Vision d’avenir

Type d’approbation

Caractéristiques

Supposons qu’Alice se connecte à  nord.fr108.soc108.com
avec son compte d’utilisateur et veut accéder à  une ressource située sur
un serveur de ouest.it108.soc108.com. Les étapes suivantes vont vous faire
parcourir le cheminement du processus d’authentification Kerberos dans
une arborescence contenant cinq domaines :

1. Alice utilise son TGT (ticket-granting ticket) pour obtenir un ticket
   de KDC1 pour le serveur de ressources du domaine ouest. KDC1 n’est pas
   l’autorité pour le domaine ouest du serveur de ressources, il renvoie
   donc Alice au domaine le plus proche du domaine cible avec lequel le
   domaine nord a une relation d’approbation Kerberos. Ce domaine est fr.108.
2. le KDC2 renvoie Alice au KDC3
3. le KDC3 renvoie Alice au KDC4
4. le KDC4 renvoie Alice au KDC5.
5. le KDC5 est l’autorité du domaine ouest, il génère donc un ticket
   pour Alice.
6. Alice utilise le ticket du KDC5 pour accéder au serveur de ressources.

Si vous utilisez l’utilitaire Klist du SDK de Windows
2000 pour regarder le cache du ticket sur la machine d’Alice, vous découvrez
un TGT pour chaque domaine, un ticket pour la machine d’Alice (partie
du domaine nord) et un ticket pour le serveur de ressources.

Vous pouvez réduire
ce processus d’orientation en créant une relation d’approbation explicite
(c’est-à -dire une relation raccourcie) entre les domaines nord et ouest.
Dans ce cas, Alice devra parcourir les étapes suivantes pour accéder à 
la ressource localisée dans le domaine ouest.

1. Alice utilise son TGT pour obtenir un ticket de KDC1 pour le serveur
   de ressources du domaine ouest. KDC1 n’est pas l’autorité pour le domaine
   ouest du serveur de ressources, il renvoie donc Alice au domaine le
   plus proche du domaine cible avec lequel le domaine nord a une relation
   d’approbation Kerberos. Ce domaine est ouest.
2. KDC5 est l’autorité pour le domaine ouest du serveur de ressources,
   il génère donc un ticket pour Alice.
3. Alice utilise le ticket de KDC5 pour accéder au serveur de ressources.

Si vous regardez le cache du ticket sur la machine
d’Alice après ce processus, vous ne trouvez que quatre tickets : un TGT
pour le domaine nord, un TGT pour le domaine ouest, un ticket pour la
machine d’Alice et un ticket pour le serveur de ressources. Une approbation
raccourcie réduit le trafic d’authentification entre domaines et le nombre
de tickets Kerberos émis.