悬赏:Kerberos认证Service_key及Ticket获取相关问题思路求教-阿里云开发者社区

开发者社区> 阿里云SAP上云> 正文
登录阅读全文

悬赏:Kerberos认证Service_key及Ticket获取相关问题思路求教

简介: Kerberos认证Service_key及Ticket获取相关问题思路求教

思路一:

在Windows客户端与Windows服务器的kerberos认证过程中,通过第二阶段客户端向KDC(密钥分配中心)的TGS数据交互,客户端获取到了可以与服务端会话的Service_key和Ticket。  

问题一:

如果服务器端KDC用开源的Samba实现(前提Samba内实现了MIT的kerberos协议),是不是我们就能读取到Service_key了呢?

 

    
思路二:

Windows服务器(假定Windows server2008R2, IP地址:192.168.0.76)充当Exchange2010服务器, Windows客户端(假定Windows 7, IP地址:192.168.0.176) 充当Exchange2010客户端。

客户端会176向服务器76发起请求认证的时候,我们可以设置仅kerberos认证。此时会有数据包的交互,客户端176向服务器76的KDC(密钥管理中心)的AS(认证服务器)获取票据Ticket后,再向服务器76端的KDC的TGS(票据授权服务器)获取可以向服务器76认证的Service_key及票据Ticket。

此时,服务器76端的系统Windows Server2008R2是包含KDC的。因为Server2008R2内还含有主域控制器(PDC),我们知道Linux操作系统,比如Redhat,Centos是包含开源Samba软件的,或者我们可以安装新的版本,如Samba4.0.1x。而查资料可以,Samba是可以充当PDC的,且samba集成KDC的功能。资料源头(Redhat官网):https://access.redhat.com/site/documentation/en-US/Red_Hat_Enterprise_Linux/4/html

问题二:

用Samba作为中间DC(域名控制器),能否同步过来Server端认证客户端时的Service_key和票据Ticket信息,如果可行的话,大致的接口是什么?

进展:已经知道Samba-tool(samba内含工具)从Red-hat端实现获取到了服务器端的用户名信息,但是至于密钥的获取还有一段路要走。且samba-tool以DC加入域的概念也不好理解。


困难点如下:

困难一:

Samba的配置相对复杂,和我设定相关的配置需要谨慎查询资料,稍有不慎,会导致各种问题,易愈陷愈深;

困难二:

Windows域的概念复杂,如DC的功能。Redhat官网指出,Windows充当PDC时,Samba不能充当BDC(备份域控制器);同时Samba充当PDC时,Windows不能充当BDC。但思路二,想从同步角度思考,又避免不了DC之间的同步。

困难三:

Kerberos认证体系复杂,需要反复阅读Kerberos官网协议文档才能理解其精髓。

困难四:

思路一、二的目的是一样的,但结果的获取需要结合Windows域体系、Samba体系、Kerberos认证体系,三者结合交叉的概念也需要广查资料思考。

已经通过国外几个专业论坛、Samba官网求救,无奈时间紧迫,需要紧急讨论出思路的可行性,特悬赏求助!

或者您有没有其他获取Service_key及Ticket的思路,万分感谢与您的宝贵思路和建议!
 


   
作者:铭毅天下
转载请标明出处,原文地址:http://blog.csdn.net/laoyang360/article/details/14539755

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

分享: