基于Kerberos统一认证授权研究Centralized authentication and authorization based on Kerber.pdfVIP

基于Kerberos的统一认证授权研究 Centralized authentication and authorization based on Kerberos （清华大学 国家CIMS 工程技术研究中心，北京 100084）邴晓燕，邵贝恩 BING Xiao-yan ，SHAO Bei-en 摘要：应用广泛的 Kerberos 协议缺乏支持集中式授权的机制，无法解决集团型企业跨域访 问控制问题。本文提出一种基于Kerberos 的统一认证授权方案 KCAA ，通过 Kerberos 与授 权中心的无缝集成，有效实现总部对跨域访问的集中式认证授权。KCAA 采用抽象用户减 少各域内信息同步量，并采用身份代理简化 Kerberos 的部署。在大规模集团型企业信息化 建设中的应用表明，KCAA 无需对现有系统进行大规模改造，即可实现集中式跨域访问控 制，具有良好应用价值。 关键字：Kerberos ; 集团型企业; 访问控制; 认证授权 中图分类号：TP393. 08 文献标志码：A Abstract: Because of lacking support for centralized authorization, widely-applied Kerberos couldn’t realize cross-domain access control in group enterprises. Therefore, a Kerberos-based Centralized Authentication Authorization (KCAA) scheme is proposed. By integrating centralized authorization into Kerberos, KCAA achieves centralized authentication and authorization in headquarter for cross-domain access. KCAA uses abstract users to reduce information synchronization in different domains, and identity agents to simplify deployment of Kerberos. KCAA shows its application value in the informatization construction of a large group enterprise which proves that it could achieve centralized cross-domain access control without mass transformation of legacy systems. Key words: Kerberos; group enterprises; access control; authentication and authorization 引言 近年来纷纷涌现的集团型企业大都具有显著的分布式异构特征，需要总部建立一个统一 的跨域访问控制平台，对跨分子公司的服务调用进行集中式认证授权，以便最大程度保留各 域安全设施的同时，保证跨域访问的安全可靠，实现管理的规范化和灵活性。考虑到该认证 授权系统部署在集团型企业内部，可选用“安全/代价比”较为理想的 Kerberos 协议来实现 跨域身份认证。该协议的主要优点在于使用相对便宜的技术实现了一个好的保护水平[1] 。 但是，Kerberos 是一个主要针对身份认证设计的协议，如果无法实现与服务授权的无缝 集成，一个完整的跨域访问控制将无法得到真正实现。然而，现有围绕 Kerberos 的研究大 多集中在对其安全特性的改进上[2][3][4] [5] ，少有