Kerberosとは何ですか？

Kerberosは、秘密鍵暗号とタイムスタンプ付きチケットを用いて、ネットワーク上でパスワードを送信することなく、ユーザーやサービスの身元を確認するネットワーク認証プロトコルです。信頼できる鍵配布センターが暗号化されたチケットを発行することで、クライアントとサーバーは迅速かつ繰り返し相互認証を行うことができます。

主なポイント

• Kerberosは、ネットワーク上でパスワードを送信することなく、ユーザーやサービスの認証を行います。
• キー配布センター（KDC）は、要求に応じて、暗号化され、タイムスタンプが付けられたチケットを発行します。
• チケット付与チケット（TGT）により、クライアントはオンデマンドでサービスチケットを要求することができます。
• Versa ユーザー認証に関しては、Kerberos認証の方がLDAPよりも強固であると考えている。
• VOSデバイスは、Kerberos IDを使用して、ファイアウォールおよびSD-WANポリシーにおけるユーザーを照合します。

このページの内容： その重要性 ・ 仕組み ・ 種類 · Kerberos およびVersa · よくある質問

なぜKerberosは重要なのでしょうか？

ネットワークを介して送信されるパスワードは、たとえ暗号化されていても、常にリスクを伴います。通信内容を傍受されれば、攻撃者はオフラインでそのパスワードを再利用したり、解読したりできる場合が多いからです。Kerberosは設計上、このリスクを排除しています。パスワードがネットワーク上を流れることは決してないからです。その代わりに、信頼できる第三者が、有効期間が短く、暗号的に署名されたチケットを用いて身元を保証するため、通信経路が侵害されても、長期的に有効な認証情報が漏洩することはありません。

その設計により、ケルベロスは30年にわたり、企業ネットワークにおけるデフォルトの認証プロトコルとしての地位を確立してきました。 Microsoft Active Directoryはドメインへのログオンにこれをネイティブに利用しており、Active Directoryユーザーを識別する必要があるデバイス（ファイルサーバー、プロキシ、ファイアウォールなど）は、通常これをサポートしています。チケットにはタイムスタンプが付けられ、有効期間が短いため、盗まれたチケットが利用可能な期間は限られています。また、KDCが一元管理されているため、アクセスの取り消しや監査を行う際に、KDCを信頼しているすべてのサーバーに個別にアクセスする必要はありません。

Kerberosとは何ですか？

Kerberosは、認証サーバー（AS）とチケット発行サービス（TGS）を組み合わせた、信頼できる仲介者であるキー配布センター（KDC）を通じて機能します。 クライアントはまずASに対して認証を行い、チケット付与チケット（TGT）を受け取ります。TGTとは、TGSの秘密鍵で暗号化され、タイムスタンプが付けられた認証情報です。クライアントはパスワードを再度入力する必要はなく、TGTをTGSに提示して、利用したい特定のサービスに対するサービスチケットを要求します。

その後、クライアントはそのサービスチケットをリクエストとともに、対象のサービスに直接送信します。サービス側は、KDCと共有している鍵（多くの場合、事前にkeytabファイルとして配布されている）を使用してチケットを復号し、その中に含まれる身元情報を信頼します。すべてのステップが秘密鍵暗号と短い有効期間に依存しているため、認証情報はネットワーク上で決して公開されることがなく、盗まれたチケットもすぐに失効します。

Kerberosの種類

Kerberosバージョン5は、RFC 4120で定義された現在の標準であり、Active DirectoryやVersaのVOSを含む、実質的にすべての最新の実装で使用されているバージョンです。旧バージョンのバージョン4はすでに廃止されています。v5の導入環境では、2種類のチケットが機能します。1つはTGT（セッションごとに1回取得され、TGSとの通信にのみ使用される）であり、もう1つはターゲットサービスごとに要求され、そのサービスに直接提示されるサービスチケットです。

