Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
Kerberos é um protocolo de autenticação usado para verificar a identidade de um usuário ou host. Este tópico contém informações sobre a autenticação Kerberos no Windows Server e no Windows.
Os sistemas operacionais Windows Server implementam o protocolo de autenticação Kerberos versão 5 e extensões para autenticação de chave pública, transporte de dados de autorização e delegação. O cliente de autenticação Kerberos é implementado como um SSP (provedor de suporte de segurança) e pode ser acessado na interface SSPI. A autenticação inicial do usuário é integrada à arquitetura de logon único do Winlogon.
O KDC (Centro de Distribuição de Chaves Kerberos) está integrado aos serviços de segurança do Windows Server que executam o controlador de domínio. O KDC usa o banco de dados do Active Directory Domain Services como o banco de dados de contas de segurança. Os Serviços de Domínio do Active Directory são exigidos para implementações Kerberos padrão no domínio ou na floresta.
Como funciona a autenticação Kerberos
A autenticação Kerberos envolve três partes: o cliente que atua como um principal de segurança, o serviço que o principal deseja alcançar e o Centro de Distribuição de Chaves (KDC) em quem ambas as partes confiam. Um princípio de segurança é uma identidade, como um usuário, computador ou serviço, que o sistema pode autenticar. No Windows Server, o KDC roda em todos os controladores de domínio e utiliza o banco de dados Active Directory Domain Services do domínio como banco de dados de contas.
Quando um usuário faz login, o cliente Kerberos contata o KDC para comprovar a identidade do usuário e obter um ticket de concessão de tickets (TGT). O TGT é uma credencial que permite ao cliente solicitar acesso a serviços sem apresentar novamente a senha do usuário. O cliente armazena o TGT em seu cache de tickets e o reutiliza até que o ticket expire.
Para se conectar a um serviço, o cliente apresenta seu TGT ao KDC e solicita um ticket de serviço para esse serviço específico. O KDC retorna um ticket de serviço, que o cliente apresenta diretamente ao serviço alvo. Como o ticket já contém as informações necessárias para que o serviço verifique a identidade do cliente, ele pode autenticar o cliente sem entrar em contato com um controlador de domínio a cada conexão.
O Windows Server implementa o protocolo padrão da indústria Kerberos versão 5, definido pela Força-Tarefa de Engenharia da Internet (IETF). Essa base padronizada permite que a implementação do Windows interopere com outros sistemas que usam Kerberos. Além do padrão, o Windows adiciona extensões para autenticação de chave pública, transporte de dados de autorização e delegação. A Microsoft documenta esses comportamentos específicos do Windows na especificação Windows Protocols [MS-KILE]: Kerberos Protocol Extensions, que descreve onde a implementação do Windows se estende ou difere do padrão.
Aplicações práticas
Os benefícios obtidos usando Kerberos para autenticação baseada em domínio são descritos nas seções a seguir.
Autenticação delegada
Os serviços que são executados em sistemas operacionais Windows podem representar um computador cliente ao acessar recursos em nome do cliente. Em muitos casos, um serviço pode concluir seu trabalho para o cliente ao acessar recursos no computador local. Quando um computador cliente é autenticado para o serviço, o protocolo Kerberos e NTLM fornecem as informações de autorização de que um serviço precisa para representar o computador cliente local. No entanto, alguns aplicativos distribuídos são projetados de modo que um serviço de front-end precise usar a identidade do computador cliente ao se conectar a serviços back-end em outros computadores. A autenticação Kerberos dá suporte a um mecanismo de delegação que permite que um serviço aja em nome de seu cliente ao se conectar a outros serviços.
Logon único
Usar a autenticação Kerberos em um domínio ou em uma floresta permite que o usuário ou o serviço acesse os recursos permitidos por administradores sem várias solicitações de credenciais. Depois do logon inicial no domínio por meio do Winlogon, o Kerberos gerencia as credenciais em toda a floresta sempre que há tentativas de acesso a recursos.
Interoperability
A implementação do protocolo Kerberos V5 pela Microsoft é baseada em especificações de padrões recomendadas ao Internet Engineering Task Force (IETF). Como resultado, em sistemas operacionais Windows, o protocolo Kerberos estabelece uma base para a interoperabilidade com outras redes em que o protocolo Kerberos é usado para autenticação. Além disso, a Microsoft publica documentação de protocolos do Windows para implementar o protocolo Kerberos. A documentação contém requisitos técnicos, limitações, dependências e comportamento de protocolo específico do Windows para a implementação da Microsoft do protocolo do Kerberos.
Autenticação mais eficiente para servidores
Antes do Kerberos, a autenticação NTLM podia ser usada, que exige que um servidor de aplicativos conecte-se a um controlador de domínio para autenticar cada computador cliente ou serviço. Com o protocolo Kerberos, tíquetes de sessão renováveis substituem a autenticação de passagem. O servidor não precisa ir até um controlador de domínio, a menos que precise validar um PAC (Certificado de Atributos de Privilégio). Em vez disso, o servidor pode autenticar o computador cliente examinando as credenciais apresentadas pelo cliente. Computadores cliente podem obter credenciais para um servidor específico uma vez e então reutilizá-las durante uma sessão de logon de rede.
Autenticação mútua
Ao utilizar o protocolo Kerberos, uma parte na extremidade de uma conexão de rede pode verificar se a parte na outra extremidade é de fato a entidade que ela diz ser. A NTLM não permite que os clientes verifiquem a identidade do servidor ou habilitem um servidor a verificar a identidade de outro. A autenticação NTLM foi projetada para um ambiente de rede em que supõe-se que os servidores sejam genuínos. O protocolo Kerberos não faz essa suposição.
Tipos de criptografia
A partir do Windows Server 2025, Kerberos não respeita mais a chave REG_DWORD SupportedEncryptionTypes herdada do Registro encontrada no caminho HKEY_LOCAL_MACHINE\CurrentControlSet\Control\Lsa\Kerberos\Parameters. Em vez disso, a Microsoft recomenda usar a política de grupo. Para saber mais sobre as configurações de política de grupo, consulte Segurança de rede: configurar tipos de criptografia permitidos para Kerberos.