Quelltext der Seite Was passiert wenn eine Rechner in die Domaine aufgenommen wird

;Kerberos-Ticket-Austausch:
* Der Rechner fordert ein Ticket Granting Ticket (TGT) vom '''Key Distribution Center (KDC)''' des '''Active Directory'''-Domänencontrollers (DC) an.
* Dabei authentifiziert sich der Benutzer mit einem Domänenkonto.
* Das TGT wird auf dem Client im '''Credential Cache''' gespeichert.
* Auf Linux-Systemen ist dies in der Regel in Verzeichnissen wie '''/tmp''' oder '''/var'''.
* Auf Windows wird das Ticket im '''Ticket-Cache''' des Benutzers gespeichert.
* Dieses TGT ermöglicht es dem Client, '''Service-Tickets''' für die Authentifizierung bei anderen Diensten innerhalb der Domäne zu erhalten.

;Erstellung eines Maschinenkontos in Active Directory:
* Der Domänencontroller erstellt ein Maschinenkonto für den Rechner in der '''Active Directory'''-Datenbank unter '''"Computers"'''.
* Dieses Konto enthält eine '''Security Identifier (SID)'''.
* Weitere Informationen wie den DNS-Namen des Rechners sind ebenfalls im Maschinenkonto gespeichert.

;DNS-Registrierung:
* Der Rechner registriert seinen vollqualifizierten Domänennamen ('''FQDN''') im DNS der Domäne.
* Die IP-Adresse des Rechners wird ebenfalls im DNS der Domäne gespeichert.
* Dies ermöglicht es, den Rechner über DNS im Netzwerk aufzulösen.

;Zeitsynchronisation:
* Der Rechner synchronisiert seine Zeit mit dem Domänencontroller.
* Dies erfolgt üblicherweise über das '''Network Time Protocol (NTP)'''.
* '''Kerberos''' erfordert eine enge Synchronisation der Zeit.
* Abweichungen von mehr als 5 Minuten führen zu Ticket-Fehlern.

;LDAP-Verbindung:
* Der Rechner kommuniziert über das '''Lightweight Directory Access Protocol (LDAP)''' mit dem Domänencontroller.
* Über '''LDAP''' werden Benutzerinformationen und Gruppenmitgliedschaften abgerufen.
* Dies ist notwendig für die Authentifizierung oder Autorisierung von Benutzern.

;Authentifizierung und Gruppenrichtlinien:
* Nach dem Domänenbeitritt kann der Rechner Domänenbenutzer authentifizieren.
* Je nach Konfiguration können auch rudimentäre '''Gruppenrichtlinien (GPOs)''' angewendet werden.

;Maschinenpasswort:
* Ein Maschinenpasswort wird zwischen dem Rechner und dem Domänencontroller ausgetauscht.
* Dieses Maschinenpasswort wird automatisch alle 30 Tage erneuert.
* Die Erneuerung des Maschinenpassworts dient der Aufrechterhaltung der Sicherheit.

;Kerberos-Keytab-Datei:
* Auf dem Client wird eine '''Keytab-Datei''' erstellt.
* Die '''Keytab-Datei''' enthält verschlüsselte '''Kerberos-Schlüssel'''.
* Diese Schlüssel ermöglichen es Diensten, sich automatisch bei '''Kerberos''' zu authentifizieren, ohne dass Passwörter benötigt werden.
* Dienste wie '''Samba''' oder '''Apache''' verwenden die '''Keytab-Datei''', um '''Kerberos-Tickets''' für die Authentifizierung zu erhalten.
* Die '''Keytab-Datei''' wird an einem sicheren Ort auf dem Client gespeichert, z.B. '''/etc/krb5.keytab''' unter Linux.


[[Kategorie:KERBEROS]]