辭彙表
- 管理主管
-
一位主管使用者，其名稱格式為 使用者名稱/admin（如在 joe/admin 中）。管理主管可以比一般的使用者主管擁有較多的權限（例如，變更政策）。同時請見 主管名稱，使用者主管。
- 應用程式伺服器
-
請參見 網路應用程式伺服器。
- 辯證
-
確定一位主管的身份的確認過程。
- 辯證器
-
要求許可證（從一個 KDC）及服務（從一個伺服器）時，客戶端會傳出辯證器。其中包含以只有客戶端及伺服器所知的作業階段密鑰所生成的資訊，顯示其是最近才生成的，因而指明交易的安全性。與一張許可證一起使用時，辯證器可用來辯證一位使用者主管。辯證器包括使用者的主管名稱、使用者主機的 IP 位址、以及一個時間戳記。不像一張許可證，辯證器只能使用一次，通常是在收到存取一項服務的要求時使用。一個辯證器是經過該客戶端及該伺服器的作業階段密鑰加密而成的。
- 授權
-
決定一位主管是否可以使用一項服務，允許主管所存取的物件，以及允許每位主管的存取類型的過程。
- 客戶端
-
-
狹義地說，就是代表一位使用者來利用網路服務的一種過程。例如，一個使用 rlogin 的應用程式。有時候一個伺服器本身可以是其他伺服器或服務的客戶端。
-
廣義地說，則是 a) 接收一張 Kerberos 證書，並且 b) 利用由伺服器所提供的服務的一個主機。
簡言之，則是可以利用服務的一位主管。
-
- 客戶端主管
-
(RPCSEC_GSS API) 使用 RPCSEC_GSS-secured 網路服務的一個客戶端（一位使用者或一個應用程式）。客戶端主管名稱是以 rpc_gss_principal_t 結構的格式貯存的。
- 時鐘偏差
-
參與 Kerberos 辯證系統的所有主機上的內部系統時鐘可以彼此有不同的最長時間。如果有任何參與的主機超出時鐘偏差值，要求便會被拒。krb5.conf 檔案可以指定時鐘偏差。
- 機密性
-
請參見 保密性。
- 證書
- 證書快取記憶體
-
包含從 KDC 所收到證書的一個貯存空間（通常是一個檔案）。
- 性質
-
過去人們認為安全性質 及辯證性質是相同的意思，其中性質指的是特定一種辯證類型 (AUTH_UNIX、AUTH_DES、AUTH_KERB)。RPCSEC_GSS 也是一種安全性質，即使它在辯證之外還提供完整性及保密性服務。
- 可轉遞的許可證
-
客戶端不需要通過一個遠端主機之上的完整辯證過程，而可用來在該主機上要求一張許可證的一張許可證。例如，如果使用者 david 在 jennifer 的機器上取得一張可轉遞的許可證，他便可以在沒有取得一張新許可證的情況之下登入自己的機器（並因此再次自我辯證）。同時請見 可代理的許可證。
- FQDN
-
完全符合條件的領域名稱。例如，denver.mtn.acme.com（而非簡單的 denver）。
- GSS-API
-
通用安全服務應用程式寫作介面。支援各種模組安全服務（包括 SEAM）的一個網路層級。GSS-API 可以提供安全辯證、完整性、及保密性服務。同時請見 辯證，完整性，保密性。
- 主機
-
可以透過網路存取的一個機器。
- 主機主管
-
服務主管的一個特定實例，其中設定主管（由主要名稱主機表明）以提供一系列的網路服務，例如
ftp、rcp、或rlogin。 host/boston.eng.acme.com@ENG.ACME.COM 便是主機主管的一個例子。同時請見 伺服器主管。 - 初始的許可證
-
直接核發（亦即未根據一張現存的能賦予許可證的許可證）的一張許可證。某些服務，例如變更密鑰的應用程式，可能會要求許可證標明為初始，以確保客戶端確實清楚地瞭解其密鑰的內容-因為一張初始的許可證可以表明，該客戶端最近才經過自行辯證（而非依賴一張可能已經存在很長一段時間的能賦予許可證的許可證）。
- 實例
-
主管名稱的第二個部份，可以證明主管主要名稱資格的一個實例。就服務主管而言，實例是必要的，並且是主機完全符合條件的領域名稱，正如 host/boston.eng.acme.com 中的一樣。而就使用者主管而言，實例是可任選的。不過請注意 joe 和 joe/admin 是兩個各自不同的主管。同時請見 主管名稱，服務主管，使用者主管。
- 完整性
-
