统一身份认证平台

统一身份认证平台统一身份认证平台设计方案1〕系统总体设计为了加强对业务系统和办公室系统的安全控管，提高息化PKI/CA技术为根底架构的统一身份认证效劳平台。设计思想为实现构建针对人员治理层面和应用层面的、全面完善的安全管控需要，我们将依据如下设计思想为设计并实施统一身份认证效劳平台解决方案：PKI/CA技术为根底架构的统一身份认证效劳平台，通过集中证书治理、集中账户治理、集中授权治理、集中认证治理和集中审计治理等应用模块实现所提出的员工统一、系统资源整合、应用数据共享和全面集中管控的核心目标。供给现有统一门户系统，通过集成单点登录模块和调用统一身份认证平台效劳，实现针对不同的用户登录，可以呈现不同的容。可以依据用户的关注点不同来为用户供给定制桌面的功能。建立统一身份认证效劳平台，通过使用唯一身份标识的数字证书即可登录全部应用系统，具有良好的扩展性和可集成性。LDAPLDAP访问把握和用户生命周期维护治理功能。用户证书保存在USBKEY中，保证证书和私钥的安全，并满足移动办公的安全需求。平台介绍以pki/ca技术为核心，结合国外先进的产品架构设计，实现集中的用户治理、证书治理、认证治理、授权治理、审计等功能，为多业务系统供给统一、安全、有效的配置和效劳，如用户身份、系统资源、权限策略、审计日志等。如以下图，统一任治理平台的组件是松散耦合、相互支持和独立的。具体功能如下：集中用户治理系统：完成各系统的用户息整合，实现用户生命周期的集中统一治理，并建立与各应用系统的同步机制，简化用户与其账号的治理简洁度，降低系统治理的安全风险。集中证书治理系统：集成证书注册效劳〔RA〕和电子密钥〔USB-Key〕治理功能，实现用户证书申请、审批、核发、更、撤消等生命周期治理功能，支持第三方电子认证效劳。集中认证治理系统：实现多业务系统的统一认证，支持数字证书、动态口令、静态口令等多种认证方式；为企业供给单点登录效劳，用户只需要登录一次就可以访问全部相互任的应用系统。集中授权治理系统：依据企业安全策略，承受基于角色的访问把握技术，实现支持多应用系统的集中、灵敏的访问把握和授权治理功能，提高治理效率。集中审计治理系统：供给全方位的用户治理、证书治理和认证。并支持应用系统、用户登录和治理。操作等审计治理。功能总体架构总体架构图如下所示：说明：CA安全根底设施可以承受自建方式，也可以选择CA。具体包含以下主要功能模块：身份认证中心存储企业用户名目，完成对用户身份、角色等息的统一治理；授权和访问治理系统；访问策略的定制和治理；用户授权息的自动同步；对用户访问进展实时监控和安全审计；身份认证效劳身份认证前置为应用系统供给安全认证效劳接口，中转认证和访问恳求；身份认证效劳完成对用户身份的认证和角色的转换；访问把握效劳应用系统插件从应用系统猎取单点登录所需的用户息；用户单点登录过程中，生成访问业务系统的恳求，对敏感息加密签名；CA中心与数字证书网上受理系统用户身份认证和单点登录过程中所需证书的签发；用户身份认证凭证〔USB〕的制作。平台总体部署集中部署方式：全部模块部署在同一台效劳器上，为企业供给统一任治理效劳。部署方式主要是承受专有定制硬件效劳设备，将集中治理、集中授权治理、集中认证治理和集中审计治理等功能效劳模块统一部署和安装在该硬件设备当中，通过连接外部效劳区域当中的从LDAP名目效劳〔现有AD名目效劳〕来完成对用户的操作和治理。技术实现方案技术原理基于数字证书的单点登录技术，使各息资源和本防护系统站成为一个有机的整体。通过在各息资源端安装访问把握代理中间件，和防护系统的认证效劳器通，利用系统供给的安全保障和息服其原理如下：每个息资源配置一个访问代理，并为不同的代理安排不同的数字证书，用来保证和系统效劳之间的安全通。用户登录中心后，依据用户供给的数字证书确认用户的身份。访问一个具体的息资源时，系统效劳用访问代理对应的数字证书,把用户的身份息后以数字封的形式传递给相应的息资源效劳器。息资源效劳器在承受到数字封后，通过访问代理，进展解密验证，得到用户身份。依据用户身份，进展部权限的认证。