D5-03 8–10 分钟 重要程度：高
SSO、LDAP 与 Kerberos
SSO 让主体认证一次访问多个资源。Kerberos 是票据系统，依赖 KDC、TGT、时间同步和对称密钥。
一、必须记住
- SSO 优点是便利和集中管理；缺点是账号被攻破后影响范围大。
- LDAP 是目录访问协议，可支持集中身份和 SSO。
- Kerberos 是第三方票据认证系统。
- KDC 是 Kerberos 的可信第三方，包含 AS 和 TGS 功能。
- TGT 证明主体已通过 KDC 认证，并可请求服务票据。
- Kerberos 密码不直接通过网络传输，但 KDC 是关键单点。
- Kerberos 依赖时间同步，时间偏差过大票据会失效。
二、核心概念
SSO
Single Sign-On 允许用户登录一次后访问多个系统。它减少重复输入凭据，但也让单一身份的保护更关键。
LDAP
LDAP 访问集中目录服务，目录中保存主体和客体信息。LDAP 可结合 SASL 支持多种认证方式，并可用于 SSO 支撑。
Kerberos
Kerberos 使用 KDC 和票据证明身份。用户取得 TGT 后，再用 TGT 向 TGS 请求访问具体服务的服务票据。
三、CISSP 判断规则
- 问票据式 SSO，优先 Kerberos。
- 问目录服务访问协议，优先 LDAP。
- 问 Kerberos 可信第三方，选 KDC。
- 问 Kerberos 时间差过大，票据会失效。
四、常见陷阱
- RADIUS 不是典型 SSO 实现，即使可在幕后支撑认证。
- KDC 受损会影响整个 Kerberos 域。
- SSO 不是免认证，而是集中认证。
五、英文关键字
SSO （单点登录） 定义：认证一次后访问多个资源。 LDAP （轻量级目录访问协议） 定义：访问目录服务的协议，可支撑集中身份管理。 SASL （简单认证和安全层） 定义：LDAP 可使用的认证框架。 Kerberos （Kerberos 票据认证） 定义：使用 KDC 和票据的第三方认证系统。 KDC （密钥分发中心） 定义：Kerberos 的可信第三方，提供认证和票据服务。 AS （认证服务） 定义：Kerberos 中认证主体并发放 TGT 的服务。 TGS （票据授予服务） 定义：Kerberos 中根据 TGT 发放服务票据。 TGT （票据授予票据） 定义：证明主体已通过 Kerberos 认证，可请求服务票据。 Service ticket （服务票据） 定义：Kerberos 中用于访问特定服务的票据。 Directory service （目录服务） 定义：集中保存主体、客体和属性信息的服务。
小测验
1. Kerberos 中负责提供认证服务的可信第三方是？
KDC 是 Kerberos 中的密钥分发中心，提供认证与票据服务。
2. Kerberos 对时间同步的要求主要是为了防止什么？
Kerberos 票据有时间戳，时间偏差过大会导致票据无效。
3. 访问集中目录服务的常见协议是？
LDAP 是轻量级目录访问协议。
本节进度
完成后会保存在当前浏览器。线上版可保存；不同手机、平板之间暂不自动同步。
尚未完成