windows - 将 kinit 与 key 表文件一起使用时会发生什么

Question

希望对kinit和keytab文件的使用有更多的了解。例如，如果我已经为服务生成了一个 key 表文件(该服务通过 ktpass -mapuser to someuseraccount 注册到事件目录)

ktab -k "mykeytab" -a <someprincipal>

当名为 USERA 的用户登录 Windows 并将此 key 表用作 kinit 的输入参数时，幕后究竟发生了什么？

kinit -k -t "mykeytab" <someprincipal>

kinit 是否为 someprincipal 或当前登录的 USERA 生成初始凭证？

希望你能解开我的困惑。谢谢

Answer 1

这掩盖了许多重要的细节，但基本上您从 KDC 得到的只是一个加密的 blob。

kerberos KDC 不存储您的密码，而是一个 key 。当您 kinit 时，幕后发生的事情是您向 KDC 请求一张票以请求更多 kerberos 票，它会使用您的 key 对该票进行加密。

如果您知道自己的 key ，则可以解密 blob 并使用它来访问其他服务。

当您使用密码进行 kinit 时，kerberos 使用“字符串到 key ”算法将您的密码转换为KDC 使用的 key 的密码。 keytab 只是将 key 存储在本地文件中的方法。

因此，当您使用 key 表进行 kinit 时，它会使用 key 表中的 key 来解密 blob。就 kerberos 协议(protocol)而言，使用 key 表进行 kinit 和使用密码之间确实没有区别。两者最终都使用相同的 key 来解密票。

因此，在您将 key 表用于 kinit 之后，您在 key 表中拥有主体的 kerberos 票证。可以将与 kinit 一起使用的 key 表视为将密码存储在文件中。