KDCとは

KDCの役割

KDCはKerberosのKey Distribution Centerで、利用者向けのTGTとサービス向けのService Ticketを発行します。Active DirectoryではDomain Controller上のKDCサービスがこの役割を持ち、認証主体、サービスアカウント、SPN、暗号鍵の関係を確認します。

KDCへ到達できるだけでは認証成功を保証しません。DNS探索、時刻検証、pre-authentication、SPN検索、暗号方式の選択が順に成功して初めて、接続先サービスへ提示できるTicketが発行されます。

KDC探索と到達性

Clientは通常、_kerberos._tcpなどのDNS SRVレコードを使って対象realmのKDCを探します。誤ったDNS suffix、古いSRV、拠点外KDCへの偏りは、遅延や認証失敗の原因になります。

調査ではSRV回答、選ばれたDomain Controller、TCP/UDP 88の到達性、サイト割当を確認します。hostsやIP直指定で一時的に通しても、DNS探索の問題は解消しません。

• SRV回答と実接続先を保存する。
• 複数KDCで結果が揺れないか確認する。
• Firewallと経路を往復で確認する。

Ticket発行の観測点

AS交換ではKDCが利用者を確認してTGTを発行し、TGS交換ではTGTとSPNからService Ticketを選びます。4768と4769の結果、Client Address、Service Name、暗号方式を追うことで、どちらの発行段階で停止したかを分けられます。

KDC_ERR_S_PRINCIPAL_UNKNOWNはSPN検索、KRB_AP_ERR_SKEWは時刻差など、エラーコードごとに確認先が異なります。コード名だけで設定を変えず、直前に成功した交換を基準にします。

• TGT発行とService Ticket発行を分離する。
• KDCエラーを原文で残す。
• Ticket本文や鍵素材を収集しない。

冗長化と時刻

複数Domain ControllerがKDCを提供する環境では、複製遅延や時刻差により特定KDCだけ結果が異なることがあります。SPN登録直後やサービスアカウント変更直後は、複製状態と接続先KDCを合わせて確認します。

Kerberosは時刻依存性が高いため、KDC自身のNTP階層と監視も重要です。Clientだけ時刻を直しても、Domain Controller間に差が残れば再発します。

• Domain Controller間の複製状態を確認する。
• KDCごとの時刻源とoffsetを確認する。
• 変更直後の接続先KDCを記録する。

運用で残す情報

KDC運用では、realm、DNS SRV、対象サイト、Domain Controller、時刻源、監査ポリシー、4768・4769の保存期間を台帳化します。認証障害時にKDCサービス再起動だけで済ませると、DNSや複製の根本原因が残ります。

復旧後は正常なTGT、Service Ticket、サービス利用の順で確認し、失敗率や異常なTicket要求が通常水準へ戻ったことを監視します。

• 正常系のKDC選択を基準として残す。
• 監査ログと時刻同期の監視を継続する。
• 再起動や例外設定の理由と期限を記録する。

関連語

同じ主要カテゴリの用語

セキュリティ・認証の学習順

同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。

InfraEngKit内の関連機能