security - Kerberos TGT 行为

Question

虚构场景：用户登录并获得默认生命周期为 10 小时的 Kerberos TGT。5 小时后，用户在目录控制器上被禁用/锁定。那会发生什么？用户是否可以尽管被禁用/锁定访问资源（因为他有有效的票证）？还是我理解错了？

Answer 1

不，他不能。他必须申请服务票，而 KDC 会拒绝。您可以通过提供负密码树时间或锁定您的工作站并尝试解锁来尝试。AD 将锁定您的帐户，您将无法提取新的服务票证。今天发生在我身上的 Spring webapp 测试设置。