macOS ディレクトリサービス ケルベロスチケットについて

Question

現在、macOSが搭載しているOpenDirectoryについて調べていました。

dsclコマンドを打ちinteractive方式になった後、cd /Local/Defaultで移動し、read Users/xxx(xxxはユーザー名)でユーザー情報を確認したところ、
AuthenticationAuthorityキーにて、 ShadowHashとKerberosv5のキーが存在していました。

このケルベロスチケットであるKerberosv5は何のために使われるチケットなのでしょうか？

ケルベロス認証については少し勉強した程度でまだ未熟なのですがご教授いただければ幸いです。

Answer 1

macOSのOpen Directoryのようなディレクトリサービスはこの他に、WindowsのActive Directoryや、OpenLDAPがあります。

これらはディレクトリサービスをサポートするLDAPと言うプロトコルを基にしている部分があって、その中の認証メカニズムのひとつに「ケルベロス認証（Kerberos Authentication）」があります。Open DirectoryにおけるShadowHashはほぼローカルマシンでのみ使える認証方式で、中央集権的にドメイン管理をしているシステムでは使えません。ケルベロス認証はそうではなく、ドメインコントローラー相当での認証に使えます。現在は主にKerberosバージョン5 が採用されていることから、Open DirectoryについてKerberosv5チケットが利用されているということでしょう。もしそれらのディレクトリサービス間で相互運用したり、移行したりする場合に同じ認証方式を利用していたら、それらの作業もスムーズに進めることができます。

Undocumented Mac OS X：第5回　OpenDirectory (1/3) - ITmediaエンタープライズ
OS XとActive Directoryとの統合に関するベストプラクティス - Apple

Comments

[kurukururin]

ご回答ありがとうございます！
`Kerberosv5`チケットはユーザー情報をネットワークを通じて（Open Directoryなどを使用して)管理する際に必要になるという認識で大丈夫でしょうか。

[dodox86]

そうですね。そのご認識でよろしいかと思います。