アクセス制御リスト (ACL) を使用すると、従来の UNIX ファイル保護よりもきめ細かな方法でファイルセキュリティーを確立できます。たとえば、特定のファイルにグループ読み取り権を設定し、そのグループ内の 1 人のメンバーだけにそのファイルへの書き込み権を与えることが可能です。
Kerberos では、username/admin という形式 (jdoe/admin など) の名前を持つユーザー主体。通常のユーザー主体より多くの特権 (ポリシーの変更など) を持つことができます。主体名とユーザー主体も参照してください。
Advanced Encryption Standard。対称ブロックのデータ暗号技術。2000 年の 10 月、米国政府は暗号化標準としてこのアルゴリズムの Rijndael 方式を採用しました。Kerberos 暗号化のデフォルトは aes256-cts-hmac-sha1-96 です。
ネットワークアプリケーションサーバーを参照してください。
Kerberos では、オーセンティケータは KDC にチケットを要求するときおよびサーバーにサービスを要求するときに、クライアントから渡されます。オーセンティケータには、クライアントとサーバーだけが知っているセッション鍵を使用して生成された情報が含まれます。オーセンティケータは、最新の識別として検査され、そのトランザクションが安全であることを示します。これをチケットとともに使用すると、ユーザー主体を認証できます。オーセンティケータには、ユーザーの主体名、ユーザーのホストの IP アドレス、タイムスタンプが含まれます。チケットとは異なり、オーセンティケータは一度しか使用できません。通常、サービスへのアクセスが要求されたときに使用されます。オーセンティケータは、そのクライアントとそのサーバーのセッション鍵を使用して暗号化されます。
1. Kerberos では、主体がサービスを使用できるかどうか、主体がアクセスできるオブジェクト、各オブジェクトに許可するアクセスの種類を決定するプロセス。
2. ユーザー権利の管理で、役割またはユーザーに割り当てる (権利プロファイルに埋め込む) ことができる一連の操作 (そうしない場合、セキュリティーポリシーによって拒否される) を実行するための権利。承認はカーネルではなく、ユーザーアプリケーションレベルで適用されます。
狭義では、rlogin を使用するアプリケーションなど、ユーザーの代わりにネットワークサービスを使用するプロセスを指します。サーバー自身が他のサーバーやサービスのクライアントになる場合もあります。
広義では、a) Kerberos 資格を受け取り、b) サーバーから提供されたサービスを利用するホストを指します。
広義では、サービスを使用する Kerberos 主体を指します。
(RPCSEC_GSS API) Kerberos では、RPCSEC_GSS でセキュリティー保護されたネットワークサービスを使用するクライアント (ユーザーまたはアプリケーション)。クライアント主体名は、rpc_gss_principal_t 構造体の形式で格納されます。
Kerberos 認証システムに参加しているすべてのホスト上の内部システムクロックに許容できる最大時間。参加しているホスト間でクロックスキューを超過すると、要求が拒否されます。クロックスキューは、krb5.conf ファイルに指定できます。
プライバシを参照してください。
Oracle Solaris の暗号化フレームワーク機能では、コンシューマは暗号化プロバイダが提供する暗号化サービスのユーザー。コンシューマになりえるものとして、アプリケーション、エンドユーザー、カーネル処理などが挙げられます。Kerberos はコンシューマの例であり暗号化フレームワークはプロバイダです。
公開鍵暗号化としても知られています。1976 年に Diffie 氏と Hellman 氏が開発した非対称暗号鍵協定プロトコルです。このプロトコルを使用すると、セキュアでない伝達手段で、事前の秘密情報がなくても 2 人のユーザーが秘密鍵を交換できます。Diffie-Hellman は Kerberos で使用されます。
従来は、「セキュリティーフレーバ」と「認証フレーバ」は、認証のタイプ (AUTH_UNIX、AUTH_DES、AUTH_KERB) を指すフレーバとして、同じ意味を持っていました。RPCSEC_GSS もセキュリティーフレーバですが、これは認証に加えて、整合性とプライバシのサービスも提供します。
Kerberos では、チケットの 1 つ。クライアントがリモートホスト上のチケットを要求するときに使用できます。このチケットを使用すれば、リモートホスト上で完全な認証プロセスを実行する必要がありません。たとえば、ユーザー david がユーザー jennifer のシステム上にいる間に転送可能チケットを取得した場合、david は、新しいチケットを取得しなくても (それにより自分自身を再認証しなくても) 自分のシステムにログインできます。プロキシ可能チケットも参照してください。
