チケット保証サービスの交換
クライアントに対してチケット付与チケット (TGT) と セッション キー が確立された後、クライアントはサービスの別のセッション キーとチケットを要求できます。
別のサービスのチケットを要求するには
- ユーザーのワークステーション上の Kerberos クライアントは、キー配布センター (KDC) に KRB_TGS_REQ 型のメッセージ (Kerberos Ticket-Granting サービス要求) を送信することで、サービスの資格情報を要求します。 このメッセージは、クライアントが資格情報を要求しているサービスの ID、ユーザーの新しいログオン セッション キーで暗号化された認証メッセージ、および 認証サービス Exchange から取得された TGT で構成されます。
- KDC がKRB_TGS_REQを受信すると、KDC は TGT をその秘密鍵で復号化し、ユーザーのログオン セッション キーを抽出します。
- KDC はログオン セッション キー を使用してユーザーの認証メッセージを復号化し、それを評価します。 認証子がテストに合格した場合、KDC は TGT からユーザーの承認データを抽出し、ユーザーが要求されたサーバーと共有するためのセッション キーを作成します。
- KDC は、サービス セッション キーの 1 つのコピーをユーザーのログオン セッション キーで暗号化します。
- KDC は、サービス セッション キーの別のコピーをユーザーの承認データと共にチケットに埋め込み、そのチケットをサーバーの マスター キーで暗号化します。
- KDC は、KRB_TGS_REP型のメッセージ (Kerberos Ticket-Granting サービス応答) で応答することで、これらの資格情報をクライアントに送信します。
- クライアントは、応答を受信すると、ユーザーのログオン セッション キーを使用してサービス セッション キーの暗号化を解除し、サービス セッション キーをチケット キャッシュに格納します。
- クライアントはチケットをサーバーに抽出し、チケット キャッシュに格納します。