Active Directory와 Kerberos 통합

Microsoft Active Directory는 Kerberos 5를 기본 인증 프로토콜로 구현합니다. 각 Windows 도메인 제어기는 인증 서비스와 티켓 부여 서비스를 모두 포함하는 KDC 서비스를 실행합니다. 도메인 이름은 Kerberos 영역 이름에 직접 매핑되며, 도메인 계정은 Kerberos 주체에 해당합니다.

Active Directory 도메인에서는 모든 도메인 제어기가 KDC 역할을 수행할 수 있으며, 복제를 통해 모든 제어기에서 주체 정보가 일관되게 유지됩니다. TGT 암호화를 위한 마스터 비밀값인 비밀번호 해시를 가진 krbtgt 계정은 모든 도메인에 존재합니다. 이 계정의 보안은 매우 중요합니다. 계정이 침해되면 모든 주체에 대한 TGT를 위조할 수 있기 때문입니다.

사용자가 Active Directory 비밀번호를 설정하면 Windows는 키 파생 함수를 사용하여 비밀번호에서 Kerberos 장기 키를 파생합니다. 이 키는 NTLM 해시와 함께 AD 데이터베이스에 저장됩니다. Kerberos 사전 인증 중에 클라이언트는 이 키를 전송하지 않고도 키를 알고 있음을 입증합니다.

NTLM(NT LAN Manager)은 Windows 환경에서 사용하는 기존 인증 프로토콜입니다. Kerberos를 사용할 수 없을 때 Windows는 NTLM으로 대체합니다. 예를 들어 호스트 이름 대신 IP 주소로 리소스에 액세스하는 경우, 대상이 도메인에 가입되어 있지 않은 경우, 서비스 주체 이름(SPN)이 올바르게 등록되지 않은 경우가 있습니다.

서비스 주체 이름(SPN)은 Active Directory에서 서비스 인스턴스를 식별하는 고유 식별자입니다. 형식은 ServiceClass/FQDN:Port입니다. 예를 들면 HTTP/webserver.corp.example.com:443입니다. Kerberos는 SPN을 사용하여 서비스 티켓을 암호화할 올바른 서비스 계정 키를 조회합니다. SPN이 잘못 구성되었거나 누락되면 Kerberos는 NTLM으로 대체됩니다.

Windows는 SPNEGO(Simple and Protected GSSAPI Negotiation Mechanism)를 사용하여 Kerberos와 NTLM 중에서 투명하게 협상합니다. 클라이언트가 IIS 서버에 연결하면 서버는 SPNEGO 지원을 알리고, 클라이언트는 먼저 Kerberos를 시도하며, Kerberos가 실패하면 NTLM으로 대체합니다. 이 협상은 사용자에게 표시되지 않습니다.

Active Directory의 Kerberos 동작은 기본 도메인 정책의 그룹 정책을 통해 구성됩니다. 설정에는 최대 티켓 수명(기본값 10시간), 최대 TGT 수명(기본값 7일), 최대 시계 오차(기본값 5분), 사전 인증 적용이 포함됩니다. 이러한 설정은 도메인 전체의 모든 계정에 적용됩니다.

PKINIT(최초 인증을 위한 공개 키 암호화)는 비밀번호에서 파생된 키 대신 스마트 카드나 가상 스마트 카드에 저장된 X.509 인증서를 AS-REQ 사전 인증에 사용할 수 있도록 하는 Kerberos 확장 기능입니다. 비밀 키가 AS-REQ에 서명하므로 하드웨어로 보호되는 비밀번호 없는 Kerberos 인증이 가능합니다.

MS-KKDCP(Microsoft Kerberos KDC Proxy Protocol)는 Kerberos 인증 트래픽을 HTTPS를 통해 터널링할 수 있도록 합니다. 이를 통해 기업 네트워크 외부의 도메인 가입 기기가 도메인 제어기에 직접 VPN으로 연결하지 않고도 Kerberos를 사용하여 인증할 수 있습니다. 이 방식은 DirectAccess와 일부 Azure AD 시나리오에서 사용됩니다.

Azure AD는 기본적으로 Kerberos를 실행하지 않지만, Azure AD Kerberos를 사용하면 클라우드에서 관리되는 사용자가 온프레미스 리소스에 대한 Kerberos 티켓을 가져올 수 있습니다. Azure AD Connect Cloud Sync와 Azure AD Kerberos 서비스가 이 간극을 메워, 클라우드 우선 조직이 온프레미스 Kerberos 보호 리소스에 대한 액세스를 유지할 수 있게 합니다.

Kerberos 보강(FAST - 유연한 인증 보안 터널링)은 신뢰할 수 있는 컴퓨터 계정의 TGT 내부에 사전 인증 교환을 터널링하여 보호합니다. 이를 통해 AS-REQ 데이터에 대한 오프라인 사전 대입 공격을 방지할 수 있으며, 특히 사전 인증 요구 사항이 없는 계정에 중요합니다.

Active Directory는 도메인 컨트롤러에서 Kerberos 5를 구현합니다. 사용자 암호에서 파생된 Kerberos 장기 키가 AD에 저장됩니다. SPN은 티켓 암호화를 위해 서비스를 계정에 매핑합니다. Kerberos가 실패하면 NTLM이 대체 수단으로 사용됩니다. PKINIT는 스마트 카드 인증을 가능하게 합니다. krbtgt 계정은 도메인의 신뢰 기준점이므로, 이 계정이 손상되면 골든 티켓을 위조할 수 있습니다.