Generic Security Service Application Programming Interface の略。さまざまなモジュールセキュリティーサービス (Kerberos サービスなど) をサポートするネットワーク層。GSS-API は、セキュリティー認証、整合性、およびプライバシサービスを提供します。認証、整合性、プライバシも参照してください。
Kerberos では、サービス主体のインスタンスの 1 つ (プライマリ名は host)。さまざまなネットワークサービス (ftp や NFS など) を提供するために設定します。host/central.example.com@EXAMPLE.COM はホスト主体の例です。サーバー主体も参照してください。
Kerberos では、直接発行されるチケット (既存のチケット認可チケットは使用されない)。パスワードを変更するアプリケーションなどの一部のサービスでは、クライアントが非公開鍵を知っていることを確認するために、「初期」と指定されたチケットを要求することができます。初期チケットは、長期間存在する可能性のあるチケット認可チケットに依存することなく、最近クライアントが認証されたことを示すため、このような保証が重要となります。
Kerberos では、主体名の 2 番目の部分。インスタンスは、主体のプライマリを修飾します。サービス主体の場合、インスタンスは必ず指定する必要があります。host/central.example.com にあるように、インスタンスはホストの完全修飾ドメイン名です。ユーザー主体の場合、インスタンスは省略することができます。ただし、jdoe と jdoe/admin は、一意の主体です。プライマリ、主体名、サービス主体、ユーザー主体も参照してください。
Kerberos では、まだ使用可能になっていない遅延チケット。無効チケットは、有効になるまでアプリケーションサーバーから拒否されます。これを有効にするには、開始時期が過ぎたあと、TGS 要求で –VALIDATE フラグをオンにしてクライアントがこのチケットを KDC に提示する必要があります。遅延チケットも参照してください。
鍵配布センター (Key Distribution Center)。次の 3 つの Kerberos V5 コンポーネントで構成されるシステム。
主体と鍵データベース
認証サービス
チケット認可サービス
レルムごとに、少なくとも 1 つのマスター KDC と、1 つ以上のスレーブ KDC を配置する必要があります。
認証サービス、Kerberos サービスが使用するプロトコル、または Kerberos サービスの実装に使用されるコード。
Oracle Solaris の Kerberos は、Kerberos V5 認証にほぼ準拠して実装されています。
「Kerberos」と「Kerberos V5」は技術的には異なりますが、Kerberos のドキュメントでは多くの場合、同じ意味で使用されます。
Kerberos (または Cerberus) は、ギリシャ神話において、ハデスの門を警護する 3 つの頭を持つどう猛な番犬のことです。
1. 一般には、次に示す 2 種類の主要鍵のどちらか一方です。
対称鍵 – 復号化鍵とまったく同じ暗号化鍵。対称鍵はファイルの暗号化に使用されます。
非対称鍵または公開鍵 – Diffie-Hellman や RSA などの公開鍵アルゴリズムで使用される鍵。公開鍵には、1 人のユーザーしか知らない非公開鍵、サーバーまたは一般リソースによって使用される公開鍵、およびこれらの 2 つを組み合わせた公開鍵と非公開鍵のペアがあります。非公開鍵は、「秘密鍵」とも呼ばれます。公開鍵は、「共有鍵」や「共通鍵」とも呼ばれます。
2. キータブファイルのエントリ (主体名)。キータブファイルも参照してください。
キーストアは、アプリケーションによる取得のために、パスワード、パスフレーズ、証明書、およびその他の認証オブジェクトを保持します。キーストアはテクノロジ固有にすることも、複数のアプリケーションで使用される場所にすることもできます。
LDAP バインディングを使用すると、LDAP サーバー上の LDAP ディレクトリとのデータ交換が可能となるため、LDAP プロトコルを使用して LDAP ディレクトリを検索、比較、および変更するプロセスが有効になります。
各レルムのメイン KDC。Kerberos 管理サーバー kadmind と、認証とチケット認可デーモン krb5kdc で構成されます。レルムごとに、1 つ以上のマスター KDC を割り当てる必要があります。また、クライアントに認証サービスを提供する複製 (スレーブ) KDC を任意の数だけ割り当てることができます。マルチマスター構成では、レルムに少なくとも 2 つのマスター KDC が含まれています。
