Kerberos：ASとTGSの分離

Kerberosでは、認証サーバー（AS）とチケット許可サーバー（TGS）は通常、同じサーバーに実装されます。このマシンは、鍵配布センター（KDC）と呼ばれます。

確かに、これらのサービスを同じ物理マシンに実装することは理にかなっています。中小規模のネットワークでは、これら2つのサービスを分離するのはやり過ぎです。さらに、私は比較的信頼できる情報源を持っています。

TGSとASは同じDBにアクセスする必要がある=>異なるマシンにTGSとASを実装することはあまり意味がありません

しかし、どのデータベースを2つの間で共有する必要があるのか​​わかりません。

これは私の考えです。ASとTGSをどのように分離するのですか。共有データベースはありません。

• ASとTGSは分離されているため、マスターシークレットは異なります
• ASには、すべてのユーザーのデータベースに、それぞれのマスターシークレット（ユーザーがサインインするときに使用され、セッションキーを暗号化する）と、TGSのマスターシークレット（要求されたTGTを暗号化する）があります。
• TGSにはデータベースがあり、どのユーザーがどのサービス（ACL、失効リストなど）を使用できるかを決定できます。また、すべてのサービスとそれぞれのマスターシークレット（チケットを暗号化する）を持つデータベースを決定できます。

ユーザーがサービスを使用する場合（簡略化）：

• ASで認証する
• TGSマスターシークレットで暗号化されたチケット許可チケット（TGT）と、ユーザーのマスターシークレットで暗号化されたセッションキーを取得します。
• TGTでTGSに連絡する
• サービスのマスターシークレットで暗号化されたチケットを取得する
• チケットでサービスに連絡する

何かが足りないのでしょうか、それともASとTGSの分離にまったく問題はありませんか？

あなたの質問はすべて理論です。現物でお答えします。ASとTGSは論理サーバーであるため、理論的には分離できます。しかし実際には、それらを別々のマシンに実装する十分な理由はありません。そのため、実際には誰もそれを行いません。Kerberos認証の観点から見ると、世界で最も規模の大きいネットワークでさえ、KDCの論理コンポーネントを分離する必要はありません。Kerberosの実際の実装では、ASが必要とするすべてのデータとTGSが必要とするすべてのデータは、すべて同じデータベースに格納されます。理論的には分離することもできますが、分離する正当な理由はなく、実行を不必要に複雑にするだけです。