Kerberos
チケットによる一度だけの本人確認と相互認証を提供する認証プロトコル。Windows ServerはKerberos version 5と、公開鍵認証・認可データの転送・委任のための拡張を実装する。
- 概念URI
https://comcomponent.com/knowledge/kerberos/- 別名・表記
- Kerberos version 5 / Kerberos認証
- 下位概念
- KDC / TGT(チケット許可チケット) / Kerberosサービスチケット / Kerberosの委任
- 最終確認日
- 2026-08-01
- 機械可読データ
- JSON-LD
この概念が関わる関係
- ワークグループ構成はKerberosと両立しません。ワークグループ構成の端末はActive Directoryの外にありKDCが存在しないため、Kerberosは成立しない / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- SMBクライアント側のNTLMブロックはKerberosを前提とします。SMBクライアント側のNTLMブロックの前提条件は、接続先のSMBサーバーがKerberos(またはPKU2U)を使えること / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- KerberosはSPNを前提とします。Kerberosはクライアントが提示するSPNからサービスアカウントを特定してチケットを発行するため、SPNの誤りは監査で見つかる典型的なNTLMフォールバック原因になる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- NegotiateはKerberosを利用します。自作アプリを含め、NegotiateはKerberosとNTLMのどちらかを選択し、認証に関わるシステムのいずれかがKerberosを使えない場合を除きKerberosを選ぶ / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- NegotiateはKerberosを利用します。Negotiateは、認証に関わるシステムのいずれかがKerberosを使えない場合を除き、Kerberosを選択する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- KerberosはSPNを前提とします。TGS交換では接続先のSPNをKDCに提示してサービスチケットを要求するため、SPNが引けなければ成立しない / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- KerberosはKDCを前提とします。認証・チケット発行のすべてがKDC(鍵配布センター)とのAS/TGS/AP交換の上に成り立つ / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- KerberosはTGT(チケット許可チケット)を利用します。AS交換で本人確認をしたクライアントに、krbtgtアカウントの長期鍵で暗号化されたTGTを発行する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- KerberosはKerberosサービスチケットを利用します。TGS交換で、接続先サービスの長期鍵で暗号化されたサービスチケットを発行する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- Kerberosは相互認証の実装を担います。Kerberosでは接続の両端が相手が名乗るとおりの相手であることを検証できる。NTLMはこれを提供せず、サーバーが本物であると仮定できる環境向けに設計されている / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- KerberosはNTLMリレー攻撃を防ぎます。サービスチケットは宛先サービスの長期鍵で暗号化されているため、別のサービスへ持ち込んでも復号できず中継が成立しない / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- ワークグループ構成はKerberosと両立しません。ワークグループ構成やドメインコントローラー以外でのローカルログオンは、そもそもActive Directoryの外にありKDCが存在しないため、Kerberosは成立しない / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- KerberosはNTLMの後継に当たります。更新可能なセッションチケットがNTLMの毎回のパススルー認証を置き換え、サーバーはPACの検証が必要な場合を除きドメインコントローラーへ行く必要がなくなる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- KerberosはKerberosの時刻同期要件を前提とします。事前認証のタイムスタンプが既定5分の許容差を超えると、Kerberosはエラーとして失敗する(NTLMへの静かな切り替えとは別の現象) / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- KerberosはKerberosの委任の実装を担います。Kerberosは、フロントエンドサービスがクライアントの代理としてバックエンドサービスへ接続する委任をサポートする / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- KerberosはActive Directory(AD DS)を前提とします。Windows ServerのKerberos実装はActive Directoryドメインを前提とする / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- KerberosはSMB署名に対する本記事の推奨です。SMB署名のセッション鍵はパスワード由来のため、NTLMv2ではなくKerberosを使うことで鍵が強い状態で始まる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- KerberosはSMB署名に対する本記事の推奨です。SMB署名のセッション鍵はパスワードに由来するため、NTLMv2ではなくKerberosを使うことでセッション鍵が強い状態で始まる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- NegotiateはKerberosを利用します。自作の.NET LDAPクライアントもAuthType.NegotiateとSigning/Sealingの要求を組み合わせることで、SPNと名前解決が揃えばKerberosが選ばれる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
この概念を扱う記事
一次資料
このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。