Network Time Protocol (NTP)。デラウェア大学で開発されたソフトウェア。ネットワーク環境で、正確な時間またはネットワーククロックの同期化を管理します。NTP を使用して、Kerberos 環境のクロックスキューを管理できます。クロックスキューも参照してください。
プラグイン可能認証モジュール (Pluggable Authentication Module)。複数の認証メカニズムを使用できるフレームワーク。認証メカニズムを使用するサービスはコンパイルし直す必要がありません。PAM は、ログイン時に Kerberos セッションを初期化できます。
非公開鍵がパスフレーズユーザーによって作成されたことを検証するために使用されるフレーズ。望ましいパスフレーズは、10 - 30 文字の長さで英数字が混在しており、単純な文や名前を避けたものです。通信の暗号化と復号化を行う非公開鍵の使用を認証するため、パスフレーズの入力を求めるメッセージが表示されます。
パスワードの生成に使用できる暗号化アルゴリズム。パスワードをどれぐらいの頻度で変更すべきか、パスワードの試行を何回まで認めるかといったセキュリティー上の考慮事項など、パスワードに関連した一般的な事柄を指すこともあります。セキュリティーポリシーにはパスワードが必要です。パスワードポリシーでは、パスワードの強度、変更の頻度、および許可されるアルファベット、数字、およびキーボード修飾キーが指示される可能性があります。
一般には、意思やアクションに影響を与えたり、これらを決定したりする計画や手続き。コンピュータシステムでは、多くの場合セキュリティーポリシーを指します。実際のサイトのセキュリティーポリシーは、処理される情報の重要度や未承認アクセスから情報を保護する手段を定義する規則セットです。
Kerberos ポリシーおよびパスワードポリシーも参照してください。
Kerberos では、遅延チケットは作成されても指定された時点まで有効になりません。このようなチケットは、夜遅く実行するバッチジョブなどのために効果的です。そのチケットは盗まれても、バッチジョブが実行されるまで使用できないためです。遅延チケットは、無効チケットとして発行され、a) 開始時間を過ぎて、b) クライアントが KDC による検査を要求したときに有効になります。遅延チケットは通常、チケット認可チケットの有効期限まで有効です。ただし、その遅延チケットが「更新可能」と指定されている場合、その有効期限は通常、チケット認可チケットの有効期限に設定されます。無効チケット、更新可能チケットも参照してください。
Precision Time Protocol (PTP)。正確な時間またはネットワーククロック同期 (あるいはその両方) をネットワーク環境で管理できるソフトウェア。PTP を使用すると、Kerberos 環境のクロックスキューを管理できます。クロックスキューも参照してください。
1. Kerberos では、ネットワーク通信に参加し、一意の名前を持つ「クライアントまたはユーザー」あるいは「サーバーまたはサービス」のインスタンス。Kerberos トランザクションでは、主体 (サービス主体とユーザー主体) 間、または主体と KDC の間で対話が行われます。つまり、主体とは、Kerberos がチケットを割り当てることができる一意のエンティティーのことです。主体名、サービス主体、ユーザー主体も参照してください。
Kerberos の各ユーザー (主体) に与えられ、主体のユーザーと KDC だけが知っている鍵。ユーザー主体の場合、鍵はユーザーのパスワードに基づいています。Kerberos サービスは非公開鍵システムです。鍵も参照してください。
一般に、コンピュータシステム上で通常のユーザーの能力を超える操作を実行する能力または機能。特権ユーザーまたは特権アプリケーションは、追加の権利が付与されているユーザーまたはアプリケーションです。
Kerberos では、クライアントに対する操作を実行する際に、クライアントの代わりにサービスで使用できるチケット。このことを、サービスがクライアントのプロキシとして動作するといいます。サービスは、チケットを使用して、クライアントの識別情報を所有できます。このサービスは、プロキシ可能チケットを使用して、ほかのサービスへのサービスチケットを取得できますが、チケット認可チケットは取得できません。転送可能チケットと異なり、プロキシ可能チケットは単一の操作に対してだけ有効です。転送可能チケットも参照してください。
暗号化スキームの 1 つ。各ユーザーが 1 つの公開鍵と 1 つの非公開鍵を所有します。公開鍵の暗号化では、送信者は受信者の公開鍵を使用してメッセージを暗号化し、受信者は非公開鍵を使用してそれを復号化します。
1. 1 つの Kerberos データベースといくつかの鍵配布センター (KDC) を配置した論理ネットワーク。
