活動(dòng)目錄驗(yàn)證過程原理。我想了解AD內(nèi)，一臺(tái)電腦向DC提交驗(yàn)證的具體過程。從client pc啟動(dòng)到發(fā)現(xiàn)DC,然后向DC提交驗(yàn)證數(shù)據(jù)，最后完成驗(yàn)證。期間使用那些端口，那些協(xié)議，怎樣的驗(yàn)證過程？麻煩提供一個(gè)詳細(xì)點(diǎn)的文章，謝謝！
回答：根據(jù)您的描述，我對這個(gè)問題的理解是：您想了解一臺(tái)電腦向DC提交驗(yàn)證的具體過程。
如果您所用的客戶操作系統(tǒng)不是Windows 3.1, Windows 95, Windows98, Windows NT,也即您的客戶機(jī)系統(tǒng)是Windows 2000及以上，并且DC也是Windows
我們假設(shè)現(xiàn)在用戶是在一個(gè)Windows 2003的域環(huán)境。當(dāng)一臺(tái)客戶機(jī)登錄域時(shí)， 客戶按下CTRL+ALT+DEL, 機(jī)器的 Winlogon 服務(wù)在轉(zhuǎn)到登錄的界面前，會(huì)觸發(fā)Winlogon的組件之一GINA DLL。GINA會(huì)顯示登錄界面，同時(shí) GINA也負(fù)責(zé)收集用戶登錄的數(shù)據(jù)，打包成數(shù)據(jù)單位，然后送給LSA認(rèn)證。用戶輸入用戶名及密碼，選定域。當(dāng)按下確定時(shí)， GINA把用戶信息傳給Winlogon。 Winlogon 把信息傳給 LSA。 LSA 使用LsaLogonUser進(jìn)行驗(yàn)證.就在此時(shí)，LSA開始使用Kerberos V5驗(yàn)證協(xié)議開始驗(yàn)證。
LSA收到用戶密碼后，使用DES-CBC-MD5加密方法加密生成一個(gè)Key。（所以Kerberos version5驗(yàn)證協(xié)議必須支持DES-CBC-MD5）。這個(gè)Key就是用戶密鑰。LSA 與Kerberos SSP 互動(dòng)，得到TGTTicket和service ticket. 使用這些ticket, LSA就可以和KDC（Key DistributionCenter密鑰分發(fā)中心）交換信息。（客戶機(jī)通過DNS查詢來定位KDC，每臺(tái)DC都是在DNS注冊過的KDC）。通過和KDC的互動(dòng)，客戶機(jī)使用Kerberos發(fā)送消息 KRB_AS_REQ 給KDC。該消息包括用戶名，域以及生成的密鑰。KDC從其數(shù)據(jù)庫中找到用戶及用戶密鑰，對比結(jié)果，如果用戶及密鑰都相同，則該用戶被允許登錄。但此時(shí)用戶僅僅是能登錄，如果要做其余的動(dòng)作，比如瀏覽共享文件夾等，則用戶要先與KDC做近一步的互動(dòng)。您看到的文章來自活動(dòng)目錄seohttp://gnaw0725.blogbus.com/c1404552/
以上所提到的具體信息，請參考http://technet2.microsoft.com/windowsserver/en/library/4a1daa3e-b45c-44ea-a0b6-fe8910f92f281033.mspx?mfr=true
從上我們可以看到，用戶登錄域，必須先通過DNS定位KDC，然后使用Kerberos驗(yàn)證協(xié)議。這2步是必須的。DNS使用的是TCP和UDP的53端口，Kerberos使用的是TCP和UDP的88端口。所以對于您的問題，可以看到，登錄使用的協(xié)議是KerberosV5,端口是TCP和UDP的53和88。