统一身份认证用户认证统一身份治理与访问把握系统用户数据独立于各应用系统，对于数字证书的用户来说，用户证书的序列号平台中是唯一的，对于非证书用户来说，平台用户ID〔passport〕是唯一的，由其作为平台用户的统一标识。如以以下图所示：在通过平台统一认证后，可以从登录认证结果中猎取平台用户证书的序列号或平台用户ID；再由其映射不同应用系统的用户账户；最终用映射后的账户访问相应的应用系统；当增加一个应用系统时，只需要增加平台用户证书序列号ID与该应用系统账户的一个映射关系即可，不会对其它应用系统产生任何影响，从而解决登录认证时不同应用系统之间用户穿插和用户账户不同的问题。单点登录过程均通过安全通道来保证数据传输的安全。系统接入应用系统接入平台的架构如以以下图所示：系统供给两种应用系统接入方式，以快速实现单点登录：a.反向代理〔ReverseProxy〕方式应用系统无需开发、无需改动。对于不能作改动或没有原厂商协作的应用系统，可以使用该方式接入统一用户治理平台。反向代理技术：实现方式为松耦合，承受反向代理模块和单点登录〔SSO〕认证效劳进展交互验证用户息，完成应用系统单点登录。b.Plug-in方式Plug-in：实现方式为紧耦合，承受集成插件的方式与单点登录〔SSO〕认证效劳进展交互验证用户息，完成应用系统单点登录。API，通过简洁调用即可实现单点登录〔SSO〕。统一权限治理统一身份治理与访问把握系统的典型授权治理模型如以以下图所示：用户授权的根底是对用户的统一治理，对于在用户息库中注册的用户，通过自动授权或手工授权方式，为用户安排角色、对应用系统的访问权限、应用系统操作权限，完成对用户的授权。假设用户在用户息库中被删除，则其相应的授权息也将被删除。完整的用户授权流程如下：1、用户息统一治理，包括了用户的注册、用户息变更、用户注销；2、权限治理系统自动猎取增〔或注销〕用户息，并依据设置自动安排〔或删除〕默认权限和用户角色；3、用户治理员可以基于角色调整用户授权〔适用于用户权限批量处理〕或直接调整单个用户的授权；4、授权息记录到用户属性证书或用户息库〔关系型数据库、LDAP名目效劳〕中；5、用户登录到应用系统，由身份认证系统检验用户的权限息并返回给应用系统，满足应用系统的权限要求可以进展操作，否则拒绝操作；6、用户的授权息和操作息均被记录到日志中，可以形成完整的用户授权表、用户访问统计表。安全通道供给的安全通道是利用数字签名进展身份认证，承受数字封进展息加密的基于SSL协议的安全通道产品，实现了效劳器端和客户端嵌入式的数据安全隔离机制。安全通道的主要用途是在两个通应用程序之间供给私密性和牢靠性，这个过程通过3个元素来完成：握手协议：这个协议负责协商用于客户机和效劳器之间会话的加密参数。当一个SSL客户机和效劳器第一次开头通时，它们在一个协议版本上达成全都，选择加密算法和认证方式，并使用公钥技术来生成共享密钥。记录协议：这个协议用于交换应用数据。应用程序消息被分割成可治理的数据块，还可以压缩，并产生一个MAC〔消息认证代码〕，然后结果被加密并传输。承受方承受数据并对它解密，校MAC，解压并重组合，把结果供给应应用程序协议。警告协议：这个协议用于标示在什么时候发生了错误或两个主机之间的会话在什么时候终止。平台功能说明平台主要供给集中用户治理、集中证书治理、集中认证管理、集中授权治理和集中审计等功能，总体功能模块如以以下图所示：集中用户治理随着企业整体息化的进展，大致都经受了网络根底建设阶段、应用系统建设阶段，目前正面临着实现纳入到息化环境中人员的统一治理和安全把握阶段。随着企业的网络根底建设的不断完善和应用系统建设的不断扩展，在息化促进业务加速进展的同时，企业息化规模也在快速扩大以满足业务的进展需要，更多的人员被融入息化环境，由此突出反映的大事是无论是网络系统、业务系统、办公系统，其最终的主体将是企业外的人员，每一为人员担当着使用、治理、授权、应用操作等角色。