4. Kerberos
Kerberos是現(xiàn)今最重要的和安全的用戶認(rèn)證方法之一. 不僅僅因?yàn)镵erberos可以實(shí)現(xiàn)一次登陸(SingleSingOn), 而且它也不需要在網(wǎng)絡(luò)上傳輸密碼. 微軟的AD和蘋果的OD中都支持Kerberos.Mac OS X服務(wù)器內(nèi)置有KDC(Kerberos Key Ditribution Center)，KDC可以認(rèn)證所有的儲(chǔ)存在服務(wù)器目錄服務(wù)中的密碼是OD的用戶. Kerberos可以使用下面的Mac OS X服務(wù)來認(rèn)證用戶:
? Mail services (POP, IMAP, SMTP)
? AFP, SMB, FTP and WebDAV file services
? SSH, SFTP
? Xgrid
? VPN
A. kerberos的認(rèn)證過程
它的認(rèn)證過程經(jīng)過幾個(gè)階段:2. KDC將發(fā)布一個(gè)憑證準(zhǔn)許憑證(Ticket-Granting-Ticket,TGT), 這個(gè)有效憑證在以后使用Kerberos化的服務(wù)時(shí)使用，TGT只在預(yù)設(shè)的時(shí)間內(nèi)有效, 它被存儲(chǔ)在客戶緩沖中，可以在失效前重新獲得。
3. 當(dāng)客戶希望使用Kerberos化的服務(wù)時(shí)，聯(lián)系KDC。
4. KDC給客戶分發(fā)一個(gè)可以是用該服務(wù)的憑證(Ticket).
5. 客戶把這個(gè)憑證交給該服務(wù).
6. 這個(gè)服務(wù)會(huì)驗(yàn)證該憑證, 如果該憑證有效，那么用戶被允許使用這個(gè)服務(wù)。(Kerberos僅認(rèn)證用戶，而不認(rèn)證用戶使用其它服務(wù)).
注意到，服務(wù)不需要知道用戶的密碼和用戶策略. 一旦獲得了TGT, 就不需要提供密碼。
B. 檢查客戶使用Kerberos單一登錄
這一小節(jié)中我們將研究Mac OS X使用Kerberos的單一登錄.
1. 使用OD用戶登錄到客戶端
2. 在Finder里, 找到/System/Library/CoreServices并運(yùn)行Kerberos程序. 你應(yīng)該可以看到用戶獲得了一個(gè)TGT.
3. 在主OD中打開AFP服務(wù)(在Server Admin點(diǎn)擊Start), 注意：如果你使用另外一個(gè)服務(wù)器而不是主OD提供AFP服務(wù)(強(qiáng)烈建議使用這種方式), 并且希望支持SSO, 你必須把該服務(wù)器添加到Kerberos realm中以建立KDC和該服務(wù)器的互信. 請看后面的”O(jiān)D管理指引“獲得有關(guān)分步指導(dǎo).
4. 在客戶端, 使用Finder登錄到AFP服務(wù)器. 你將會(huì)發(fā)現(xiàn)系統(tǒng)沒有要求你輸入密碼. 你還會(huì)發(fā)現(xiàn)一個(gè)新的用于在主OD上該AFP服務(wù)的憑證.
5. 卸裝所有的服務(wù)器卷，使用Kerberos程序銷毀那個(gè)憑證, 并再次嘗試連接AFP服務(wù)器，這一次系統(tǒng)將要求你登錄.
6. 檢查/Library/Preferences/edu.mit.Kerberos文件. 這個(gè)是當(dāng)你在Directory Utility里配置綁定到主OD時(shí)自動(dòng)生成的Kerberos的配置文件. 從”kerberosautoconfig“的man頁中獲得更多的有關(guān)此文件的信息.
更多文章、技術(shù)交流、商務(wù)合作、聯(lián)系博主
微信掃碼或搜索：z360901061
微信掃一掃加我為好友
QQ號(hào)聯(lián)系： 360901061
您的支持是博主寫作最大的動(dòng)力，如果您喜歡我的文章，感覺我的文章對您有幫助，請用微信掃描下面二維碼支持博主2元、5元、10元、20元等您想捐的金額吧，狠狠點(diǎn)擊下面給點(diǎn)支持吧，站長非常感激您！手機(jī)微信長按不能支付解決辦法：請將微信支付二維碼保存到相冊，切換到微信，然后點(diǎn)擊微信右上角掃一掃功能，選擇支付二維碼完成支付。
【本文對您有幫助就好】元
