Kerberos認証

質問

Windows2000のドメイン環境でのログオン認証とKerberos認証に関して疑問があります。

本を読んでいるとKerberos認証の話が出てきたり出てこなかったりします。
Kerberos認証の仕組み自体はなんとなくわかるのですが、
ログオン認証の説明ではなく、セキュリティの章などで出てくるので、
どの役割を果たしているのかわからずにいます。
ログオンから、あらゆるアクセスに関して必ずKerberos認証を利用しているのでしょうか。
それとも、推移的信頼関係でアクセス許可を受ける場合にだけ使うのでしょうか。
それともオプションで使うかどうかを選択できるのでしょうか？

あと、Kerberos認証とは、仕組みの名前ですか？
それとも、プロトコルのような詳細が定められているのですか？
あるいは、プログラムコード自体があって、ライセンス供与されているようなものなのでしょうか。

よろしくお願いします。

回答No.2

hirasaku · ベストアンサー

こんにちは。hirasakuです。

回答が遅れまして。再度回答します。
Win2kはNTと違いインターネットでのServerの役割をする可能性を考えて設計されています。NTまではローカルネットワークでのセキュリティでよかったのですが、2kはインターネットでのセキュリティを考えなくてはいけません。そこで、インターネットで使われているKerberosを採用しました。
Kerberosは秘密鍵暗号という暗号化による認証方式の一つですから暗号化によって認証とアクセス制御の情報が保護されるわけです。これが利点といえば利点でしょうか。というより、セキュリティを高めなければ不正なアクセスによってシステムを壊される可能性があるわけですから使うのが当たり前でしょう。

Win2kはServerを２つのモードで構築できます。一つはネイティブモード。もう一つは混在モードです。
ネイティブモードはクライアントに2kしか存在しない場合にするモードです。混在モードはクライアントに2k以外が存在する場合のモードです。混在モードにした場合、下位互換性を保てるように認証システムも互換性を持たせます。
NTの認証はNT LAN Managerという認証プロトコルを使っていました。2kを混在モードにした場合、Kerberosと、このNTLMが平行して実行されています。信頼関係を結ぶServerがNTであればNTLMを使用します。

いかがでしょうか。

お礼

二度目の回答、ありがとうございます。
今までdcpromo.exeを実行して、最後に選択させられる、
「WIN2000以前のサーバと互換性のあるアクセス許可」というのがなんのことだか分からずにいたのですが、これがNTLMのことですね?
認証関係のしくみがいままであやふやだったのですが、ちょっと分かって来たような気がします。
本当にありがとうございました。質問してよかったです。

回答No.1

hirasaku

こんにちは。hirasakuです。

本を読まれて仕組みはわかっているようなので、疑問のところだけ回答します。

Win2kではセッションを通してログオン時に確立し、ユーザー認証とアクセス制御用で使用しています。
サービスまたはデーターベースへの認証はしていません。

あらゆるアクセスに関してKerberosを使用しているわけではありません。それはクライアントが9xもしくはNTの場合、Kerberosをサポートしていないからです。つまり、2k同士の場合のみKerberosが有効になります。（9x、NTの場合従来のユーザー名とパスワードでの認証）

信頼関係の場合も上記に当てはまります。2kでフォレスト間の信頼関係なら有効ですが、フォレストの相手がNTならKerberosを使用しません。

オプションで使うというより、2kがログオンしてきたクライアントのOSに対して自動的に認識して使い分けます。

Kerberos自体は認証サービスや関連するプロトコル、プログラムなどの総称です。しかし、プロトコルと認識していいと思います。

いかがでしょうか。

お礼

回答ありがとうございます。
OSによって自動的に使い分けているんですね。
ようやく分かって来ました。
ところで、9x、NTの場合従来のユーザー名とパスワードでの認証とありますが、2kでKerberos認証を使う利点はなんなのでしょう?
また、Kerberos認証を使わない信頼関係の認証はどのように行われるのでしょうか?
もしよろしければ、お教えください。よろしくおねがいします。