活動(dòng)目錄驗(yàn)證過程原理
活動(dòng)目錄驗(yàn)證過程原理。我想了解AD內(nèi)，一臺(tái)電腦向DC提交驗(yàn)證的具體過程。從client pc啟動(dòng)到發(fā)現(xiàn)DC,然后向DC提交驗(yàn)證數(shù)據(jù)，***完成驗(yàn)證。期間使用那些端口，那些協(xié)議，怎樣的驗(yàn)證過程？麻煩提供一個(gè)詳細(xì)點(diǎn)的文章，謝謝！
回答：根據(jù)您的描述，我對(duì)這個(gè)問題的理解是：您想了解一臺(tái)電腦向DC提交驗(yàn)證的具體過程。
如果您所用的客戶操作系統(tǒng)不是Windows 3.1, Windows 95, Windows98, Windows NT, 也即您的客戶機(jī)系統(tǒng)是Windows 2000及以上，并且DC也是Windows 2000及以上，那么驗(yàn)證過程使用的是Kerberos協(xié)議。如果您的客戶機(jī)或者DC之一是Windows 2000以下，則驗(yàn)證使用的是NTLM協(xié)議。在Windows 2000及以上的域環(huán)境中，默認(rèn)的驗(yàn)證協(xié)議是Kerberos v5。您看到的文章來自活動(dòng)目錄seo http://gnaw0725.blog.51cto.com/156601/d-1
我們假設(shè)現(xiàn)在用戶是在一個(gè)Windows 2003的域環(huán)境。當(dāng)一臺(tái)客戶機(jī)登錄域時(shí)，客戶按下CTRL+ALT+DEL, 機(jī)器的 Winlogon 服務(wù)在轉(zhuǎn)到登錄的界面前，會(huì)觸發(fā) Winlogon的組件之一GINA DLL。GINA會(huì)顯示登錄界面，同時(shí) GINA 也負(fù)責(zé)收集用戶登錄的數(shù)據(jù)，打包成數(shù)據(jù)單位，然后送給LSA認(rèn)證。用戶輸入用戶名及密碼，選定域。當(dāng)按下確定時(shí)， GINA 把用戶信息傳給Winlogon。 Winlogon 把信息傳給 LSA。 LSA 使用LsaLogonUser進(jìn)行驗(yàn)證. 就在此時(shí)，LSA開始使用Kerberos V5驗(yàn)證協(xié)議開始驗(yàn)證。
LSA收到用戶密碼后，使用DES-CBC-MD5加密方法加密生成一個(gè)Key。（所以Kerberos version 5驗(yàn)證協(xié)議必須支持DES-CBC-MD5）。這個(gè)Key就是用戶密鑰。LSA 與Kerberos SSP 互動(dòng)，得到TGT Ticket和service ticket. 使用這些ticket, LSA就可以和KDC（Key Distribution Center密鑰分發(fā)中心）交換信息。（客戶機(jī)通過DNS查詢來定位KDC，每臺(tái)DC都是在DNS注冊(cè)過的KDC）。通過和KDC的互動(dòng)，客戶機(jī)使用 Kerberos發(fā)送消息 KRB_AS_REQ 給KDC。該消息包括用戶名，域以及生成的密鑰。KDC 從其數(shù)據(jù)庫(kù)中找到用戶及用戶密鑰，對(duì)比結(jié)果，如果用戶及密鑰都相同，則該用戶被允許登錄。但此時(shí)用戶僅僅是能登錄，如果要做其余的動(dòng)作，比如瀏覽共享文件夾等，則用戶要先與KDC做近一步的互動(dòng)。您看到的文章來自活動(dòng)目錄seo http://gnaw0725.blog.51cto.com/156601/d-1
以上所提到的具體信息，請(qǐng)參考http://technet2.microsoft.com/windowsserver/en/library/4a1daa3e-b45c-44ea-a0b6-fe8910f92f281033.mspx?mfr=true
從上我們可以看到，用戶登錄域，必須先通過DNS定位KDC，然后使用Kerberos驗(yàn)證協(xié)議。這2步是必須的。DNS使用的是TCP和UDP的53端口，Kerberos使用的是TCP和UDP的88端口。所以對(duì)于您的問題，可以看到，登錄使用的協(xié)議是Kerberos V5,端口是TCP和UDP的53和88。
http://technet2.microsoft.com/windowsserver/en/library/4a1daa3e-b45c-44ea-a0b6-fe8910f92f281033.mspx?mfr=true
本文出自 gnaw0725 的BLOG 詳情請(qǐng)參閱博客
【編輯推薦】
