Active DirectoryとKerberosの統合

Microsoft Active Directoryは、主要な認証プロトコルとしてKerberos 5を実装しています。各WindowsドメインコントローラーはKDCサービスを実行し、そのサービスにはAuthentication ServiceとTicket Granting Serviceの両方が含まれます。ドメイン名はKerberosレルム名に直接対応し、ドメインアカウントはKerberosプリンシパルに対応します。

Active Directoryドメインでは、すべてのドメインコントローラーがKDCとして機能できます。レプリケーションにより、すべてのDC間でプリンシパル情報の一貫性が保たれます。TGTの暗号化に使われるマスターシークレットであるkrbtgtアカウントは、すべてのドメインに存在します。そのセキュリティは極めて重要です。侵害されると、任意のプリンシパルに対するTGTを偽造できるようになります。

ユーザーがActive Directoryのパスワードを設定すると、Windowsは鍵導出関数を使用して、パスワードからKerberosの長期鍵を導出します。この鍵は、NTLMハッシュとともにADデータベースに保存されます。Kerberosの事前認証では、クライアントはこの鍵を送信することなく、その知識を証明します。

NTLM（NT LAN Manager）は、Windows環境で使われる従来の認証プロトコルです。Kerberosを利用できない場合、WindowsはNTLMにフォールバックします。たとえば、ホスト名ではなくIPアドレスでリソースにアクセスする場合、対象がドメインに参加していない場合、またはサービスプリンシパル名（SPN）が正しく登録されていない場合です。

サービスプリンシパル名（SPN）は、Active Directoryにおけるサービスインスタンスの一意な識別子です。形式はServiceClass/FQDN:Portです。たとえば、HTTP/webserver.corp.example.com:443のようになります。KerberosはSPNを使用して正しいサービスアカウント鍵を検索し、その鍵でサービスチケットを暗号化します。SPNの設定ミスや未登録があると、KerberosはNTLMにフォールバックします。

WindowsはSPNEGO（Simple and Protected GSSAPI Negotiation Mechanism）を使用して、KerberosとNTLMの間を透過的にネゴシエーションします。クライアントがIISサーバーに接続すると、サーバーはSPNEGOのサポートを通知し、クライアントはまずKerberosを試します。Kerberosに失敗した場合はNTLMにフォールバックします。このネゴシエーションがユーザーに見えることはありません。

Active DirectoryにおけるKerberosの動作は、Default Domain Policyのグループポリシーで設定します。設定項目には、最大チケット有効期間（既定値10時間）、TGTの最大有効期間（既定値7日間）、最大クロックスキュー（既定値5分）、事前認証の強制などがあります。これらの設定はドメイン内のすべてのアカウントに適用されます。

PKINIT（Public Key Cryptography for Initial Authentication）はKerberosの拡張機能です。パスワードから導出された鍵の代わりに、スマートカードまたは仮想スマートカードに保存されたX.509証明書をAS-REQの事前認証に使用できます。秘密鍵でAS-REQに署名することで、ハードウェアに支えられたパスワードレスのKerberos認証が可能になります。

MS-KKDCP（Microsoft Kerberos KDC Proxy Protocol）を使用すると、Kerberos認証トラフィックをHTTPS経由でトンネルできます。これにより、企業ネットワーク外にあるドメイン参加済みデバイスが、ドメインコントローラーへの直接のVPN接続なしでKerberos認証を行えるようになります。これはDirectAccessや一部のAzure ADシナリオで使用されます。

Azure AD は標準では Kerberos を実行しませんが、Azure AD Kerberos を使用すると、クラウドで管理されるユーザーがオンプレミスのリソース用に Kerberos チケットを取得できます。Azure AD Connect Cloud Sync と Azure AD Kerberos サービスがその隔たりを埋めることで、クラウドを優先する組織でも、Kerberos で保護されたオンプレミスのリソースへのアクセスを維持できます。

Kerberos アーマリング（FAST - Flexible Authentication Secure Tunneling）は、信頼されたマシンアカウントの TGT 内に事前認証の通信をトンネリングすることで、事前認証の交換を保護します。これにより、AS-REQ データに対するオフライン辞書攻撃を防止できます。事前認証を必要としないアカウントにとって、これは特に重要です。

Active Directory では、krbtgt アカウントは何を表し、なぜそのセキュリティが重要なのですか？

Active Directory はドメインコントローラー上で Kerberos 5 を実装します。ユーザーのパスワードから Kerberos の長期鍵が導出され、AD に保存されます。SPN によってサービスとアカウントが対応付けられ、チケットの暗号化に使われます。Kerberos が失敗した場合は NTLM がフォールバックとして使用されます。PKINIT によりスマートカード認証が可能になります。krbtgt アカウントはドメインの信頼のルートであり、これが侵害されると Golden Ticket を偽造できるようになります。