許可證壽命

每當主管取得一張許可證，包括一張能賦予許可證-的許可證時，許可證的壽命會被設定為下列最小的壽命數值﹕

• 使用 kinit 來取得許可證時，kinit 的 -l 選項所指定的壽命值

• kdc.conf 檔案中所指定的最大壽命值 (max_life)

• Kerberos 資料庫中為提供許可證的服務主管所指定的最大壽命值。（在 kinit 一例中，服務主管為 krbtgt/ 範疇）

• Kerberos 資料庫中為要求許可證的使用者主管所指定的最大壽命值。

圖 7-1 會說明應如何決定一張 TGT 的壽命，以及這四種壽命值是如何而來。即使 圖 7-1 已說明一張 TGT 的壽命是如何得出，基本上任何主管取得一張許可證時也是同樣的情況。唯一的不同是 kinit 並不提供一個壽命值，而是由提供許可證的服務主管處取得最大壽命值（而非 krbtgt/ 範疇主管）。

圖 7-1 如何決定一張 TGT 的壽命

可更新許可證的壽命也是由四個數值中最小的一個來決定的，但下面情況則要使用可更新壽命值﹕

• kinit 的 -r 選項所指定之可更新壽命值，如果是以 kinit 來取得或更新許可證的話

• kdc.conf 檔案中指定的最大可更新壽命值 (max_renewable_life)

• Kerberos 資料庫中為提供許可證的服務主管所指定的最大壽命可更新值（在 kinit 一例中，服務主管為 krbtgt/ 範疇）

• Kerberos 資料庫中為要求許可證的使用者主管所指定的最大壽命可更新值