最近、Kerberosと、ユーザーを安全に認証するための優れたアルゴリズムについて読みました。
ただし、Kerberosの「欠点」は、認証サーバーから直接手動でクレデンシャル（「プリンシパル」と呼ばれる）を追加する必要があることです（Kerberosで実装されています）。
したがって、無視しない限り、eコマースで従来の形式を使用して新しいユーザーをKerberosに追加することは不可能です。実際、SSLで暗号化されている場合でも、クレデンシャルはネットワーク経由で送信されるため、明らかにKerberosの原則が無駄になります...
Kerberosは、各ユーザーが独自のログイン/パスを追加して自分で作成する必要がある従来のWebサイトには使用できないことを確認できますか？つまり、Kerberosサーバーの管理者は必要ありません。
技術的な機能の観点から、認証情報のバッキングストアとしてKerberosを使用し、SSLを介したユーザー名とパスワードを引き続きサポートできます。これは、ユーザーが前に座っているローカルシステム以外のシステムがパスワードのコピーを取得することを意味するため、理想的なKerberosモデルではありません。ただし、これは、Kerberosの完全なセキュリティ機能を使用していないことを意味します。Kerberosが機能しないという意味ではありません。他の理由でKerberosを使用すると便利な場合があります。
Kerberosの汚い小さな秘密の1つは、Kerberosを大規模に展開しているほぼすべてのサイトが、少なくとも一部のアプリケーションでSSLを介してユーザー名とパスワードを受け入れ、サーバーでユーザー名とパスワードを検証することです。多くの場合、それを行うための他の良い方法はありません。これは特にWebアプリケーションに当てはまります。多くのWebブラウザはNegotiate-Authを介してSPNEGOをサポートして実際のKerberos認証を実行しますが、これはさまざまな状況（システムにローカルにKerberosがない、キオスクシステム、ローカルKerberosライブラリがない電話デバイスなど）では機能しません。 ）。
（私はスタンフォード大学のKerberos管理者であり、Kerberosに基づくWeb認証システムのメンテナーでもありますが、ほとんどのユーザーは、SSLを介してユーザー名とパスワードを取得し、中央のWebログインサーバーで検証します。）