Kommentar
Åtkomst till den här sidan kräver auktorisering. Du kan prova att logga in eller ändra kataloger.
Åtkomst till den här sidan kräver auktorisering. Du kan prova att ändra kataloger.
Kerberos är ett autentiseringsprotokoll som används för att verifiera identiteten för en användare eller värd. Det här avsnittet innehåller information om Kerberos-autentisering i Windows Server och Windows.
Windows Server-operativsystemen implementerar Kerberos version 5-autentiseringsprotokoll och tillägg för autentisering med offentliga nycklar, transport av auktoriseringsdata och delegering. Kerberos-autentiseringsklienten implementeras som en SSP (Security Support Provider) och kan nås via SSPI (Security Support Provider Interface). Den första användarautentiseringen är integrerad med winlogon-arkitekturen för enkel inloggning.
Kerberos Key Distribution Center (KDC) är integrerat med andra Windows Server-säkerhetstjänster som körs på domänkontrollanten. KDC använder domänens Doménové služby Active Directory-databas som säkerhetskontodatabas. Doménové služby Active Directory krävs för kerberos-standardimplementeringar i domänen eller skogen.
Hur Kerberos-autentisering fungerar
Kerberos-autentisering involverar tre parter: klienten som agerar för en säkerhetsansvarig, tjänsten som huvudpersonen vill nå, och Key Distribution Center (KDC) som båda parter litar på. En säkerhetsprincip är en identitet, såsom en användare, dator eller tjänst, som systemet kan autentisera. I Windows Server körs KDC på varje domänkontroller och använder domänens Doménové služby Active Directory-databas som sin kontodatabas.
När en användare loggar in kontaktar Kerberos-klienten KDC:n för att verifiera användarens identitet och hämta en biljettbeviljande biljett (TGT). TGT är en legitimation som låter klienten begära åtkomst till tjänster utan att behöva visa användarens lösenord igen. Klienten lagrar TGT:n i sin biljettcache och återanvänder den tills biljetten löper ut.
För att ansluta till en tjänst presenterar klienten sin TGT för KDC och begär en serviceticket för just den tjänsten. KDC returnerar en servicebiljett, som klienten presenterar direkt till måltjänsten. Eftersom ärendet redan innehåller den information som tjänsten behöver för att verifiera klientens identitet, kan tjänsten autentisera klienten utan att kontakta en domänkontrollant för varje anslutning.
Windows Server implementerar branschstandardprotokollet Kerberos version 5 som Internet Engineering Task Force (IETF) definierar. Denna standardspårsgrund gör att Windows-implementeringen kan samverka med andra system som använder Kerberos. Utöver standarden lägger Windows till tillägg för autentisering av offentliga nycklar, transport av auktorisationsdata och delegering. Microsoft dokumenterar dessa Windows-specifika beteenden i Windows Protocols-specifikationen [MS-KILE]: Kerberos Protocol Extensions, som beskriver var Windows-implementeringen utvidgas eller skiljer sig från standarden.
Praktiska tillämpningar
Fördelarna med att använda Kerberos för domänbaserad autentisering beskrivs i följande avsnitt.
Delegerad autentisering
Tjänster som körs på Windows-operativsystem kan personifiera en klientdator vid åtkomst till resurser för klientens räkning. I många fall kan en tjänst slutföra sitt arbete för klienten genom att komma åt resurser på den lokala datorn. När en klientdator autentiserar till tjänsten tillhandahåller NTLM- och Kerberos-protokollet den auktoriseringsinformation som en tjänst behöver för att personifiera klientdatorn lokalt. Vissa distribuerade program är dock utformade så att en klientdelstjänst måste använda klientdatorns identitet när den ansluter till serverdelstjänster på andra datorer. Kerberos-autentisering stöder en delegeringsmekanism som gör det möjligt för en tjänst att agera för klientens räkning när den ansluter till andra tjänster.
Enkel inloggning
Om du använder Kerberos-autentisering inom en domän eller i en skog kan användaren eller tjänsten få åtkomst till resurser som tillåts av administratörer utan flera begäranden om autentiseringsuppgifter. Efter den första domäninloggningen via Winlogon hanterar Kerberos autentiseringsuppgifterna i hela skogen när åtkomst till resurser görs.
Interoperability
Microsofts implementering av Kerberos V5-protokollet baseras på standardspårspecifikationer som rekommenderas av Internet Engineering Task Force (IETF). Därför lägger Kerberos-protokollet i Windows-operativsystem en grund för samverkan med andra nätverk där Kerberos-protokollet används för autentisering. Dessutom publicerar Microsoft Dokumentation om Windows-protokoll för implementering av Kerberos-protokollet. Dokumentationen innehåller tekniska krav, begränsningar, beroenden och Windows-specifika protokollbeteenden för Microsofts implementering av Kerberos-protokollet.
Effektivare autentisering till servrar
Innan Kerberos kan NTLM-autentisering användas, vilket kräver att en programserver ansluter till en domänkontrollant för att autentisera varje klientdator eller tjänst. Med Kerberos-protokollet ersätter förnyelsebara sessionsbiljetter direktautentisering. Servern behöver inte gå till en domänkontrollant, såvida den inte behöver verifiera ett PAC (Privilege Attribute Certificate). I stället kan servern autentisera klientdatorn genom att undersöka autentiseringsuppgifter som presenteras av klienten. Klientdatorer kan hämta autentiseringsuppgifter för en viss server en gång och sedan återanvända dessa autentiseringsuppgifter under en nätverksinloggningssession.
Ömsesidig autentisering
Genom att använda Kerberos-protokollet kan en part i endera änden av en nätverksanslutning verifiera att parten i den andra änden är den entitet som den påstår sig vara. NTLM gör det inte möjligt för klienter att verifiera en servers identitet eller aktivera en server för att verifiera en annans identitet. NTLM-autentisering har utformats för en nätverksmiljö där servrar antogs vara äkta. Kerberos-protokollet gör inget sådant antagande.
Krypteringstyper
Från och med Windows Server 2025 respekterar Kerberos inte längre den äldre registernyckeln REG_DWORD SupportedEncryptionTypes som finns i sökvägen HKEY_LOCAL_MACHINE\CurrentControlSet\Control\Lsa\Kerberos\Parameters. Microsoft rekommenderar att du använder grupprincip i stället. Mer information om grupprincipinställningarna finns i Nätverkssäkerhet: Konfigurera krypteringstyper som tillåts för Kerberos.