Deep dive - Azure AD Kerberos の仕組み
こんにちは、 Azure Identity サポート チームの小出です。 本記事は、 2022 年 1 月 25 日に米国の ITOps Talk Blog で公開された Deep dive: How Azure AD Kerberos works を意訳したものになります。ご不明点などございましたら、サポート チームまでお問い合わせください。 Active Directory (AD DS) と Azure Active Directory (Azure AD) の違いを調べたことがあれば、Active Directory は Kerberos 認証プロトコルをサポートしている一方、Azure Active Directory ではサポートしていないことに気がつくはずです。 Kerberos は、Active Directory ドメイン コントローラーでアカウントを認証するために使用さ
KCD（Kerberos Constrained Delegation） を理解する (2)
コンピューターアカウントのプロパティを属性エディタで見てみると、以下のような SPN が登録されていることがわかります。 SPN はサービスを一意に識別するために使用することは既に書いた通りですが、それでは、SPN を使用してサービスがどのように認証されるのかについてみてみます。 以下の図を見てください。面倒くささが倍増しますよね。。。でも苦労してまとめてみたんです。。。以降、図とにらめっこしながら読んでくださいね。 既にユーザーはログオンして、TGT（Ticket Granting Ticket）が発行されていると思ってください。ユーザーがログオンすると、Kerberos の KDC（キー配布サービス）から TGT と ”Session Key” が発行されます。TGT はドメイン内のサービスにアクセスするための ”Service Ticket” を発行してもらうための予約券みたいなもの
KCD（Kerberos Constrained Delegation） を理解する (1)
Azure アプリケーションプロキシーや Windows Server Web Application Proxy では、KCD（Kerberos Constrained Delegation）という機能を使用して、オンプレミス Active Directory との SSO を実現しています。 KDC（Key Destribution Center：キー配布センター）ではありません。KCD です。3文字略語が多くてイヤになりますね。 で、KCD ってなんのこっちゃわかります？ あらためて聞かれると、「とあるサービスに、特定の別のサービスに対するアクセス権限を委任してごにょごにょ。まぁ、細かいことは気にすんな。」な感じになってしまって、きっちり説明する自信がありません。 そんな中、以下のホワイトペーパーがリリースされました。 Understanding Kerberos Constrain
Kerberos 認証の設定を確認する
Forefront Identity Manager 2010 （FIM 2010）に限らず Microsoft の製品群は Active Directory を使った Kerberos 認証を多用しています。 こいつです↓（違 これは、いわゆる「ダブルホップ」と言われる認証の委任を行うことが多いためです。 ※もちろん他の理由もありますが。 ダブルホップを知らない方に向けたおさらいですが、Windows ネットワークの世界での認証は一般に NTLM 認証と Kerberos 認証が利用されます。そして、Windows サーバで構成される Web システムといえば、IIS -> SQL Server での2層構造が主流です。 ※ブラウザから IIS へアクセスし、IIS が SQL Server へアクセスするという形でホップが2重になっていることからダブルホップと呼ばれます。 この時、NT
Kerberos の概要とチケット取得の様子を目で確認した結果 - Web/DB プログラミング徹底解説
この資料では Kerberos 認証を使って、あるクライアントの IE から IIS にアクセスする場合に、 その裏でどのようなモジュールが何をしているのか、各種ツールを使って確認します。 状況設定 ここでは、alice というユーザーアカウントが、Windows ドメイン環境にログインして、 ドメイン内の IIS にアクセスするシナリオを考えます。下図の左下のユーザが Alice と思ってください。 Alice は Windows ドメインにログインしてから、クライアントマシン上の IE から、右下に描かれている IIS へとアクセスします。 この時に発生する Kerberos の動作に着目すると、次のようになります。 クライアントからドメインコントローラ (AS, Authentication Service) への TGT (Ticket Granting Ticket) の要求 T
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Kerberos for the Busy Admin
Create a profile container with Azure Files and Microsoft Entra ID
制約のない委任について)
Setspn
Ken Schaefer : IIS and Kerberos Part 8 - a simple cross Forest/Domain delegation scenario
baeke.info :: SharePoint 2007: Reporting Services in Integrated Mode and Delegation