一種安全服務，在使用者辯證之外，再加強提供透過加密 checksumming 所傳送資料的有效性。同時請見 辯證，保密性。
- 許可證無效
-
一張尚無法有效使用的遠期許可證，在驗證之前會被一個應用程式伺服器所拒絕。要驗證此許可證，客戶端必須在超過其開始時間之後，將它附在一個 TGS 要求中提交給 KDC，設定 VALIDATE 旗標。同時請見 遠期的許可證。
- KDC
-
（密鑰分配中心）有三種 Kerberos V5 元件的一個機器﹕
-
主管及密鑰資料庫
-
辯證服務
-
能賦予許可證的服務
每個範疇都應該有一個主 KDC 以及一或多個從屬 KDC。
-
- Kerberos
-
一種辯證服務，該服務所用的協定，或是用以實施該服務的編碼。
SEAM 是一種密切根據 Kerberos V5 的辯證實施。
儘管有著技術上的不同，SEAM 說明文件中通常會混合使用 “SEAM” 及 “Kerberos”，同樣地，“Kerberos” 及 “Kerberos V5” 也常被混用。
- 密鑰
- keytab
-
包含一或多個密鑰（主管）的一個密鑰表檔案。主機或服務使用一個 keytab 檔案的方式類似於使用者使用一個密鑰的方式。
- kvno
-
密鑰版本編號。一種序列號碼，會依照生成的順序來追蹤一個特定的密鑰。最高的 kvno 即為最新和目前的密鑰。
- 主 KDCmaster KDC
-
每個範疇中的主 KDC，包括一個 Kerberos 管理伺服器 kadmind，以及一個辯證及能賦予許可證的常駐程式 krb5kdc。每個範疇必須至少有一個主 KDC，但可有許多個副本，或是從屬，亦及為客戶端提供辯證服務的 KDC。
- 機制
-
指定加密技術以進行資料辯證或機密性的一個套裝軟體。例如﹕Kerberos V5，Diffie-Hellman 公開密鑰。
- 網路應用程式伺服器
-
提供網路應用程式，如 ftp 的一個伺服器。一個範疇可以包含數個網路應用程式伺服器。
- NTP
-
（網路時間協定）達拉維爾大學所開發的一種軟體，可以讓您在一個網路環境中準確地管理時間及/或網路時鐘同步化。您可以使用 NTP 來維護 Kerberos 環境中的時鐘偏差。
- PAM
-
（可隨插即用的辯證模組）不需要使用多個辯證機制來重新編譯服務便可使用它們的一種架構。PAM 會在登入時啟用 SEAM 作業階段的初始化。
- 政策
-
可以監督許可證使用的一組規則，在安裝或管理 SEAM 之後初始化。政策可以規定主管的存取活動，或如 lifespan 等的許可證參數。
- 遠期的許可證
-
在建立之後到了某個特定的時間才會有效的一張遠期許可證。此種許可證對於必須在夜間執行的批次工作來說很有用，因為若是許可證被偷，它在批次工作執行時間之前也無法由他人使用。核發一張遠期的許可證時，它會被標為無效的狀態，直到 a) 超過其開始時間，而且 b) 客戶端要求 KDC 的驗證為止。通常一張遠期的許可證在能賦予許可證的許可證截止時間之前都是有效的；不過如果許可證被標為可更新，那麼其壽命通常會設定為相當於能賦予許可證的許可證完整壽命的持續時間。同時請見 許可證無效，可更新的許可證。
- 主要
- 主管
- 主管名稱
- 保密性
- 私用密鑰
-
每一位使用者主管都有一個密鑰，只有主管的使用者以及 KDC 才會知道。就使用者主管而言，密鑰是以使用者的密鑰為基礎。同時請見 密鑰。
- 私用密鑰加密
-
在私用密鑰加密時，發件者及收件人會使用相同的密鑰來進行加密。同時請見 公開密鑰加密。
- 可代理的許可證
-
可由一項服務代表一個客戶端來執行客戶端操作的一張許可證。（因此服務便被視為客戶端的代理。）服務可以利用許可證來成為一個客戶端的身份。服務便因此可以取得另一個服務的服務許可證，但卻無法取得一張能賦予許可證的許可證。一張可代理的許可證以及可轉遞許可證之間的不同在於，可代理的許可證只能適用於單一操作。同時請見 可轉遞的許可證。
- 公開密鑰加密
-
一種加密系統，其中每位使用者都有兩個密鑰，一個公開及一個私用密鑰。在公開密鑰加密系統中，發件者會使用收件人的公開密鑰來加密訊息，而收件人則使用一個私用密鑰來將它解密。SEAM 是一種私用密鑰系統。同時請見 私用密鑰加密。
- QOP
