kerberos - 关于kerberos转发和代理模式的问题

Question

我有一个关于 Kerberos 中转发的问题：转发是否意味着最终用户会将 TGT 交给服务，以便服务可以在必要时使用 TGT 请求其他票证？如果是这种情况，这是否意味着当用户首次向 AS 验证他/她自己时，用户将设置某些标志，并且 AS 将返回用户一个设置了 FORWARDED 的 TGT？然后用户会给这个 TGT 服务？这是正确的吗？或者换个方式问，如果用户给一个服务TGT，这个FORWARDED TGT是由AS还是TGS发出的？谢谢你。

Answer 1

你的第一个假设是正确的。转发的 TGT 应该包含在由 AS 生成的服务票据中。否则客户端没有机会验证服务是否真的注册了。看看这个。它可能会帮助你。