Adını Yunan mitolojisindeki 3 başlı bir köpekten alan bu servis windows 2000 server ve sonrası için default kimlik doğrulama yöntemidir. Tıpkı mitolojide farklı bir dünyanın kapısında, geçişleri kontrol ettiği gibi networkte de aynı işlevi yerine getirmektedir. Bu kontrolü yaparken, client ve server arasında güvenli bir iletişimin kurulmasını sağlayan kdc (key distribution center) dan yardım alır. Aslında kerberos servisi ve onun bileşenleri, domain ortamında, kimlik doğrulama ve sonrasında kaynak erişimi için yetkilendirme sürecini ele alır. Bu süreci daha iyi tasavvur edebilmek için kerberos servisinin nasıl çalıştığını çok iyi anlamak gerekir ki bu süreci şu üç ayak tamamlar;
• kimliğini doğrulatmak ya da bir servisten faydalanmak isteyen client,
• client’ in talep ettiği servisi sağlayan server,
• hem client hem de server tarafından güvenilen bir dc (aynı zamanda kdc)
Biraz karmaşık görünen kerberos servisinin çalışma sürecini daha detaylı bir şekilde inceleyelim;
1. kullanıcının logon ekranıyla karşılaşmasıyla başlayan bu süreçte, client makine kullanıcıya ait özel bilgileri (username, password) şifreleyerek dc (domain controller)’ ye iletir.
2. kerberos servisinin, domainde tanımlı tüm security principal*’ lara ait bilgileri gizlilikten ödün vermeyerek saklayan kdc (key distribution center) bileşeni client tarafından gönderilen bilgiyle kendi database’ ini karşılaştırır. Eğer bilgiler aynı ise süreç devam ediyor demektir.
3. kdc, kullanıcının üyesi olduğu tüm group bilgilerini bir liste haline getirir. Bu noktada Universal group üyelikleri, global katalog üzerinden sorgulanarak liste oluşturulur. * (domain’ in kütüphanesi de denilebilir kendisine) global katalog rolü networkte bir ya da daha fazla dc’ ye verilebilir. Ilk kurulan dc aynı zamanda global katalog işlevi görür. (Global katalog domain bütün objelerle ilgili bilgilerin tutulduğu dc’ dir. Domain için büyük bir kütüphane gibi çalışır benzetmesi yapılabilir. Universal group üyelik bilgileri yalnızca global katalog üzerinde tutulur. Ilk kurulan dc aynı zamanda global katalog olarak da hizmet verir. Birden fazla gc server konfigure etmek mümkündür.)
4. bu noktada kdc, client ile güvenli iletişim kurabilmek adına bir “session key (sa)” ve tgt (ticket granting ticket) üretir. Kullanıcının üye olduğu grupların listesi, kullanıcının adı ve ne kadar süre geçerli olacağını belirleyen zaman bilgisini içeren tgt networkte bir kaynağa erişmek istediğimizde ihtiyaç duyacağımız ticket’ i talep etmek için kullanılacaktır. Son olarak kdc bu bilgileri şifreleyerek client’ a gönderir.
5. domain’ e logon olma aşaması böylece sona ermiştir. Client almış olduğu sa ve tgt bilgilerini kullanarak artık hem kdc ile güvenli iletişim kurabilir hem de kerberos servisini kullanarak domain’ e bağlı kaynaklara erişim yapabilir. (Client bilgisayar kdc tarafından üretilen sa ve tgt değerlerini aldığında bunları daha güvenli olabilmesi adına disk yerine geçici hafıza üzerinde saklar)
6. client bilgisayar, aynı domaine üye bir server üzerindeki paylaşıma erişmek istediğinde elindeki tgt ile dc üzerindeki TGS (ticket granting service)’ e erişim sağlar. TGS servisi, client bilgisayar ve erişmek istediği kaynağın bulunduğu server için bir çift “session ticket” oluşturur. Bu ticket’ lar kaynağa erişmek isteyen bilgisayar, kaynağın üzerinde olduğu server, talebin ne zaman yapıldığı ve ticket’ ların ne kadar geçerli olacağı bilgilerini içerir.
7. client bilgisayar bu session ticket’ i kullanarak kaynağa erişim sağlar. Kaynağın bulunduğu server üzerinde çalışan lsa* (local security authority) servisi session ticket üzerindeki bilgileri kullanarak bir access token yaratır. Son olarak lsa, kaynak üzerindeki acl (access control list) ile access token’ daki sıd’ leri birbirleriyle karşılaştırarak kullanıcının hangi haklarla kaynağa erişim yapması gerektiğini belirler. (Windows 2003 server üzerinde lokal kullanıcı bilgileri, lsa (local security authority) olarak bilinen bir database üzerinde tutulur. Lsa, local ve auditing policy’ lerin yönetimi, kullanıcılar için kimlik doğrulama, “access token” oluşturma gibi işlerden sorumludur.)