2. 主体名の 3 番目の部分。主体名が jdoe/admin@CORP.EXAMPLE.COM の場合、レルムは CORP.EXAMPLE.COM です。主体名も参照してください。
有効期限の長いチケットではセキュリティーが低下するリスクがあるため、Kerberos チケットを renewable として指定できます。更新可能チケットには 2 つの有効期限があります。 a) チケットの現在のインスタンスの有効期限と、b) 任意のチケットの最長有効期限です。クライアントがチケットの使用を継続するときは、最初の有効期限が切れる前にチケットの有効期限を更新します。たとえば、すべてのチケットの最長有効期限が 10 時間のときに、あるチケットが 1 時間だけ有効だとします。このチケットを保持するクライアントが 1 時間を超えて使用する場合は、チケットの有効期限を更新する必要があります。チケットが最長有効期限に達すると、チケットの有効期限が自動的に切れ、それ以上更新できなくなります。
非公開鍵を参照してください。
フレーバを参照してください。
ポリシーを参照してください。
サービスを参照してください。
Kerberos では、ネットワーククライアントにリソースを提供する主体。 たとえば、システム central.example.com に ssh で接続する場合、そのシステムが ssh サービスを提供するサーバーになります。サービス主体も参照してください。
(RPCSEC_GSS API) Kerberos では、サービスを提供する主体。サーバー主体は、service@host という書式で ASCII 文字列として格納されます。クライアント主体も参照してください。
1. ネットワーククライアントに提供されるリソース。多くの場合、複数のサーバーから提供されます。たとえば、システム central.example.com に ssh で接続する場合、そのシステムが ssh サービスを提供するサーバーになります。
2. 認証以外の保護レベルを提供するセキュリティーサービス (整合性またはプライバシ)。整合性とプライバシも参照してください。
Kerberos サービス主体と KDC によって共有される暗号化鍵。システムの外部に配布されます。鍵も参照してください。
Kerberos では、1 つまたは複数のサービスに認証を提供する主体。サービス主体では、プライマリ名はサービス名 (ftp など) で、インスタンスはサービスを提供するシステムの完全指定ホスト名になります。ホスト主体、ユーザー主体も参照してください。
Kerberos では、認証サービスまたはチケット認可サービスによって生成される鍵。セッション鍵は、クライアントとサービス間のトランザクションのセキュリティーを保護するために生成されます。セッション鍵の有効期限は、単一のログインセッションに制限されます。鍵も参照してください。
マスター KDC のコピー。マスター KDC のほとんどの機能を実行できます。各レルムには通常、いくつかのスレーブ KDC と 1 つのマスター KDC を配置します。複数のマスター KDC が含まれるレルムは、マルチマスター構成と呼ばれます。KDC、マスター KDCも参照してください。
Kerberos では、stash ファイルに KDC のマスター鍵を暗号化したコピーが含まれます。サーバーがリブートされると、このマスター鍵を使用して KDC が自動的に認証されてから、kadmind プロセスと krb5kdc プロセスがブートされます。stash ファイルにはマスター鍵が入っているため、このファイルやこのファイルのバックアップは安全な場所に保管する必要があります。暗号が破られると、この鍵を使用して KDC データベースのアクセスや変更が可能になります。
Kerberos では、ユーザーの識別情報をサーバーやサービスにセキュアに渡すために使用される情報パケット。チケットは、単一クライアントと特定サーバー上の特定サービスだけに有効です。チケットには、サービスの主体名、ユーザーの主体名、ユーザーのホストの IP アドレス、タイムスタンプ、チケットの有効期限を定義する値などが含まれます。チケットは、クライアントとサービスによって使用されるランダムセッション鍵を使用して作成されます。チケットは、作成されてから有効期限まで再使用できます。チケットは、最新のオーセンティケータとともに提示されなければ、クライアントの認証に使用することができません。オーセンティケータ、資格、サービス、セッション鍵も参照してください。
資格キャッシュを参照してください。
Kerberos では、特定のユーザーに属する主体。ユーザー主体のプライマリ名はユーザー名であり、その省略可能なインスタンスは対応する資格の使用目的を説明するために使われる名前です (jdoe、jdoe/admin など)。「ユーザーインスタンス」とも呼ばれます。サービス主体も参照してください。