使用AFS, Active Directory和SSSD搭建用于集成电路设计的分布式存储系统 【六】AFS的工作原理 4

Kerberos 和 AFS Token

Kerberos 是 AFS 要求的身份认证协议。在 Kerberos 基础上，AFS 定义了一个概念叫 token.

很多系统管理员对 Kerberos 的工作原理并不陌生，中文环境里对这个协议也有很多介绍文章。此处就不再详细介绍，而是通过对 token 的介绍一并解释其工作原理。

Token 的英文原意是代币。你去游戏厅玩，在门口用现金购买的那些游戏币，就叫 tokens.

Token 本质上是允许用户获得某种服务的凭证。它的存在有两层目的：

1. 避免重复要求用户使用自己的密码向不同的File Server证明自己。
2. 提供用户和众多 AFS Server 之间互相认可身份的手段

举个例子。你去公园玩，在入口处需要凭学生证证明自己的身份，以购买打折的公园门票。拿着公园门票以后，你就可以把学生证收起来了。此后在公园里参与娱乐项目，只需要出示门票，而不需要再重复掏出学生证，以免遗失或被居心不良的人盗取。

学生证就类似用户的密码，公园门票就类似 AFS Token.

用户在登录 AFS 系统时利用 Kerberos 协议以个人密码进行身份认证，类似出示自己的身份证。在获得认证以后即可从 KDC （KDC的概念前文已经介绍）得到一个 AFS token. 这个 token 由 Cache Manager 代用户持有。

此后当 Cache Manager 需要访问一个 File Server 时，只要向其出示 AFS token，而不再需要用户提供自己的密码。

AFS token 里封装的是什么呢？是一个供用户和提供服务的服务器&#