Chapter1SecuringYourServerandNetwork(9):使用Kerberos用于身份

程序员文章站 2024-01-02 12:30:16

...

原文出处：http://blog.csdn.net/dba_huangzj/article/details/38332605，专题目录：http://blog.csdn.net/dba_huangzj/article/details/37906349 未经作者同意，任何人不得以原创形式发布，也不得已用于商业用途，本人不负责任何法律责任。前一篇：http://b

原文出处：http://blog.csdn.net/dba_huangzj/article/details/38332605，专题目录：http://blog.csdn.net/dba_huangzj/article/details/37906349

未经作者同意，任何人不得以“原创”形式发布，也不得已用于商业用途，本人不负责任何法律责任。

前一篇：http://blog.csdn.net/dba_huangzj/article/details/38263043

前言：

在活动目录（Active Directory）中，有两种身份验证机制：NTLM和Kerberos。其中NTLM（NT LAN Manager）是基于旧版加密方式的授权协议，微软不建议再使用。详情可见：http://msdn.microsoft.com/en-us/library/cc236715.aspx

Kerberos是一个免费的软件协议，有MIT（麻省理工）首先开发出来，并从Windows 2000开始引入。通过secured tickets（暂时未发现专业术语）的转换对客户端和服务器进行安全识别。相对于使用哈希密码，Kerberos通过共享安全加密密钥来管理身份验证。客户端和验证服务器共享一个对称密钥，。其中验证服务器成为KDC(Key Distributor Center，密钥分发中心)，并且作为域控制器的服务运行。

在登录时，客户端会从KDC中请求一个Ticket Grant Ticket (TGT) ，然后KDC创建一个包含客户端标识的TGT，并连同把带有密钥的会话返回给客户端。TGT的寿命不长，通常只有8~10小时。过时之后，客户端不能在访问资源。

服务标签（Service ticket）必须包含目标资源（如SQL Server实例）的Service Principal Name（SPN，服务主体名称）。当KDC接收到请求，会回送服务标签。这个标签会在后续用于客户端请求访问服务器之用。更多信息可以访问：http://technet.microsoft.com/en-us/library/cc772815.aspx

实现：

使用Kerberos，需要在域环境中，并且服务器的SPN必须已经注册到Active Directory。如果满足这些条件，那么Kerberos应该默认已经使用，可以在SQL Server中检查：

SELECT auth_scheme, net_transport, client_net_address FROM sys.dm_exec_connections;