问 AI 助教考点精讲
- Kerberos 的核心是 KDC（密钥分发中心），内含 AS（认证服务）与 TGS（票据授予服务）。流程：①用户向 AS 认证，AS 验证身份后发放 TGT（票据授予票据）；②用户凭 TGT 向 TGS 请求访问目标服务的 ST（服务票据）；③用户凭 ST 访问目标服务，服务用共享密钥验证票据。票据含时间戳，用于防重放攻击，因此要求全网时钟同步。单点登录（SSO）让用户一次认证即可访问多个系统。SAML 是基于 XML 的认证断言交换协议，广泛用于 Web SSO（如企业登录）；OAuth 是「授权」协议，允许第三方在用户授权下访问资源（如「用微信登录」）；OpenID 是「认证」协议，验证身份。三者常被混用但职责不同：SAML/OpenID 管「你是谁」、OAuth 管「你能让谁访问」。
记忆技巧
记 Kerberos 三票流程「先领通行证（TGT）、再换门票（ST）、最后进门」——AS 发 TGT、TGS 发 ST。
SSO 记「SAML 是断言、OAuth 是授权、OpenID 是认证」——「S 断言、O 授权、O 身份」。
记 Kerberos 细节：票据含时间戳防重放，所以要求全网时钟同步。
SSO 记「SAML 是断言、OAuth 是授权、OpenID 是认证」——「S 断言、O 授权、O 身份」。
记 Kerberos 细节：票据含时间戳防重放，所以要求全网时钟同步。
常见误区
- 混淆 TGT 与 ST——TGT 是「获得服务票据的凭证」，ST 是「访问具体服务的票据」。
- 把 OAuth 误当成认证协议——OAuth 是授权协议，不负责验证身份。
- 忽略 Kerberos 的时钟同步要求——票据靠时间戳防重放，时钟漂移会导致认证失败。
真题思路
- 【示例】 【示例】常考「Kerberos 票据流程的先后顺序」或「SAML/OAuth/OpenID 的职责区分」，OAuth 与 OpenID 的认证/授权之分是高频陷阱。参考 Practice Tests 第 5 章（Domain 5）。
常见问题
Q：Kerberos 为什么不直接传密码？
A：通过票据机制避免密码在网络上反复传输，降低泄露风险。
Q：SSO 有什么安全风险？
A：一旦主登录被攻破，可能波及其余所有系统，需强化主认证。
Q：TGT 和 ST 怎么区分？
A：TGT 是「获得服务票据的凭证」，ST 是「访问具体服务的票据」。
Q：OAuth 是认证协议吗？
A：不是，OAuth 是授权协议，不负责验证身份。
Q：Kerberos 为什么要求时钟同步？
A：票据靠时间戳防重放，时钟漂移会导致认证失败。
相关知识
教材出处：Domain 5 · 身份与访问管理（IAM） Kerberos 票据流程与单点登录（SSO）