Skip Ribbon Commands
Skip to main content

Ondrej Sevecek's Blog

:

Engineering and troubleshooting by Directory Master!
Ondrej Sevecek's Blog > Posts > Expirace účtu a platnost Kerberos tiketů
duben 25
Expirace účtu a platnost Kerberos tiketů

Mám tu za poslední dobu několik článečků, které se týkají zneplatnění účtů, dočasného členství ve skupinách a vůbec změny a aktualizace členství ve skupinách a zrovna se vynořila zajímavá otázka ohledně zneplatnění účtu. Tak tady je odpověď.

O co jde? Na účtu v Active Directory si můžete nastavit jeho expiraci - tabulka Account, políčko Account expires dole. Datum a čas, který nastavíte v GUI je sice k půlnoci, ale tahle hodnota se uloží do atributu accountExpires a tam by se případně dala nastavit expirace k jakémukoliv času přesněji.

Co když si uživatel vyžádá Kerberos ticket ještě krátkou dobu před expirací účtu? Bude platit celou standardní dobu (ve výchozím stavu 10 hodin), tzn. ještě přes okamžik expirace účtu? Nebo bude platit jen přesně do konce platnosti účtu?

A odpověď je.....

Že platnost ticketů je maximálně přesně do okamžiku vypršení. Takže ticket (jak TGT, tak i TGS z něho odvozené) bude platit maximálně tak dlouho, jako platí daný účet.

Howgh. Ověřeno právě na DFL/FFL 2003.

Znovu upozorňuji, že stejně jako v případě zákazu účtu, tak ani ukončení ticketů nemusí znamenat ukončení práce, viz. článečky nahoře v odkazech.

Comments

Re: Expirace účtu a platnost Kerberos tiketů

ondass on 25.4.2016 22:11

Re: Expirace účtu a platnost Kerberos tiketů

Super, díky za tvé články.
Grotesque on 15.3.2019 8:18

Add Comment

Title


Pole Title nemusíte vyplňovat, doplní se to samo na stejnou hodnotu jako je nadpis článku.

Author *


Pole Author nesmí být stejné jako pole Title! Mám to tu jako ochranu proti spamu. Roboti to nevyplní dobře :-)

Body *


Type number two as digit *


Semhle vyplňte číslici dvě. Předchozí antispemové pole nefunguje úplně dokonale, zdá se, že jsou i spamery, které pochopily, že je občas potřeba vyplnit autora :-)

Email


Emailová adresa, pokud na ni chcete ode mě dostat odpověď. Nikdo jiný než já vaši emailovou adresu neuvidí.

Attachments