Kerberos认证底层逻辑（通俗易懂版）

一、Kerberos协议

Kerberos是一种由麻省理工大学提出的一种网络身份验证协议，设计初衷是通过密钥系统为客户机/服务器应用程序提供强大的认证服务。‌个人认为可以类比HTTPS去理解。Kerberos的Client、Server、KDC 可以类比HTTPS的Client、Server、CA去理解。

二、Kerberos认证的参与角色

为了更好的理解Kerberos在身份验证安全方面的作用和机制。介绍完每个Kerberos参与方的作用之后，紧接着会将Kerberos和HTTPS做对比。

2.1 Client‌

在Kerberos中，Client是请求服务的用户或设备；在HTTPS中，Client是发起请求的浏览器或应用程序。

2.2 Server

在Kerberos中，Server是提供服务的实体；在HTTPS中，Server是提供网页或服务的Web服务器。

2.3 KDC‌

在Kerberos中，KDC是密钥分发中心，负责身份验证和票据发放；在HTTPS中，CA是证书颁发机构，负责颁发和管理数字证书。
KDC由认证服务和‌票据授予服务组成：
认证服务器（AS）‌：‌AS负责验证用户的身份，并为客户端生成一个临时的票据授予票据（TGT）。TGT是一个临时的凭证，用于后续的访问授权。
‌作用‌：当用户试图访问某个网络服务时，AS会验证用户的身份，确保用户是合法的。
‌票据授予服务器（TGS）‌：TGS验证TGT和Authenticator，为客户端提供服务票据。服务票据允许用户访问特定的网络服务。
‌作用‌：用户使用TGT向TGS请求访问特定服务的票据，TGS验证TGT的有效性后，颁发服务票据给用户，允许其访问相应的服务。

三、关键概念剖析

Realm：认证管理域，通常是服务端和客户端在一个域内才能进行认证。
Principal：客户端和服务端的名称，通常Client命名规则为NAME@REALM，Server命名规则为NAME/HOSTNAME@REALM。
Keytab：每个Principal的配套密码，可代替手动输入密码 krb5.conf：记录KDC的HOST与定义Realm规则的配置文件。
Long-term Key/Master Key：Long-term Key是在较长时间内保持不变的密钥，比如用户的密码，可能多年都不会更改 。由于Long-term Key存在被破解的风险，所以被长期密钥加密的数据通常不应该在网络上传输 。Master Key一般是由用户密码经过哈希运算得到的Hash值，它和密码具有同等的证明身份的效力 。
Short-term Key/Se