因此对于人员的可身份的治理显得尤为重要，必将成为息化进展的重中之重，只有加强人员的可身份治理，才能做到大门的安全防护，才能为企业的治理、业务进展构建可的息化环境，特别是承受数字证书认证和应用后，完全可以做到全过程可身份的治理，确保每个操作都是可得、可赖的。集中用户治理系统主要是完成各系统的用户息整合，实现用户生命周期的集中统一治理，并建立与各应用系统的同步机制，简化用户与其账号的治理简洁度，降低系统用户治理的安全风险。治理效劳对象集中用户治理主要面对企业外部的人、资源等进展治理和供给效劳，具体对象可以分为以下几类：最终用户：自然人，包括自然人身份和相关息。主账号：与自然人唯一对应的身份标识，一个主账号只能与一个自然人对应，而一个自然人可能存在多个主账号。从账号：与具体角色对应，每一个应用系统部设置的用户账号，在统一任治理平台中每个主账号可以拥有多个从，也就是多种身份角色〔即一个日然人在企业部具备多套应用系统账号〕。d)资源：用户使用或治理的对象，主要是指应用系统与应用系统下具体功能。具体效劳对象之间的映射对应关系如以以下图所示：用户身份息设计用户类型用户是访问资源的主体，人是最主要的用户类型：多数的业务由人发起，原始的数据由人输入，关键的流程由人把握。人又可再分为：员工、外部用户。员工即中心的职员，是平台主要的关注的用户群体；外部用户是指以独立身分访问中心应用系统的其他用户如投标人、招标人、招标代理等。4.2.3.身份息存储身份息模型如下：对各类用户身份建立统一的用户身份标识。用户身份标识是统一用户治理系统部使用的标识，用于识别全部用户的身份息。用户标识不同于员工号或号，需要建立相应的编码规。为了保证用户身份的真实、有效性，可以通过数字证书认证的方式进展身份鉴别并与用户身份标识进展唯一对应。用户根本息保存用户最主要的息属性，由于其它系统中，如HR中还保存有用户更完整的息，因此需要建立与这些系统的息的比照关系，所以需要保存用户在这些系统中用户息的索引，便于关联查询。基于分权、分级的治理需要，用户身份息需要将用户息按照所属机构和岗位级别进展分类，便于划分安全治理域，将用户息集中存储在总部，以与治理域的划分。用户认证息治理用户的认证方式与各种认证方式对应的认证息，如用户名/口令，数字证书等。由于用户在各应用系统中各自具有账号和相关口令，为了保证在平台实施后可以使原有系统仍可以依据原有账号方式操作，需要建立用户标识与应用系统中账号的比照关系。授权息是对用户使用各系统的访问策略，给用户赐予系统中的角色和其它属性。4.2.3.身份息存储为了便利对人员身份的治理，集中用户系统承受树形架构LDAP。可以通过中心部已有的人员息治理系统当中依据策略进展读写操作，目前主要支持以下数据源类型：a)WindowsActiveDirectory〔AD〕b)OpenLdapc)IBMDirectoryServer〔IDS〕用户生命周期治理用户生命周期，主要关注的是用户的入职、用户账户创立、用户身份标识〔数字证书的颁发〕、用户属性变更、用户账户注销、用户归档等流程的自动化治理，这一治理流程又可称为用户生命周期管理，如以以下图所示：由于要赐予用户可的身份标识，所以需要通过数字证书认证的方式来实现，在用户生命周期治理过程中围绕用户包含了基于的生命周期和数字证书的生命周期治理的容。数字证书主要是与用户的主账户标识进展唯一绑定，在用户的使用和属性变更过程中数字证书不需要发生任何转变，唯有在用户进展注销和归档过程中，与其相匹配的数字证书也同样需要进展撤消和归档操作。用户身份息的维护目前集中用户治理系统中对用户身份息的维护主要以企业已存在的AD域和LDAP作为根底数据源，集中用户治理系统作为用户息维护的主要入口，可以由人力资源部门的相应人员执行用户账户的创立、修改、删除、编辑、查询、以与数字证书的发放。AD域中的用户息变动通过适配器被平台感知，并自动同步到平台用户身份息存储〔名目效劳器〕中；平台的用户治理员也可以直接修改平台中集中存储的用户身份息，再由平台同步到各个应用系统中。集中证书治理集中证书治理功能主要是针对用户的CA系统，包括：a)证书申请证书制作证书生命周期治理〔有效期、审核、颁发、撤消、更、查询、归档〕证书有效性检查集中证书治理功能集支持多种CA〔自建和第三方效劳〕RA从技术上与治理上以灵敏的实现模式满足用户对证书集中治理的迫切需求，解决治理员对多平台进展操作与维护困难的问题。