图解Kerberos原理

Kerberos是一个常用的认证与授权协议，在初次接触该协议的时候，往往觉得该协议充满复杂的交互逻辑，但在充分理解了之后，又会觉得这过程中其实充满了数学与逻辑的美学。本文主要结合Wiki中关于Kerberos Protocol的定义，增加了一些图解信息，希望能够让读者更直观的理解该协议的内容。

整体流程

参与的关键角色

整体流程的介绍中，关于用户身份认证与服务授权都用“系统”这个抽象角色描述的。但实际上，用户身份认证与服务授权都是不同的服务角色提供的。参与的各方角色包括：

• Client: Application Client 应用客户端
• AS: Authentication Server 用来认证用户身份
• TGS: Ticket-Granting Service 用来授权服务访问
• SS: Service Server 用户所请求的服务

1. 用户登录

• 用户登录阶段，通常由用户输入[用户名]和[密码]信息。
• 在客户端侧，用户输入的[密码]信息被通过一个单向Hash函数生成一个[Client密钥]。