Exchange служб Ticket-Granting
После создания запроса на предоставление билетов (TGT) и ключа сеанса для клиента клиент может запросить отдельный ключ сеанса и билет для службы.
Запрос билета на другую службу
- Клиент Kerberos на рабочей станции пользователя запрашивает учетные данные для службы, отправив в центр распространения ключей(KDC), сообщение типа KRB_TGS_REQ (запрос службы Kerberos Ticket-Granting). Это сообщение состоит из удостоверения службы, для которой клиент запрашивает учетные данные, сообщение аутентификатора, зашифрованное с помощью нового ключа входа пользователя ключа сеанса, и TGT, полученного из службы проверки подлинности.
- Когда KDC получает KRB_TGS_REQ, KDC расшифровывает TGT с его секретным ключом и извлекает ключ сеанса входа пользователя.
- KDC использует ключ сеанса входа, для расшифровки сообщения проверки подлинности пользователя и его оценки. Если средство проверки подлинности передает тест, KDC извлекает данные авторизации пользователя из TGT и изобретает ключ сеанса для пользователя, чтобы предоставить пользователю общий доступ к запрашиваемму серверу.
- KDC шифрует одну копию ключа сеанса службы с помощью ключа сеанса входа пользователя.
- KDC внедряет другую копию ключа сеанса службы в билет, а также данные авторизации пользователя и шифрует билет с помощью главного ключа сервера.
- KDC отправляет эти учетные данные клиенту, отвечая на сообщение типа KRB_TGS_REP (Kerberos Ticket-Granting service Reply).
- Когда клиент получает ответ, он расшифровывает ключ сеанса службы с помощью ключа сеанса входа пользователя и сохраняет ключ сеанса службы в кэше билетов.
- Клиент извлекает билет на сервер и сохраняет его в кэше билетов.