集中证书治理功能特点集中证书治理功能的实现就是通过集成证书注册效劳〔RA〕和电子密钥〔USB-Key〕治理功能。集中制证集中制证主要结合本地数据源中的数据为用户进展集中制证，包括集中申请、自动审批。通过CA的配置路径，访问指定的CA系统；CA系统签发数字证书并返回给治理员；治理员将证书装入UBSKey,制证成功.将数字证书发送给最终用户。证书生命周期治理通过集中证书治理功能可实现对所制证书进展证书的生命周期治理，主要包括：证书的查询、撤消等，同时还可以实现对证书有效性的检查。证书有效性检查，可支持与CA系统的CRL〔证书掉销列表〕CRL列表。用户通过证书认证方式登录“登录门户”；将用户的证书息〔包括证书属性、有效期等〕提交到“证书治理模块”；效劳检查证书息，假设有效，将有效值返回“证书治理模块”〔假设无效将值返回“证书治理模块”〕“证书治理模块”将有效值返回“登录门户”，用户通过认证。〔假设无效，用户登录失败〕；用户通过认证，正常进入应用系统。支持多种CA建设模式RA集中治理在一个企业，依据证书应用的需求，存在根CA下有多个CARARA的集成，可支持与RARA的集中治理。灵敏扩展性集中证书治理功能除了实现集中制证、证书生命周期治理功能，以与具有多RA治理、支持用户CA系统的自建和服RARA理、证书生命周期治理、证书审批、支持多种申请模式、RA多用户对于集中证书治理的扩展性需求。集中授权治理集中授权治理应用背景分析一些大型机构，觉察机构部各应用系统自身授权格外完善，但是从集中治理角度看，觉察大型机构中的传统授权所存在如下问题：系统权限分散：人员的流淌与职位的变更，需要更改人员的系统使用权限，而多个系统权限的分散，使治理员工作量增加，且容易带来安全漏洞。应用系统的独立性：各种应用系统都使用独立的登录方式，员工需要记忆全部应用系统的、密码等，逐一登录，给工作带来极大的困扰，特别是对工作效率影响格外大，甚至简化记忆问题，所有应用系统统一使用一样的密码，由此为黑客或者木马程序供给时机，而对应用系统的安全防护带来极胁。集中授权的最大特点，就是集中在一个接口对组/角色进展资源的合理安排。集中授权的过程，就是集中对用户〔组/角色〕通过何种方式〔证书/口令〕使用某种资源〔应用/功能〕的权限的安排。员工入职，安排一个特定的原本已经隶属于某些角色/组的身份账户，统一入口登录，即可享有身份账户所属角色/组在中心应用系统中的全部权限；当职位变更时，只需更改身份账户所属角色/组，则所享有的权限也相应变化，而对应的应用系统资源的账户和权限不受任何影响，并且应用系统的安全性得到了极大提高，不会由于对应的业务系统由于没有中止用户应用权限而患病安全风险。通过集中授权的治理模式，有效地屏蔽了传统授权中存在的弊端，提高了治理效率，为企业营造一个安全、便捷的系统安全、可的办公环境。6.4.集中授权治理模式集中授权主要是依靠于人，由授权系统治理者依据人的组织属性、角色属性，进展对应应用系统和资源的授权安排，从保证人与应用系统之间使用权限关系，最终实现，什么样的人、组织、角色能访问哪些应用系统和资源。集中授权还可以依靠于应用系统为治理对象，然后针对该应用系统给人、组织、角色授予相应访问和操作权限，最终把应用系统和人进展权限关联，合理、有效地的访问把握策略，保证了什么样的应用系统和资源，能让怎样的人、组织、角色进展访问。组：包括依据组织架构或特定功能划分的部门、工作组与个人用户。通过以上两种方模式，可以对企业部的人员、应用系统和资源进展合理的治理和把握，有效地解决企业部息资源的权限治理，最终实现，正确的人做正确的事情，而非授权人员不得进入企业部任何系统，从而保证企业应用系统数据的安全，保护企业的资产。在集中授权治理系统系统中需要明确以下概念：角色定义，主要是基于用户组角色和应用系统角进展角色定义。基于用户组的角色定义可理解为在组织构造下定义用户角色，比方在技术部门下定义产品工程师角色。