Active Directory ve Kerberos Entegrasyonu

Microsoft Active Directory, birincil kimlik doğrulama protokolü olarak Kerberos 5'i uygular. Her Windows etki alanı denetleyicisi, hem Kimlik Doğrulama Hizmeti'ni hem de Bilet Verme Hizmeti'ni içeren KDC hizmetini çalıştırır. Etki alanı adı doğrudan Kerberos bölgesi adına eşlenir ve etki alanı hesapları Kerberos kimliklerine karşılık gelir.

Bir Active Directory etki alanında her etki alanı denetleyicisi KDC olarak görev yapabilir; çoğaltma, tüm etki alanı denetleyicilerindeki kimlik bilgilerinin tutarlı olmasını sağlar. Parola karması TGT şifrelemesinin ana gizli anahtarı olan krbtgt hesabı her etki alanında bulunur. Bu hesabın güvenliği kritik öneme sahiptir: Ele geçirilmesi, herhangi bir kimlik için sahte TGT'ler oluşturulmasına olanak tanır.

Bir kullanıcı Active Directory parolasını belirlediğinde Windows, bir anahtar türetme işlevi kullanarak paroladan Kerberos uzun vadeli anahtarı türetir. Bu anahtar, NTLM karmasının yanında AD veritabanında saklanır. Kerberos ön kimlik doğrulaması sırasında istemci, bu anahtarı iletmeden anahtarı bildiğini kanıtlar.

NTLM (NT LAN Manager), Windows ortamlarındaki eski kimlik doğrulama protokolüdür. Windows, Kerberos kullanılamadığında NTLM'ye geri döner; örneğin bir kaynağa ana bilgisayar adı yerine IP adresiyle erişildiğinde, hedef etki alanına katılmadığında veya hizmet kimliği adı (SPN) doğru şekilde kaydedilmediğinde.

Hizmet Kimliği Adları (SPN'ler), Active Directory'deki hizmet örnekleri için benzersiz tanımlayıcılardır. Biçim: ServiceClass/FQDN:Port. Örneğin: HTTP/webserver.corp.example.com:443. Kerberos, hizmet biletini şifrelemek için doğru hizmet hesabı anahtarını aramak üzere SPN'yi kullanır. Yanlış yapılandırılmış veya eksik SPN'ler, Kerberos'un NTLM'ye geri dönmesine neden olur.

Windows, Kerberos ve NTLM arasında şeffaf biçimde anlaşma yapmak için SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism) kullanır. Bir istemci IIS sunucusuna bağlandığında sunucu SPNEGO desteğini duyurur, istemci önce Kerberos'u dener ve Kerberos başarısız olursa NTLM'ye geri döner. Bu anlaşma kullanıcılar tarafından fark edilmez.

Active Directory'deki Kerberos davranışı, Varsayılan Etki Alanı İlkesi'ndeki Grup İlkesi aracılığıyla yapılandırılır. Ayarlar arasında en uzun bilet kullanım ömrü (varsayılan 10 saat), en uzun TGT kullanım ömrü (varsayılan 7 gün), en uzun saat sapması (varsayılan 5 dakika) ve ön kimlik doğrulamanın zorunlu tutulması bulunur. Bu ayarlar etki alanı genelinde tüm hesaplara uygulanır.

PKINIT (İlk Kimlik Doğrulama için Açık Anahtarlı Kriptografi), parola türetilmiş bir anahtar yerine AS-REQ ön kimlik doğrulaması için X.509 sertifikalarının (akıllı kartlarda veya sanal akıllı kartlarda saklanan) kullanılmasına olanak tanıyan bir Kerberos uzantısıdır. Özel anahtar AS-REQ'yi imzalar ve donanım destekli parolasız Kerberos kimlik doğrulamasını mümkün kılar.

MS-KKDCP (Microsoft Kerberos KDC Proxy Protocol), Kerberos kimlik doğrulama trafiğinin HTTPS üzerinden tünellenmesine olanak tanır. Böylece kurum ağı dışındaki etki alanına katılmış cihazlar, etki alanı denetleyicisine doğrudan VPN bağlantısı olmadan Kerberos üzerinden kimlik doğrulayabilir. Bu yöntem DirectAccess ve bazı Azure AD senaryolarında kullanılır.

Azure AD yerel olarak Kerberos çalıştırmaz; ancak Azure AD Kerberos, bulutta yönetilen kullanıcıların şirket içi kaynaklar için Kerberos biletleri edinmesini sağlar. Azure AD Connect Cloud Sync ve Azure AD Kerberos hizmeti bu boşluğu doldurarak bulut öncelikli kuruluşların Kerberos ile korunan şirket içi kaynaklara erişimi sürdürmesine olanak tanır.

Kerberos zırhlaması (FAST - Esnek Kimlik Doğrulama Güvenli Tünellemesi), ön kimlik doğrulama alışverişini güvenilir bir makine hesabından alınan bir TGT'nin içinde tünelleyerek korur. Bu, AS-REQ verilerine yönelik çevrimdışı sözlük saldırılarını önler; bu özellik özellikle ön kimlik doğrulama gereksinimi olmayan hesaplar için önemlidir.

Active Directory, etki alanı denetleyicilerinde Kerberos 5'i uygular. Kullanıcı parolalarından türetilen Kerberos uzun süreli anahtarları AD'de depolanır. SPN'ler, bilet şifrelemesi için hizmetleri hesaplarla eşler. Kerberos başarısız olduğunda NTLM geri dönüş seçeneği olarak kullanılır. PKINIT, akıllı kartla kimlik doğrulamayı etkinleştirir. krbtgt hesabı, etki alanının güven köküdür: bu hesabın ele geçirilmesi, Altın Bilet sahteciliğini mümkün kılar.