導入方法は、クライアントの認証方法によっても異なります。Keytab ベースの認証では、事前に共有された keytab ファイル（VOS デバイスが KDC に対して自身を識別するために使用するパターン）を使用することで、デバイスやサービスは対話型のパスワード入力を求められずに認証を行うことができます。 一方、SPNEGO/Negotiateを介してHTTP上で自動的にネゴシエートされるブラウザベースのSSOでは、ドメインユーザーがワークステーションにログインすると、そのブラウザが透過的にサービスチケットを取得できます。これは、Kerberos認証によるWeb/プロキシアクセスが通常機能する仕組みです。

Kerberos &Versa

VOSデバイスは、CoS（QoS）、NGFW、SD-WAN、およびUTMのポリシールールにおいて、ユーザーやグループを識別するためのLDAPに代わる、強固で認証情報を安全に保護できる代替手段としてKerberosをサポートしています。 設定は、定義された手順に従って行います。まず、Active Directory サーバー上で keytab ファイルを生成し、それを Director ノードおよびアプライアンスにアップロードします。次に、その keytab と SPN を参照する Kerberos プロファイルを定義し、それを認証プロファイルおよびルールに組み込みます。 リリース 22.1.3 以降、NGFW では、同じユーザーおよびグループポリシーエンジンに対して、証明書、LDAP、ローカルプロファイル、RADIUS、および SAML 認証に加え、Kerberos 認証もサポートされています。詳細については、「Kerberos 認証の設定」およびNGFW 専用の対応項目を参照してください。

Kerberosでは、セッションのリダイレクトやトークンの取得に復号化されたトラフィックが必要となるため、VOSでは、透過モードまたは明示的なフルプロキシモードの復号化プロファイル、Kerberos仮想URLに紐付けられたキャプティブポータル、および対応するブラウザ設定（Internet Explorer、Chrome、またはFirefox）を組み合わせて使用します。これにより、管理者はDirectorおよびAnalyticsから直接、認証済みのセッションや認証イベントログをリアルタイムで監視することができます。

よくある質問

Kerberosのチケット付与チケット（TGT）とは何ですか？

TGTとは、クライアントが最初に認証を行った後に、鍵配布センターが発行するタイムスタンプ付きの認証情報です。これにより、パスワードを再度入力することなく、チケット発行サービスに対して身元を証明することができ、クライアントはこのTGTを使用して、次にアクセスする必要があるサービスへのサービスチケットを要求します。

KerberosとLDAP認証はどのように異なるのでしょうか？

LDAP認証では通常、ユーザーが接続するたびにディレクトリに対して直接認証情報を検証しますが、Kerberosではパスワードが一切送信されることはなく、代わりに暗号化され、タイムスタンプが付けられたチケットが交換されます。『Versa 』のドキュメントでは、まさにこの理由から、Kerberosの方が2つの認証方法のうちより強力な認証方法であると説明されています。

Kerberosのkeytabファイルとは何ですか？

keytab ファイルには、Kerberos プリンシパルとその暗号化された鍵のペアが格納されており、これらはサービスアカウントのパスワードから導出されます。これにより、VOS アプライアンスなどのデバイスは、対話型のパスワード入力を求められずに KDC に対して認証を行うことができます。また、パスワードが変更された場合は、このファイルを再生成する必要があります。

なぜKerberosには鍵配布センター（KDC）が必要なのでしょうか？

KDCは、すべてのクライアントとサービスが依存する信頼できる第三者機関です。KDCは、初期のTGTを発行する認証サーバーと、サービスごとのチケットを発行するチケット付与サービスを組み合わせたものであり、信頼関係を一元化することで、2つの当事者が秘密情報を直接共有する必要がなくなります。

Versa では、ファイアウォールポリシーにKerberosをどのように利用しているのでしょうか？

VOSデバイスは、Kerberosによる認証済みIDを使用して、CoS、NGFW、SD-WAN、およびUTMのポリシールールにおいて特定のユーザーやグループを照合します。このデバイスはユーザーデータベース全体をメモリに読み込まないため、ポリシーの照合には、Kerberos、LDAP、SAML、またはTACACS+から取得した外部ユーザーを定義します。

Kerberosに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

Kerberosについて調べているなら、次はこれらもぜひチェックしてみてください。