Ondrej Sevecek's Blog

různé další články na téma Kerboros tiketů:
https://www.sevecek.com/Lists/Posts/Post.aspx?ID=518
https://www.sevecek.com/Lists/Posts/Post.aspx?ID=388
https://www.sevecek.com/Lists/Posts/Post.aspx?ID=370
https://www.sevecek.com/Lists/Posts/Post.aspx?ID=360

Super, díky za tvé články.

Zdravím,
mam k článku dotaz, uživatel je přihlašen do domeny na nějaké workstation, ma napovaný nějyk disk, otevřený outlook s připojením do domenoveho exchange. Administrator mu změni v AD uživateli heslo. Jak dlouho bude mapovaný disk ještě dostupný, za jak dlouho se nepodaří autentikace do exchange ? 
Díky Pavel

odpověď je složitější. Předpokládejme, že obě dvě připojení jsou opravdu ověřovaná pomocí Kerberosu (což by taky mohlo být NTLM). Máte tickety nejpozději od okamžiku připojení. TGT tickety platí 10 hodin. Ale mohou se vydat už dříve, řekněme při CTRL-ALT-DEL přihlášení. Jakmile se potom připojujete k nějaké službě, vydá se vám TGS ticket s platností jen do konce původního TGT. Takže nejspíš méně, než 10 hodin. Dokud máte TGT tak určitě není potřeba heslo. TGT se dá také dále obnovit (prodloužit) bez pomoci hesla. Takže pokud se na konci těch jeho 10 hodin něco děje, co vyžaduje práci s tickety, tak se TGT obnoví a opět není potřeba heslo. Prodlužování TGT se dá dělat ve výchozím stavu opakovaně až po dobu 7 dnů. Bez nutnosti použít heslo. Ale pokud se ke konci života TGT neděje nic, co by vyžadovalo práci s tickety, tak se TGT samo neobnovuje. Když říkám "co by vyžadovalo práci s tickety" tak myslím nová připojení k nějakým službám, obvykle nejsou tickety potřeba od okamžiku připojení už nikdy, dokud nezanikne to ověřené TCP spojení. Takže závěr - mohlo by se to projevit do 10 hodin. Nebo do 7 dnů. Nebo nikdy, dokud neodpojíte to TCP spojení :-)

Pokud by vám šlo o otázku "jak rychle se zbavím uživatele", tak odpověď je - nemůžete nikdy spoléhat na nic jiného, než že obejdete všechny služby, které by ten člověk mohl využívat a ručně ho "odpojíte". To platí obecně, bez ohledu na Kerberos, nebo cokoliv.