目标是在以后授权模式过对产品工程师角色授权，而包含产品工程师的角色就会一次性获得授权，这样便利治理，同时也是简化了授权的操作。基于应用系统定义角色，即依据该应用系统下的用户职能进展定义。比方，针对OA应用系统和结合人力资源架构定义“总监”，那么依据OA系统给总监的工作操作权限，那么以后授权中，只要存在应用系统对总监所具备的功能，经过系统授权后均可以依据总监的角色进展应用访问。资源定义，主要是应用系统下具备的每一功能模块，全部的功能模块统称为资源。资源的定义主要是便利人员、组织、角色授权时候的对象指定，最终经过授权实现，什么样的人员、组织、角色能访问应用系统的那些功能。也就是中细粒度授权所需要的涉与的容。集中授权治理原理集中授权治理模式基于组/角色的访问授权：对于属于某一组/角色的用户，治理员可以为其授权于可访问的应用系统和资源〔应用系统的功能〕。授权后组的全部成员均具备该组编辑、查看、安排的权限。基于应用系统和资源的授权：对于某一选定应用〔或其包含的功能、功能组〕，治理员可以授权为其指派访问资源〔用户、组、角色〕细粒度授权：传统意义中的粗粒度授权是以某一应用系统为标准，将应用系统那个授权于某一个人、某一机构〔组织〕、某一类角色；而对于应用系统下的模块无法做到授权，所以，粗粒度授权在统一任系统中，无法做到应用系统的部授权机制，导致简洁的访问把握授权无法满足业务系统的精细化治理，为了满足企业的细致化访问把握，需要打破传统授权模式，增加的授权机制，即要实现细粒度的访问把握授权。而将资源治理模块细粒度化，则是将应用模块拆分成单个的功能模块，某几个功能模块又可以组合成一个功能组，在授权时，针对某一应用模块中的功能或功能组模块进展权限安排。角色继承供给了角色授权模型，在角色权限安排的治理过程中，角色之间可以实现多模式继承，即单继承、多继承、动态继承；多种模式的继承由系统自动完成，但是当继承形成环路的时候，则继承属性自动中断，保持独立的角色属性。这样可以保证应用系统权限合理管控，而不会由于角色继承导致权限失去把握。针对继承方式，如下定义：a)单继承：ABABb)多继承ABCDA同时拥有B、C、D全部的权限。c)动态继承：ABCD，用户拥A；角色B的登录方式为口令；角色C的登录方式为口令和证书；角色D的登录方式为证书。d)循环继承：角色循环继承时，系统部自行处理，在循环处于环路，则继承自动断开。集中认证治理集中认证治理为企业的IT系统供给统一的身份认证，是企业安全门户入口，只有安全的认证机制才可以保证机构大门不被非法人员进入；在整个认证系统中其效劳的对象包括企业接入统一认证平台的全部业务系统、治理系统和应用系统等，统一认证系统能够供给快速、高效和安全的效劳，应用系统接入改造小，系统具有灵敏的扩展性、高可用性。集中认证治理特点集中认证治理可以为多个不同种类、不同形式的应用供给统一的认证效劳，不需要应用系统独立开发、设计认证系统，为业务系统快速推出的业务和效劳预备了根底条件，集中认证治理为这些应用供给了统一的接入形式。供给多种认证方式企业的不同业务系统的安全级别不同,使用环境不同，用户的习惯和操作娴熟程度不同，集中认证治理可以针对这些不同的应用特点供给不同的认证手段。供给统一和多样化的认证策略集中认证治理针对不同的认证方式，供给了统一的策略控制，各个应用系统也可以依据自身的需要进展共性化的策略设置，依据应用或用户类型的需求，设置共性化的认证策略，提高应用系统的分级治理安全。7.2.2.数字证书认证集中认证治理系统支持多种身份认证方式，包括：用户名/口令数字证书3)Windows域认证4)通行码集中认证治理同时支持上述四种认证方式，也可以依据用户的需求对用户登录认证方式进展扩展。下面首先分别介绍这些认证方式，然后介绍认证方式与安全等级。7.2.1.用户名/口令认证用户名/口令是最传统且最普遍的身份认证方法，通常承受如下形式：当用户需要访问系统资源时，系统提示用户输入用户名和口令。系统承受加密方式或明文方式将用户名和口令传送到认证中心。并和认证中心保存的用户息进展比对。