ケルベロス認証（Kerberos）

ケルベロス認証（Kerberos）とは、ネットワーク上で利用者の本人確認を行うための認証プロトコルのことで、社内システムなど閉じたネットワーク内で広く使われています。パスワードそのものをネットワーク上に流さずに認証を行える点が大きな特徴で、名前はギリシャ神話に登場する三つの頭を持つ番犬「ケルベロス」に由来しています。

現実世界に例えると、ケルベロス認証は遊園地の入場チケットのような仕組みです。最初に入り口でチケット（信頼できる証明）を受け取っておけば、その後は各アトラクションの入り口でいちいち身分証を見せなくても、チケットを見せるだけで済みます。

ケルベロス認証 図解

ケルベロス認証の仕組み

ケルベロス認証では、「鍵配布センター（KDC）」と呼ばれる信頼できる第三者が間に入り、利用者とサービスの双方に一時的な「チケット」を発行することで本人確認を行います。利用者は毎回パスワードを入力し直す必要がありません。

チケットという考え方

最初に一度だけパスワードで認証を受けてチケットを取得すれば、その後は複数のサービスへそのチケットを提示するだけでログインできる「シングルサインオン」を実現できます。社内の複数システムを行き来する際の手間を大きく減らせる仕組みです。

パスワードを流さない安全性

認証のやり取りの中でパスワードそのものを直接ネットワークに流さない設計になっているため、万が一通信を盗み見られたとしても、パスワードが漏れて悪用される被害を受けにくいという強みがあります。

チケットには有効期限がある

発行されたチケットにはあらかじめ有効期限が設けられており、期限が切れると再度認証が必要になる仕組みになっています。これにより、万一チケットが盗まれてしまった場合の被害を、一定の範囲に限定できます。

主な利用場面

ケルベロス認証は、Windowsの社内ネットワーク（Active Directory）など、企業の社内システムでの認証の仕組みとして広く採用されています。社員が一度サインインすれば、社内の複数のシステムを利用できる環境の裏側で活躍しています。

時刻のずれに弱い

チケットの有効期限を厳密に管理する仕組み上、認証に関わる機器同士の時刻に大きなずれがあると、正しく認証が行えなくなることがあります。運用の際には、機器の時刻を正確に同期させておくことが重要です。

他の認証方式との使い分け

インターネット越しの認証には、OAuthなど別の仕組みが使われることが多く、ケルベロス認証は主に社内など閉じたネットワークでの利用に向いているとされています。利用する環境に応じて、適した認証方式が使い分けられています。

まとめ

ケルベロス認証は、チケットの仕組みを使い、パスワードを流さずに安全な本人確認を実現する認証プロトコルです。社内システムの利便性と安全性を両立させる、縁の下の力持ち的な存在といえます。

あわせて知っておきたい用語

• シングルサインオン：
  一度の認証で、複数のサービスにログインできる仕組みです。
• Active Directory：
  Windows環境で利用者やコンピューターを一元管理する仕組みです。
• 認証：
  利用者が本人であることを確認する手続きのことです。
• 公開鍵認証：
  対になる2つの鍵を使って本人確認を行う、安全性の高い認証方式です。