【Active Directory】Kerberos認証の認証サーバーを指定する方法

Kerberos認証は、Active Directory ドメインサービス（以下、AD DS）の認証や、その他SSO(シングルサインオン)等に使用されています。

本記事では、AD DS環境で使用されるKerberos認証の、認証先を指定する方法について記載します。

AD DS環境においての正常性確認等で活用できる手順になると思いますので、参考になれば幸いです。

※ なお、本記事はAD DSの知識がある程度ある方を想定しているため、AD DSの基本的な用語説明などは割愛しています。

Kerberos(ケルベロス)認証とはネットワーク認証方式の１つです。Active Directory ドメインサービスでは、このKerberos認証を主要な認証方式として利用しています。

Kerberos認証は、接続元のクライアントと接続先のサーバーの両方とも認証ができる、相互認証の仕組みであることが特徴です。

また、Kerberos認証では「チケット」という考え方が重要になります。

Kerberos認証ではID/パスワードまたは証明書などでクライアントの認証が完了した後、認証されたことを示すチケットを発行します。サーバーへアクセスする時はそのチケットを提示して接続します。

一度取得したチケットは保存して利用できるため、サーバー接続する時に再度ユーザーへの認証が求められることはありません。

このチケットは、コマンドを使って確認や削除などを操作を行う事が可能です。この後、実際の操作例をご紹介します。

今回の記事では、以下のようなシナリオを想定しています。

まず、ドメイン参加済みのクライアント端末が、どのドメインコントローラーに向けて認証を実施しているのかを確認する手順を記載します。

クライアント端末にサインインしコマンドプロンプトを管理者として実行します。
以下のコマンドを実行し、現在認証しているドメインコントローラーを確認します。
```
klist query_bind
```
klist query bind

現状の認証先を確認出来たら、Kerberos認証先に特定のドメインコントローラーを指定してみましょう。

Kerberos認証が実施されると、クライアント端末側でチケットをキャッシュします。そのため、一度キャッシュを削除したうえで、特定のサーバーを指定して認証を実施してみましょう。

クライアント端末にサインインしコマンドプロンプトを管理者として実行します。
以下のコマンドを実行し、キャッシュされたドメインコントローラーとのバインドを削除します。
```
klist purge_bind
```
klist purge_bind
以下のコマンドを実行し、対象のドメインコントローラーに対してバインドを行います
```
klist add_bind <ドメイン名> <ドメインコントローラー名>
```
klist add_bind <ドメイン名> <ドメインコントローラー名>
以下のコマンドを実行し、ローカルにキャッシュしている Kerberos チケットを削除します。
```
klist purge
```
klist purge
クライアント端末からログアウトし、再度サインインを実施します。
以下のコマンドを実行し、指定したドメインコントローラーで認証していることを確認します。
```
klist query_bind
```
klist query bind