Microsoft Active Directory 如何处理用户身份验证？

Question

在我为期末考试寻找更多信息时，我想知道 Windows 用户身份验证过程是如何工作的。

在我自己的想象中，它可能是这样的：

1. 用户在他的 Windows 机器上输入登录信息
2. 机器将凭据传递给 PDC
3. PDC 询问活动目录
4. AD 将条目与其数据库匹配
5. AD 告诉 PDC --> OK
6. PDC 告诉 windows 机器 --> OK
7. windows机器登录用户

但也许windows机器只是跳过PDC并将请求直接传递给活动目录服务（例如unix机器将身份验证请求传递给LDAP服务器......）？

有人知道这是如何工作的吗？

Answer 1

我不知道这将是什么考试，但是如果您参加过任何实际的 Microsoft AD 相关课程，您就不会说这种废话了。

1. 用户在本地计算机上输入凭据。
2. 本地机器检查它是否已经拥有这些凭据的身份验证票证。
3. 如果没有，它会联系它可以找到的第一个提供 kerberos 身份验证功能的 ADS 服务器
4. ADS 机器根据 LDAP 数据库检查凭据。
5. 如果他们签出，kerberos 会向客户端机器返回一个 TGT（ticket-granting-ticket）
6. 在 AD 中设置的特定时间段内（通常为 8~10 小时），如果本地计算机用户希望连接到需要其裸用户帐户中不存在的权限的资源（即组成员身份、附加计算机和共享访问等）

TGT 允许跨 Windows 域的所有成员和服务进行 SSO 行为。