Integration af Active Directory og Kerberos

Microsoft Active Directory implementerer Kerberos 5 som sin primære autentificeringsprotokol. Hver Windows-domænecontroller kører KDC-tjenesten, som omfatter både autentificeringstjenesten og billetudstedelsestjenesten. Domænenavnet svarer direkte til Kerberos-områdets navn, og domænekonti svarer til Kerberos-principaler.

I et Active Directory-domæne kan alle domænecontrollere fungere som KDC'er, og replikering sikrer ensartede oplysninger om principaler på tværs af alle DC'er. Krbtgt-kontoen, hvis adgangskodehash er hovedhemmeligheden til kryptering af TGT'er, findes i hvert domæne. Dens sikkerhed er afgørende: Et kompromis gør det muligt at forfalske TGT'er for enhver principal.

Når en bruger angiver sin Active Directory-adgangskode, afleder Windows en langsigtet Kerberos-nøgle fra adgangskoden ved hjælp af en nøgleafledningsfunktion. Denne nøgle gemmes i AD-databasen sammen med NTLM-hashen. Under Kerberos-forhåndsautentificering viser klienten, at den kender denne nøgle, uden at overføre den.

NTLM (NT LAN Manager) er den ældre autentificeringsprotokol i Windows-miljøer. Windows skifter til NTLM som reserve, når Kerberos ikke er tilgængelig, f.eks. ved adgang til en ressource via en IP-adresse i stedet for et værtsnavn, når målet ikke er tilsluttet domænet, eller når et tjenesteprincipalnavn (SPN) ikke er registreret korrekt.

Tjenesteprincipalnavne (SPN'er) er entydige identifikatorer for tjenesteinstanser i Active Directory. Format: ServiceClass/FQDN:Port. Eksempel: HTTP/webserver.corp.example.com:443. Kerberos bruger SPN'et til at slå den korrekte tjenestekontonøgle op, så tjenestebilletten kan krypteres. Forkert konfigurerede eller manglende SPN'er får Kerberos til at skifte til NTLM som reserve.

Windows bruger SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism) til transparent at forhandle mellem Kerberos og NTLM. Når en klient opretter forbindelse til en IIS-server, annoncerer serveren understøttelse af SPNEGO, klienten forsøger først Kerberos, og den skifter til NTLM, hvis Kerberos mislykkes. Denne forhandling er usynlig for brugerne.

Kerberos' funktionsmåde i Active Directory konfigureres via gruppepolitik i Default Domain Policy. Indstillingerne omfatter maksimal billettid (standard: 10 timer), maksimal TGT-levetid (standard: 7 dage), maksimal klokafvigelse (standard: 5 minutter) og håndhævelse af forhåndsautentificering. Disse indstillinger gælder for hele domænet og alle konti.

PKINIT (Public Key Cryptography for Initial Authentication) er en Kerberos-udvidelse, der gør det muligt at bruge X.509-certifikater (gemt på smartcards eller virtuelle smartcards) til AS-REQ-forhåndsautentificering i stedet for en adgangskodeafledt nøgle. Den private nøgle underskriver AS-REQ'en, hvilket muliggør hardwareunderstøttet Kerberos-autentificering uden adgangskode.

MS-KKDCP (Microsoft Kerberos KDC Proxy Protocol) gør det muligt at tunnelere Kerberos-autentificeringstrafik gennem HTTPS, så domænetilsluttede enheder uden for virksomhedsnetværket kan autentificere sig via Kerberos uden en direkte VPN-forbindelse til en domænecontroller. Dette bruges i DirectAccess og i visse Azure AD-scenarier.

Azure AD kører ikke Kerberos indbygget, men Azure AD Kerberos gør det muligt for cloud-administrerede brugere at få Kerberos-billetter til lokale ressourcer. Azure AD Connect Cloud Sync og Azure AD Kerberos-tjenesten bygger bro over forskellen, så cloud-orienterede organisationer kan bevare adgangen til lokale Kerberos-beskyttede ressourcer.

Kerberos-beskyttelse (FAST - Flexible Authentication Secure Tunneling) beskytter udvekslingen af forhåndsgodkendelse ved at tunnelere den gennem en TGT fra en betroet computerkonto. Det forhindrer offline-ordbogsangreb mod AS-REQ-dataene, hvilket især er vigtigt for konti uden krav om forhåndsgodkendelse.

Active Directory implementerer Kerberos 5 på domænecontrollere. Brugeradgangskoder bruges til at udlede langsigtede Kerberos-nøgler, der gemmes i AD. SPN'er knytter tjenester til konti med henblik på billetkryptering. NTLM bruges som reserve, når Kerberos mislykkes. PKINIT muliggør godkendelse med smartkort. krbtgt-kontoen er domænets tillidsrod: Hvis den kompromitteres, kan en angriber forfalske Golden Tickets.