1.5. Kerberos는 JBoss EAP에 SSO를 어떻게 제공합니까?

인증 교환.

주체가 먼저 네트워크에 액세스하거나 TGT( 티켓 부여 티켓) 없이 보안 서비스에 액세스하려고 하면 자격 증명을 사용하여 인증 서비스(AS)에 대해 인증해야 합니다. AS는 구성된 ID 저장소에 대해 사용자 제공 자격 증명을 검증하고 성공적인 인증을 받으면 클라이언트가 캐시하는 TGT를 발행합니다. 또한 TGT에는 몇 가지 세션 정보가 포함되어 클라이언트와 KDC 간의 향후 통신이 보호됩니다.

교환 또는 권한 부여, 티켓 부여.

주체가 TGT를 발행하면 보안 서비스 또는 리소스에 액세스를 시도할 수 있습니다. 주체는 티켓 부여 서비스(TGS)에 요청을 보내 KDC에서 발급한 TGT를 전달하고 특정 목적지에 대한 서비스 티켓(ST)을 요청합니다. TGS는 주체가 제공하는 TGT를 확인하고 요청된 리소스에 액세스할 수 있는 적절한 권한이 있는지 확인합니다. 성공하면 TGS는 주체가 특정 대상에 액세스하기 위해 ST를 발행합니다. 또한 TGS는 두 클라이언트와 대상 서버 모두에 대한 세션 정보를 생성하여 둘 사이의 안전한 통신을 허용합니다. 클라이언트와 서버가 KDC에서 각각 제공하는 장기 키를 사용하여 이전 트랜잭션에서 각각에 이르기까지 자체 세션 정보만 해독할 수 있도록 이 세션 정보는 별도로 암호화됩니다. TGS는 클라이언트와 서버 모두에 대한 세션 정보를 포함하는 ST를 사용하여 클라이언트에 응답합니다.

서버 액세스.

이제 주체는 보안 서비스의 ST와 해당 서버와의 보안 통신을 위한 메커니즘을 보유하므로 이제 클라이언트는 연결을 설정하고 보안 리소스에 액세스를 시도할 수 있습니다. 클라이언트는 ST를 대상 서버에 전달하여 시작합니다. 이 ST에는 해당 대상을 위해 TGS에서 수신한 세션 정보의 서버 구성 요소가 포함되어 있습니다. 서버는 KDC에서 장기 키를 사용하여 클라이언트가 전달하는 세션 정보를 암호 해독하려고 합니다. 성공하면 클라이언트가 서버에 성공적으로 인증되고 서버가 클라이언트에 인증된 것으로 간주됩니다. 이때 클라이언트와 서버 간에 신뢰가 설정되고 보안 통신을 진행할 수 있습니다.