Remarque
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
Kerberos est un protocole d’authentification utilisé pour vérifier l’identité d’un utilisateur ou d’un hôte. Cette rubrique contient des informations sur l’authentification Kerberos dans Windows Server et Windows.
Les systèmes d’exploitation Windows Server implémentent le protocole d’authentification Kerberos version 5 et des extensions pour l’authentification des clés publiques, les données d’autorisation de transport et la délégation. Le client d’authentification Kerberos est implémenté en tant que fournisseur SSP (Security Support Provider) et est accessible par le biais de l’interface SSPI (Security Support Provider Interface). L’authentification utilisateur initiale est intégrée à l’architecture à authentification unique Winlogon.
Le centre de distribution de clés Kerberos est intégré à d’autres services de sécurité Windows Server qui s’exécutent sur le contrôleur de domaine. Le centre de distribution de clés Kerberos utilise la base de données des services de domaine Active Directory (AD DS) du domaine en tant que base de données de son compte de sécurité. Les services de domaine Active Directory (AD DS) sont requis pour les implémentations Kerberos par défaut au sein du domaine ou de la forêt.
Comment fonctionne l’authentification Kerberos
L’authentification Kerberos implique trois parties : le client qui agit pour un principal de sécurité, le service que le principal souhaite atteindre, et le Key Distribution Center (KDC) auquel les deux parties ont confiance. Un principe de sécurité est une identité, telle qu’un utilisateur, un ordinateur ou un service, que le système peut authentifier. Dans Windows Server, le KDC fonctionne sur tous les contrôleurs de domaine et utilise la base de données services de domaine Active Directory du domaine comme base de données de comptes.
Lorsqu’un utilisateur se connecte, le client Kerberos contacte le KDC pour prouver l’identité de l’utilisateur et obtenir un ticket d’octroi de tickets (TGT). Le TGT est une accréditation qui permet au client de demander l’accès aux services sans présenter à nouveau le mot de passe de l’utilisateur. Le client stocke le TGT dans son cache de tickets et le réutilise jusqu’à l’expiration du ticket.
Pour se connecter à un service, le client présente son TGT au KDC et demande un ticket de service pour ce service spécifique. Le KDC renvoie un ticket de service, que le client présente directement au service cible. Parce que le ticket contient déjà les informations dont le service a besoin pour vérifier l’identité du client, le service peut authentifier le client sans contacter un contrôleur de domaine pour chaque connexion.
Windows Server implémente le protocole standard industriel Kerberos version 5 défini par l’Internet Engineering Task Force (IETF). Cette base basée sur les standards permet à l’implémentation Windows d’interopérer avec d’autres systèmes utilisant Kerberos. En plus de la norme, Windows ajoute des extensions pour l’authentification des clés publiques, le transport des données d’autorisation et la délégation. Microsoft documente ces comportements spécifiques à Windows dans la spécification Windows Protocols [MS-KILE] : Extensions de protocole Kerberos, qui décrit où l’implémentation Windows s’étend ou diffère de la norme.
Cas pratiques
Les avantages obtenus à l’aide de Kerberos pour l’authentification basée sur un domaine sont décrits dans les sections suivantes.
Authentification déléguée
Les services qui s’exécutent sur des systèmes d’exploitation Windows peuvent emprunter l’identité d’un ordinateur client lors de l’accès à des ressources au nom du client. Dans de nombreux cas, un service peut effectuer son travail pour le client en accédant aux ressources de l’ordinateur local. Lorsqu’un ordinateur client s’authentifie auprès du service, les protocoles NTLM et Kerberos fournissent les informations d’autorisation dont un service a besoin pour emprunter l’identité de l’ordinateur client localement. Toutefois, certaines applications distribuées sont conçues de telle sorte qu’un service frontal est obligé d’utiliser l’identité de l’ordinateur client lorsqu’il se connecte à des services principaux sur d’autres ordinateurs. L’authentification Kerberos prend en charge un mécanisme de délégation qui permet à un service d’agir au nom de son client lors de la connexion à d’autres services.
Authentification unique
L’utilisation de l’authentification Kerberos dans un domaine ou dans une forêt permet à l’utilisateur ou au service d’accéder aux ressources autorisées par les administrateurs en évitant plusieurs demandes d’informations d’identification. Après l’authentification initiale de domaine via Winlogon, Kerberos gère les informations d’identification dans la forêt lors de chaque tentative d’accès aux ressources.
Interoperability
L’implémentation par Microsoft du protocole Kerberos V5 est basée sur des spécifications normatives faisant l’objet de recommandations auprès du groupe de travail IETF. Par conséquent, dans les systèmes d’exploitation Windows, le protocole Kerberos pose les bases d’une interopérabilité avec les autres réseaux où il est utilisé à des fins d’authentification. En outre, Microsoft publie la documentation relative aux protocoles Windows pour l’implémentation du protocole Kerberos. Cette documentation contient les spécifications techniques, les limitations, les dépendances et le comportement du protocole spécifique de Windows pour l’implémentation Microsoft du protocole Kerberos.
Authentification plus efficace sur les serveurs
Avant Kerberos, il était possible d’utiliser l’authentification NTLM, qui requiert un serveur d’applications pour se connecter à un contrôleur de domaine afin d’authentifier chaque ordinateur ou service client. Avec le protocole Kerberos, les tickets de session renouvelables remplacent l’authentification directe. Le serveur n’est pas requis pour accéder à un contrôleur de domaine, sauf s’il doit valider un certificat PAC (Privilege Attribute Certificate). Au lieu de cela, le serveur peut authentifier l’ordinateur client en examinant les informations d’identification présentées par le client. Les ordinateurs clients peuvent obtenir des informations d’identification pour un serveur en particulier et les réutiliser au cours d’une session de connexion réseau.
Authentification mutuelle
À l’aide du protocole Kerberos, chacune des parties situées à chaque extrémité d’une connexion réseau peut vérifier que la partie distante est bien l’entité qu’elle prétend être. NTLM ne permet pas aux clients de vérifier l’identité d’un serveur ou à un serveur de vérifier l’identité d’un autre. L’authentification NTLM a été conçue pour un environnement réseau dans lequel les serveurs sont considérés comme authentiques. Le protocole Kerberos n’utilise pas ce genre d’hypothèse.
Types de chiffrement
À compter de Windows Server 2025, Kerberos ne prend plus en charge une clé de Registre héritée trouvée dans le chemin REG_DWORD SupportedEncryptionTypes. Microsoft recommande d’utiliser la stratégie de groupe à la place. Pour en savoir plus sur les paramètres de stratégie de groupe, consultez Sécurité réseau : Configurer les types de chiffrement autorisés pour Kerberos.