Kerberos: Realm 和 Principal Names

Realm and Principal Names

Realm

---

Kerberos Realm 是一个字符串，通常是大小写敏感的.

当前有三种类型的 Realm 名称： Domain, X500 和 Other.

---

1. Domain style

---

这是 Kerberos 中最常用的类型。

Domain 类型就是像域名一样的名称， 要求如下：

名字中的各个部分通过 “.” 连接起来， 不能包含":" 或者 “/” 字符。

例子：

ATHENA.MIT.EDU

域名(Domain name) 本身是大小写不敏感的， 但是在 Kerberos 中，匹配过程中必须按照大小写敏感的方式进行匹配。

通常做法是：

使用全大写的名称

---

2. X.500 style

---

X.500 类型的名称包含一个 “=”, 并且不能包含 “:".

多个名称之间通过 “/” 连接起来。

例子：

C=US/O=OSF

---

3. Other styles

---

Other style 的名称以一个不包含"="或者“.“的前缀开始，紧接着一个 “:”, 其余部分代表名字。

NAMETYPE：rest/of.name=without-restrictions

所有前缀均以 used 开头， 但是截至目前还没有。

---

Principal Names

---

Kerberos Principal 的定义如下：

PrincipalName  ::= SEQUENCE {
	name-type   [0] Int32,
	name-string [1] SEQUENCE OF KerberosString
}

它由一个 type 和多个子名称构成。

type 标识名称部分的含义，以及如何对待名称部分。当比较名称是否相同时， 不需要考虑这个字段。

Name Type

名称类型	值	含义
NT-UNKNOWN	0	未知名字类型
NT-PRINCIPAL	1	Principal Name 或者用户名
NT-SRV-INST	2	服务或者其他唯一的实例 (krbtgt)
NT-SRV-HST	3	以主机名作为实例的服务 (telnet, rcommands)
NT-SRV-XHST	4	以主机为其余名字部分的服务
NT-UID	5	唯一的 ID
NT-X500-PRINCIPAL	6	编码过的 X.509 Distinguished name [RFC2253]
NT-SMTP-NAME	7	SMTP 格式的名字 (例如, user@example.com)
NT-ENTERPRISE	10	企业名称 – 或许会映射到 Principal Name

上述名称中 NT-PRINCPAL 和 NT-SRV-INST 较为常用。

如何为 Principal Name 选择正确的类型？

1. 当一个名称除了其唯一性之外不包含任何其他信息时，应使用名称类型 NT-PRINCIPAL。

   通常普通的用户属于这种类型， 这个类型也可以用于一些服务器。

2. 如果一个名称是机器生成的唯一的标识，并且用于不会被重新赋值，那么名称类型应该是 NT-UID

3. 如果一个名称的第一个子名称标识一个服务(service), 其余部分标识服务器的实例， 那么它的名称类型应该是 NT-SRV-INST.

   这种类型的一个示例是：Kerberos ticket-granting service. 它的名称的第一个子名称是 “krbtgt", 第二部分是 realm. 例如：

   krbtgt/FOOBAR.COM
   

4. 如果一个名称的第一个子名称标识一个服务，并且服务名称后面只有一个子名称标识该实例为运行该服务器的主机，则应使用名称类型 NT-SRV-HST。

   此类型通常用于 Internet 服务，例如 telnet 和 Berkeley R commands。

5. 如果主机名的各个组件作为服务名称后面的连续组件出现，则应使用名称类型 NT-SRV-XHST。

6. 当 X.509 证书中的名称被转换为 Kerberos 名称时，应使用 NT-X500-PRINCIPAL 名称类型。

7. 当一个名称的格式是未知的时候， 应该使用 NT-UNKNOWN 名称类型

---

Service Principal Name

---

Service Principal Name 标识主机上一个服务器

Service Principal Name 通常由两部分组成：

(1) 这个服务器所注册的 KDC 的 Realm，

(2) 如果主机名是 Internet 域名，则为 NT-SRV-HST 类型， 并包含两个子名称；如果主机名是允许斜杠 (/) 分隔符的格式（例如 X.500），则为 NT-SRV-XHST 类型， 并包含多个子名称。

两个或者多个子名称的第一个子名称标识某个服务， 后续的子名称标识主机。

例子：

1. Web 服务器上的 HTTP 服务:

HTTP/www.example.com@EXAMPLE.COM

​ 这表示运行在主机 www.example.com 上的 HTTP服务， 注册到的 KDC Realm 是 EXAMPLE.COM

2. 服务器上的 SSH 服务:

   ssh/remote-host.example.com@EXAMPLE.COM
   

   这表示运行在主机 remote-host.example.com 上的 SSH 服务， 注册到的 KDC Realm 是 EXAMPLE.COM

3. Kerberos administration service:

   kadmin/admin@EXAMPLE.COM