die Interoperabilität mit anderen Netzwerken, in denen das Kerberos-Protokoll für die Authentifizierung verwendet wird. Darüber hinaus veröffentlicht Microsoft eine Windows-Protokolldokumentation zur Implementierung des Kerberos-Protokolls. Die Dokumentation enthält die technische Anforderungen, Einschränkungen, Abhängigkeiten und das Windows-spezifische Protokollverhalten für die Microsoft-Implementierung des Kerberos-Protokolls.
Effizientere Authentifizierung für Server
Vor Kerberos konnte die NTLM-Authentifizierung verwendet werden, bei der ein Anwendungsserver eine Verbindung mit einem Domänencontroller herstellen muss, um jeden einzelnen Clientcomputer oder Dienst zu authentifizieren. Beim Kerberos-Protokoll treten erneuerbare Sitzungstickets an die Stelle der Pass-Through-Authentifizierung. Der Server muss nicht zu einem Domänencontroller wechseln, es sei denn, er muss ein Berechtigungsattributzertifikat (Privilege Attribute Certificate, PAC) überprüfen. Stattdessen kann der Server den Clientcomputer authentifizieren, indem er vom Client vorgelegte Anmeldeinformationen untersucht. Clientcomputer können Anmeldeinformationen für einen bestimmten Server einmal erhalten und diese Anmeldeinformationen dann während einer Netzwerkanmeldesitzung wiederverwenden.
Gegenseitige Authentifizierung
Mithilfe des Kerberos-Protokolls kann ein Teilnehmer an einem der beiden Enden einer Netzwerkverbindung überprüfen, ob der Teilnehmer am anderen Ende die Entität ist, die er zu sein vorgibt. NTLM bietet Clients nicht die Möglichkeit, die Identität eines Servers zu überprüfen bzw. ermöglicht es einem Server nicht, die Identität eines anderen Servers zu überprüfen. Die NTLM-Authentifizierung wurde für eine Netzwerkumgebung konzipiert, in die Echtheit der Server unterstellt wird. Das Kerberos-Protokoll geht nicht von derartigen Annahmen aus.
Verschlüsselungstypen
Ab Windows Server 2025 berücksichtigt Kerberos nicht mehr den älteren Registrierungsschlüssel REG_DWORD SupportedEncryptionTypes , der im Pfad HKEY_LOCAL_MACHINE\CurrentControlSet\Control\Lsa\Kerberos\Parametersgefunden wurde. Microsoft empfiehlt stattdessen die Verwendung von Gruppenrichtlinien. Weitere Informationen zu den Gruppenrichtlinieneinstellungen finden Sie unter Netzwerksicherheit: Konfigurieren von verschlüsselungstypen, die für Kerberos zulässig sind.