假设验证通过，系统允许该用户进展随后的访问操作，否则拒绝用户的下一步的访问操作。静态口令的优点是简洁且本钱低，但是假设用户不去修改它，那么这个口令就是固定不变的、长期有效的，因此这种认证息的静态性，导致传统口令在很多状况下都有着发生口令泄密的危急。在整体安全认证中，对于扫瞄非重要资源的用户可以承受该方法。7.2.4.密码认证数字证书是目前最常用一种比较安全的身份认证技术。数字证书技术是在PKI体系根底上实现的，用户不但可以通过数字证书完成身份认证，还可以进一步进展安全加密，数字签名等操作。依据自己多年的安全阅历，供给完整的数字身份认证解决方案。数字证书的存储方式格外灵敏，数字证书可被直接存储USBKey中。Windows域认证Windows域是一种应用层的用户与权限集中治理技术。当用户通过Windows系列操作系统的登录界面成功登录Windows域后，就可以充分使用域的各种共享资源，同时承受Windows域对用户访问权限的治理与把握。目前，很多企业、机构和学校都使用域来治理网络资源，用于把握不同身份的用户对网络应用与共享息的使用权限。集中认证治理支持Windows域登录，对于已经登录到Windows域中的用户，不需要输入用户名、密码而直接使用当前登录的域用户息进展验证，假设验证成功则进入，否则拒绝进入。通行码认证通行码是集中认证治理支持的一种特有认证方式，用户遗忘其他认证息时，可以向治理员申请一次性使用的口令进展身份认证。主要满足安全应急效劳，当用户安全认证的凭证遗忘或者丧失，通过后台治理员生成通行码的方式，帮助用户解决认证登录；通行码具备时效性和一次性特点，当使用过或者超出访用时间围，其认证效力自动失效，格外强大的保证了系统的安全性和牢靠性；在有效地时间段围，能有效、快速的帮助用户解决认证和系统准入的问题，为应用提供了便利。认证方式与安全等级每种身份验证方法都对应一个安全级别，安全级别是依据安全策略定义的。身份验证方法(如用户名/密码、数字证书、windows域等。)仅由认证系统部门治理和把握，身份认证子系统与其他子系统之间的息交换通过认证安全级别实现。身份认证相关协议身份认证治理支持的身份认证协议有：SSL协议。Windows域认证SAML协议集中认证治理同时支持上述三种认证协议，下面具体介绍这些认证协议。SSL协议SSL〔SecureSocketLayer，安全套接层〕协议最早由Netscape提出，是一种用于保护互联网通私密性的安全协议，现在已经是该领域的工业标准。通过SSL协议，可以使通不被恶意攻击者窃听，并且始终对效劳端进展认证〔也可以应用可选的客户端认证〕。SSL可以使用RC4、DES等多种加密算法，并应用X.509数字证书标准进展认证，从保护机制上来讲，是比较完善的。而且SSL的实现本钱比较低，可以很简洁的结合现有的应用环境建立比较安全的传输，所以获得了极为广泛的应用。SSL协议的身份认证方式与用户名/口令方式相比，最显著的优势在于SSL供给双向的身份认证，不仅可以验证客户端的身份同时也可以认证效劳器的身份。b)windows域身份验证Windows交互式登录是我们寻常常见的一种登录认证方式，交互式登录包括“本地登录”和“域账号登录”，而“本地登录”仅限于“本地账号登录”。本地用户账号SAM数据库中的息进展验证。用本地用户账号登录后，只能访问到具有访问权限的本地资源。域用户账号承受域用户账号登录，系统则通过存储在域把握器的活动名目中的数据进展验证。假设该用户账号有效，则登录后可以访问到整个域中具有访问权限的资源。用户登录域的过程即是活动名目认证用户的过程，具体过程如下:登录到域的验证过程，对于不同的验证协议也有不同的验证方法。假设域把握器是WindowsNT4.0，那么使用的NTLM验证协议，其验证过程和“登录到本机的过程”根本SAM数据Windows2023和Windows2023域把握器来说，使用的一般为更安全牢靠的KerberosV5协议。通过这种协议登录到域，向域把握器证明自己的域账号有效，用户需先申请允许恳求该域的TGS(Ticket-Granting