Consulting & Projektbegleitung

Authentifizierung ab Windows 2000

Kerberos und Kerberos Delegation

Kerberos ist, zumindest nominell, das Standard-Authentifizierungsprotokoll in Windows-Umgebungen mit Active Directory, also ab Windows 2000. Ich habe den Satz bewusst vorsichtig formuliert („zumindest nominell“), weil es jede Menge Situationen gibt, in denen eben keine Kerberos-Authentifizierung zustande kommt. Häufig fällt das nicht auf, weil einfach ein Fallback auf die alte NTLM-Authentifizierung erfolgt – das ist natürlich nicht wünschenswert (Security, Performance), aber zumindest geht es. In etlichen Fällen kommt aber auch überhaupt keine Authentifizierung zustande, in Folge dessen der Anwender nicht auf die Ressource zugreifen kann.

In Multi-Hop-Szenarien (z.B. Anwender meldet sich mit seinen AD-Credentials an einem IIS-Webserver an, der wiederum mit dieser Identität auf einen SQL Server zugreifen soll, muss zumindest für den zweiten Hop die Kerberos-Authentifizeirung zustande kommen und Kerberos Delegation konfiguiert werden, eventuell auch ein Protokollübergang (Protocol Transition).