「分かりそう」で「分からない」でも「分かった」気になれるIT用語辞典

少し話がそれますが、先に「シングルサインオン」について説明します。
「そんなの説明されなくても知ってるよ！」な人は適当に読み飛ばしてください。

シングルサインオンは「一度認証を通れば、その認証情報を使って、許可されている すべてのサービスを使える仕組み」です。

例えば、そうですね。
ピヨピヨサーバ1号、2号、3号の3台のコンピュータが ありました。



ピヨピヨサーバ1号を使うには、IDとパスワードを使って認証する必要があります。



ピヨピヨサーバ2号を使うには、IDとパスワードを使って認証する必要があります。



ピヨピヨサーバ3号を使うには、IDとパスワードを使って認証する必要があります。



使うのが1台であれば認証は1回で済みますが、3台使おうと思うと3回の認証が必要です。
面倒くさいです。



そこでピヨ太君は、あれやこれやをあれやこれやして、どれか1台の認証を通ったら他のコンピュータでは認証しなくても使えるようにしました。
1回 認証すれば、身元は確認できていますからね。



このような

1回 認証を通れば、許可されている すべてのサービスが使えるようになる仕組み

がシングルサインオンです。

さて、このシングルサインオンの仕組みですが「1回 認証を通れば」は、あくまで使う人目線の話です。
裏側では何回も認証作業をやっています。

例えば、そうですね。
ピヨ太君がピヨピヨサーバ1号を使うためにIDとパスワードを使って認証したとしましょう。



ピヨピヨサーバ2号を使うときは、IDとパスワードを入れる必要は ありません。
ノーチェックで使えます。



ただし、裏側ではノーチェックでは ありません。
ピヨピヨサーバ2号は「こいつは使わせても、いいやつかな？」を確認しています。
今回はピヨピヨサーバ1号に確認したとしましょう。



シングルサインオンは、使う人から見れば「1回の認証で全部のサービスを使える」です。
ただし、裏側の仕組みとしては「サービスごとに使ってOKな人かのチェックはしている」のです。

以上を踏まえて、本題に入ります。

先に結論を書くと

１．最初にIDとパスワードを使って認証する
２．以降は身元証明書（チケット）を使って認証する

認証のやり方

が「kerberos認証」です。
名前の由来は、冥界の番犬・三つ首のワンちゃん「ケルベロス」です。



例えば、そうですね。
ピヨピヨサーバ1号、2号、3号の3台のコンピュータが ありました。



このピヨピヨサーバ3台をシングルサインオンにします。
「1回 認証をすれば、全部使える」です。

kerberos認証でシングルサインオンを実現する場合、元締めコンピュータを用意します。



ピヨピヨサーバ1号～3号を使いたい人は、元締めコンピュータに対してIDとパスワードを使った認証をやります。



認証がOKだと、元締めコンピュータから「おまえは信じられるやつだ」な身元証明書をもらえます。
この身元証明書は専門用語で「チケット」と言います。



ピヨピヨサーバ1号～3号を使いたいときは、IDとパスワードを使って認証する代わりに、元締めコンピュータからもらった身元証明書を見せます。
そうすると、ピヨピヨサーバ1号～3号は「おぉ、おまえは元締めコンピュータさんに信頼されているやつか」と判断して自由に使わせてくれます。



IDとパスワードを使って認証したのは元締めコンピュータに対する最初の1回です。
以降は、元締めコンピュータに発行してもらった身元証明書を使って認証します。



このような

１．最初にIDとパスワードを使って認証する
２．以降は身元証明書（チケット）を使って認証する

認証のやり方がkerberos認証です。

以上が大雑把な説明です。
次に、もう少しだけ詳しく説明します。

例えば、そうですね。
ピヨピヨサーバ1号、2号、3号の3台のコンピュータが ありました。



このピヨピヨサーバ3台をシングルサインオンにします。
「1回 認証をすれば、全部使える」です。

kerberos認証でシングルサインオンを実現する場合、元締めコンピュータを用意します。
この元締めコンピュータは、認証に関する あれやこれやの情報を管理しているコンピュータです。
役割としては

１．認証する機能
２．身元証明書を発行する機能

の2つがあります。



ピヨピヨサーバを使いたい人は、元締めコンピュータに対して、IDとパスワードを使った認証をやります。
このときに頑張るのは、元締めコンピュータの「認証する機能」です。



認証がOKだと、元締めコンピュータから「おまえは信じられるやつだ」な身元証明書をもらえます。
この身元証明書は専門用語で「チケット」と言います。
このときに頑張るのは、元締めコンピュータの「身元証明書を発行する機能」です。



ここからが先ほどの説明と違います。

ピヨピヨサーバ1号を使いたいときは、元締めコンピュータに対して「ピヨピヨサーバ1号を使いたいよ！」と申告します。
このとき、IDとパスワードを使って認証したときにもらった身元証明書も送ってやります。
「大丈夫！ぼくは信頼できる人だから！さっき、あなたに証明してもらったよ？」です。



そうすると、元締めコンピュータの「身元証明書を発行する機能」から「ほれ、これをピヨピヨサーバ1号に見せな」とピヨピヨサーバ1号で使える身元証明書をもらえます。



あとの流れは同じです。
ピヨピヨサーバ1号に対してピヨピヨサーバ1号で使える身元証明書を見せます。
そうすると、ピヨピヨサーバ1号は「おぉ、おまえは元締めコンピュータさんに信頼されているやつか」と判断して自由に使わせてくれます。



他のピヨピヨサーバを使うときも同じです。

ピヨピヨサーバ2号を使いたいときは、元締めコンピュータに対して「ピヨピヨサーバ2号を使いたいよ！」と申告します。
このとき、IDとパスワードを使って認証したときにもらった身元証明書も送ってやります。
「大丈夫！ぼくは信頼できる人だから！さっき、あなたに証明してもらったよ？」です。



そうすると、元締めコンピュータの「身元証明書を発行する機能」から「ほれ、これをピヨピヨサーバ2号に見せな」とピヨピヨサーバ2号で使える身元証明書をもらえます。



あとの流れは同じです。
ピヨピヨサーバ2号に対してピヨピヨサーバ2号で使える身元証明書を見せます。
そうすると、ピヨピヨサーバ2号は「おぉ、おまえは元締めコンピュータさんに信頼されているやつか」と判断して自由に使わせてくれます。



IDとパスワードを使って認証したのは元締めコンピュータに対する最初の1回です。
以降は、元締めコンピュータに発行してもらった身元証明書を使って認証します。

ただし、身元証明書は1種類では ありません。

１．IDとパスワードを使った認証を通ったときにもらえる身元証明書
２．それぞれのサービスに対する身元証明書

の2種類あります。



これが少しだけ具体的な説明です。

kerberos認証をきちんと理解するには、さらに細かい説明が必要です。
例えば、発行された身元証明書（チケット）が信頼できるかのチェックのやり方とか、最初のIDとパスワードを使った認証では実はパスワードは送られていないとか、知っておくべきことは、いろいろあるでしょう。

とはいえ、そこら辺の難しいことは他のところで勉強してください。

まずは

１．最初にIDとパスワードを使って認証する
２．以降は身元証明書（チケット）を使って認証する

認証のやり方がkerberos認証だと分かれば最初の一歩としては合格です。