Сетевая аутентификация

3. Kerberos

Kerberos — это система сетевой аутентифиации, основанная на принципах доверия третьей стороне. Другие две стороны — это пользователь и сервис, на котором он хочет авторизоваться. Не все сервисы и приложения могут использовать Kerberos, но те, которые могут, приближают сетевое окружение на один шаг к технологии единого входа (Single Sign On — SSO).

В этом разделе рассматривается установка и настройка сервера Kerberos, а также некоторые примеры настройки клиентов.

3.1. Обзор

Этот раздел раскрывает установку и настройку сервера Kerberos, а также некоторые примеры клиентских настроек.

•Учётная запись (Principal): любые пользователи, компьютеры или сервисы, предоставляемые серверами, должны быть определены, как учётные записи Kerberos.

•Требования (Instances): используются для сервисных и специальных административных учетных записей.

•Области (Realms): уникальная область управления, обеспечиваемая установкой Kerberos. Представляйте её себе как домен или группу ваших компьютеров и пользователей, ей принадлежащих. По умолчанию Ubuntu использует имя DNS домена в верхнем регистре (EXAMPLE.COM) в качестве имени области.

•Центр распространения ключей (KDC): состоит из трёх частей: базы данных всех учетных записей, сервера аутентификации и сервера предоставления билетов. Для каждой области должен быть хотя бы один

KDC.

•Билет для получения билета (TGT): изданный сервером аутентификации, TGT зашифровывается на пароле пользователя, который известен только пользователю и KDC.

•Сервер распространения билетов (TGS): выпускает сервисные билеты для клиентов по запросу.

•Билеты (Tickets): подтверждение идентичности двух учётных записей. Одна учётная запись — пользователь, а другая — сервис, запрашиваемый этим пользователем. Билеты устанавливают секретный ключ, используемый для защищённого соединения во время авторизованной сессии.

•Файлы ключей (Keytab Files): файлы, извлечённые из базы учетных записей KDC и содержащие ключ шифрования для сервиса или компьютера.

142