-
（保護的程度）選擇用來與完整性或保密性服務配合使用的加密演算法的一個參數。
- 範疇
-
-
單一 SEAM 資料庫及一組密鑰分配中心 (KDC) 所服務的邏輯網路。
-
主管名稱的第三個部份。就 joe/admin@ENG.ACME.COM 主管名稱而言，其範疇名稱為 ENG.ACME.COM。同時請見 主管名稱。
-
- 關係
-
kdc.conf 或 krb5.conf 檔案中所定義的一個設置變數或關係。
- 可更新的許可證
-
由於壽命期過長的許可證可能會產生安全上的顧慮，因此可以將許可證指定為可更新的狀態。可更新的許可證有兩個截止時間﹕即目前許可證實例的過期時間，以及任何許可證的最長壽命。如果有一個客戶端希望繼續使用一張許可證，它可以在第一次截止時間前將它更新。例如，一張許可證的有效期間為一個小時，而所有的許可證則共有十個小時的最長壽命。如果持有許可證的客戶端想要多於一個小時的時間，就必須將它更新。當一張許可證到達最長的許可證壽命之後，它便會自動過期而無法再被更新。
- SEAM
-
（Sun 企業辯證機制）麻省理工學院所開發，透過網路來辯證使用者的一個系統，以 Kerberos V5 技術為基礎。
SEAM 說明文件中通常會混合使用 “SEAM” 及 “Kerberos”。
- 密鑰
-
請參見 私用密鑰。
- 安全性質
-
請參見 性質。
- 安全機制
-
請參見 機制。
- 安全服務
-
請參見 服務。
- 伺服器
-
可以提供網路客戶端資源的一位特定主管。例如，如果您 rlogin 登入至機器 boston.eng.acme.com 中，那麼該機器便是提供 rlogin服務的伺服器。同時請見 服務主管。
- 伺服器主管
-
(RPCSEC_GSS API) 可以提供一項服務的一位主管。它被貯存為服務@主機格式的 ASCII 字串。同時請見 客戶端主管。
- 服務
- 服務密鑰
-
由服務主管及 KDC 所共享的一個加密密鑰，被分配到系統以外。同時請見 密鑰。
- 服務主管
-
為一或多項服務提供 Kerberos 辯證的一位主管。就服務主管而言，主要名稱為一個服務的名稱，例如
ftp，而其實例則為提供此服務的系統主機名稱完全符合條件的名稱。同時請見 主機主管，使用者主管。 - 作業階段密鑰
-
由辯證服務或能賦予許可證的服務所生成的一個密鑰。作業階段密鑰的生成是為了提供一個客戶端及一個服務之間的安全交易。其壽命僅限於單一的登入作業階段。同時請見 密鑰。
- 從屬KDC
-
主 KDC 的一個副本，能夠執行主 KDC 的大部份功能。通常每個範疇都有數個從屬 KDC（而卻只有一個主 KDC）。同時請見 KDC，主 KDCmaster KDC。
- 雜湊檔案
-
一個雜湊檔案包含 KDC 的一個加密的主密鑰副本。此密鑰是要在重新啟動伺服器，在開始 kadmind 及 krb5kdc 處理之前自動辯證 KDC 時使用。因為此檔案包括主密鑰，因此檔案及任何檔案的備份都應慎加保密。如果出現加密上的漏洞，此密鑰可能會被人用來存取或修改 KDC 資料庫。
- 許可證
-
用來將一位使用者的身份安全地傳給伺服器或服務的一個資訊數據包。一張許可證只能用於單一客戶端及特定伺服器之上的一項特定服務。它包含服務的主管名稱、使用者的主管名稱、使用者主機的 IP 位址、一個時間戳記、以及一個定義許可證壽命的數值。隨機作業階段密鑰會建立一張許可證以供客戶端及服務使用。一旦許可證被建立之後，它便可以在過期之前被重新使用。一張許可證只能以一個新的辯證器來辯證一個客戶端。同時請見 辯證器，證書，服務，作業階段密鑰。
- 許可證檔案
-
請參見 證書快取記憶體。
- TGS
-
（能賦予許可證的服務）KDC 負責核發許可證的部份。
- TGT
-
（能賦予許可證的許可證）由啟用為其他服務要求許可證的一個客戶端的 KDC 所核發的一張許可證。
- 使用者主管
-
歸屬於一位特定使用者的一位主管，其主要名稱為一個使用者名稱，而其選擇性的實例則為一個用來說明相應證書用法的名稱（例如，joe 或 joe/admin）。亦稱為一個使用者實例。同時請見 服務主管。
- © 2010, Oracle Corporation and/or its affiliates