11.1.1. Kerberos 工作方式的基础知识复制链接链接已复制到粘贴板!
大多数传统网络服务使用基于密码的身份验证方案，即用户提供密码以访问给定的网络服务。但是，许多服务的身份验证信息的传输是不加密的。为了使这种方案安全，网络必须不可被外部人员访问，并且网络上的所有计算机和用户都必须信任和信赖。
通过基于密码的简单身份验证，无法认为连接到互联网的网络是安全的。任何获得网络访问权限的攻击者都可以使用简单的数据包分析器或 数据包嗅探器 来拦截用户名和密码，威胁用户帐户，从而影响整个安全基础架构的完整性。
Kerberos 消除了网络上未加密密码的传输，并消除了攻击者窃听网络的潜在威胁。
Kerberos 使用对称加密和可信第三方（一个 密钥分发中心 或 KDC）对用户进行身份验证，而不是像简单密码身份验证一样单独向每个网络服务验证用户。由该 KDC 和任何辅助 KDC 管理的计算机组成一个 域。
当用户向 KDC 进行身份验证时，KDC 会为该会话发送一组特定于该会话的凭据（ 票据）回用户的计算机，而任何 Kerberos 感知服务都会查找用户机器上的票据，而不是要求用户使用密码进行身份验证。
如 图 11.1 “Kerberos 身份验证” 所示，每个用户都标识到带有唯一身份的 KDC，称为 主体。当 Kerberos 感知网络中的用户登录到其工作站时，作为来自身份验证服务器的 票据 （或 TGT）请求的一部分，他的主体会被发送到 KDC。此请求可由登录程序发送，使其对用户透明，也可以在用户登录后通过 kinit 程序手动发送。
然后，KDC 会检查数据库中的主体。如果找到主体，KDC 会创建一个 TGT，使用用户的密钥对其进行加密，并将 TGT 发送到该用户。
图 11.1. Kerberos 身份验证
View larger image
然后，客户端上的 login 或 kinit 程序使用用户的密钥解密 TGT，该密钥从用户的密码计算。用户的密钥仅在客户端计算机上使用，不会 通过网络传输。KDC 发送的票据（或凭证）存储在本地存储中，凭据缓存(ccache) 可以被 Kerberos 感知服务检查。Red Hat Enterprise Linux 7 支持以下类型的凭证缓存：
持久性 KEYRING ccache 类型，Red Hat Enterprise Linux 7 中的默认缓存
系统安全服务守护进程(SSSD)Kerberos 凭据管理器(KCM)，这是 Red Hat Enterprise Linux 7.4 起的替代选项
FILE
DIR
MEMORY
使用 SSSD KCM 时，Kerberos 缓存不存储在被动存储中，而是由守护进程管理。在这个设置中，Kerberos 库通常由 kinit 等应用程序使用，是一个 KCM 客户端，守护进程被称为 KCM 服务器。
使用由 SSSD KCM 守护进程管理的 Kerberos 凭证缓存有几个优点：
守护进程有状态，可以执行 Kerberos 凭据缓存续订或恢复旧 ccache 等任务。续订和跟踪不仅可能适用于 SSSD 本身获取的票据，通常是通过 pam_sss.so 登录，也适用于获取票据，例如 kinit。
由于进程在用户空间中运行，因此它受到 UID 命名空间的限制，这与内核 KEYRING 不同。
基于 Kernel KEYRING 的缓存（完全依赖于调用者的 UID），以及容器化环境中在所有容器中共享的基于 Kernel KEYRING 的缓存不同，KCM 服务器的入口点是只能绑定到所选容器的 UNIX 套接字。
身份验证后，服务器可以检查可识别主体及其密钥的未加密的列表，而不是检查 kinit; 这保存在 keytab 中。
TGT 设置为在特定时间段（通常为 10 小时至 24 小时）后过期，并存储在客户端计算机的凭证缓存中。设定了一个过期时间，以便一个被入侵的 TGT 仅在短时间内被攻击者使用。在 TGT 发出后，用户不必再次输入密码，直到 TGT 过期或直到他们注销并再次登录为止。
每当用户需要访问网络服务时，客户端软件使用 TGT 从票据授权服务器(TGS)请求该特定服务的新票据。服务票据随后用于以透明的方式向该服务验证用户。