AD域认证介绍

AD域认证是指AD系统终端代理使用第三方库执行主要认证业务。

TSM系统的AD域认证过程主要涉及到三个角色，分别是：TSM服务器、AD域控、终端代理。

TSM和AD的联动认证是基于标准的Kerberos协议，标准的Kerberos认证流程如下：

从上面的交互流程图可以看出来，整个交互过程分为3个阶段分别是：AS(Authentication Service Exchange )、TGS(Ticket Granting Service Exchange )、AP(Client/Server Exchange )。 在AS阶段，主要验证的是当前用于进行AD域认证的用户是当前AD域控上的合法用户。所以一般如果用户名或者密码错误时将会在这个阶段得到AD返回的错误信息。此外如果出现TSM服务器和AD上的时间偏差较大的时候也会在这个阶段出错。
在TGS阶段，主要是终端代理获取其要请求的认证服务的票证的过程，如果这个时候请求的认证服务不存在，则在第4步返回的错误信息中指示

KDC_ERR_S_PRINCIPAL_UNKNOWN，表明当前请求的服务不存在。之前在大足的AD域联动测试中就出现了这个问题。

在AP阶段，服务器将会验证终端代理发送的TGS，来决定当前认证用户是否具有访问当前请求的认证服务的权限。