Machine Translated by Google

VNUHCM – TRƯỜNG ĐẠI HỌC KHOA HỌC

KHOA ĐIỆN TỬ – VIỄN THÔNG

BỘ VIỄN THÔNG – MẠNG

KHÓA HỌC

MẠNG LƯỚI CÔNG NGHỆ

chương 1 Người dùng và nhóm cục bộ

02 QUẢN LÝ TÀI KHOẢN

Biên tập viên: Nguyễn Việt Hà, TS.

Ngày 03 tháng 10 năm 2023

Giảng viên: Nguyễn Việt Hà, TS. Email: nvha@hcmus.edu.vn 2

Tài khoản NGƯỜI DÙNG Địa phương Tài khoản NGƯỜI DÙNG Địa phương

Để tương tác với hệ điều hành, trước tiên bạn phải xác thực Quyền và Quyền:
danh tính của mình đó là tên người dùng và mật khẩu được liên
kết với tài khoản người dùng cục bộ trên hệ thống.
Quyền được gán cho một tài khoản để xác định
Quyền
những gì nó có thể làm.

Quyền là những khả năng cụ thể được cấp cho tài

Nếu thành công, bạn sẽ nhận được các quyền được giao cho người dùng cục bộ đó
khoản đối với tài nguyên được chia sẻ.
tài khoản. Quyền

Ví dụ: Thay đổi thời gian hệ thống hoặc tắt hệ thống.

oXác định ai có thể truy cập tài nguyên và mức
độ truy cập
Và bạn sẽ có các quyền được liệt kê trong Danh sách kiểm soát truy cập (ACL). Ví dụ:
Truy cập tài
Đặc quyền
Đặc quyền là sự kết hợp giữa quyền và quyền
nguyên trên hệ thống (ví dụ: file, thư mục, máy in).

Nguyễn Việt Hà, TS.

- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US 3/5044
Nguyễn Việt Hà, TS.
- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US 4/5044
 Machine Translated by Google

Tài khoản NGƯỜI DÙNG Địa phương Tài khoản NGƯỜI DÙNG Địa phương

Tài khoản người dùng cục bộ mặc định: là các tài khoản tích hợp được tạo tự động Các tài khoản người dùng cục bộ bổ sung được sử dụng bởi các ứng dụng trên
khi bạn cài đặt HĐH. hệ thống:

Không cung cấp quyền truy cập vào tài nguyên mạng.

Được sử dụng để quản lý quyền truy cập vào tài nguyên của máy chủ cục bộ dựa
DefaultAccount: còn được gọi là Tài khoản được quản lý hệ thống mặc định (DSMA),
trên các quyền và quyền được gán cho tài khoản. được sử dụng bởi các ứng dụng cung cấp cơ chế xác thực riêng cho người dùng.

Quản trị viên: được giao quyền quản trị cũng như quyền đối với hầu
hết các tài nguyên trên hệ thống. WDAGUTilityAccount: được sử dụng bởi tính năng Bảo vệ ứng dụng của
Bộ bảo vệ Windows.

Khách: được chỉ định một nhóm quyền và quyền tối thiểu đối với các
HelpAssistant: được bật khi chạy phiên Hỗ trợ từ xa.
tài nguyên trên hệ thống (mặc định bị tắt).

Nguyễn Việt Hà, TS.

- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US
5/5044
Nguyễn Việt Hà, TS.
- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US
6/5044

Tài khoản NGƯỜI DÙNG Địa phương Tài khoản NGƯỜI DÙNG Địa phương

Các tài khoản người dùng cục bộ bổ sung được sử dụng bởi các ứng dụng trên Các ký hiệu không được sử dụng trong tên tài khoản:
hệ thống: [ ] ; , . %: ! / \ |
SYSTEM: được sử dụng bởi hệ điều hành và các dịch vụ chạy trên Windows.

Mỗi tên tài khoản phải là duy nhất để không trùng lặp.
NETWORK SERVICE: được sử dụng bởi người quản lý kiểm soát dịch vụ (SCM).
Một dịch vụ chạy trong ngữ cảnh của tài khoản DỊCH VỤ MẠNG sẽ trình bày thông

tin xác thực của máy tính cho các máy chủ từ xa.

Khi bạn chỉ định mật khẩu, mật khẩu đó cần đáp ứng các yêu cầu về chính sách mật
LOCAL SERVICE: được sử dụng bởi người quản lý kiểm soát dịch vụ. Nó có các đặc khẩu trên máy tính cục bộ.
quyền tối thiểu trên máy tính cục bộ và cung cấp thông tin xác thực ẩn danh
trên mạng

Và hơn thế nữa…

Nguyễn Việt Hà, TS.

- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US
7/5044
Nguyễn Việt Hà, TS.
- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US
8/5044
 Machine Translated by Google

Tài khoản NGƯỜI DÙNG Địa phương Tài khoản NHÓM địa phương

Các máy tính là một phần của nhóm làm việc (mạng ngang Tài khoản nhóm cục bộ có thể được sử dụng để đơn giản hóa việc gán quyền và quyền
hàng) duy trì cơ sở dữ liệu riêng về người dùng và nhóm cục cho nhiều tài khoản người dùng cục bộ.
bộ. Khi bạn gán quyền hoặc quyền cho tài khoản nhóm cục bộ, mỗi thành viên trong nhóm
sẽ nhận được các quyền và quyền đó.

Khi kết nối với tài nguyên được chia sẻ trên một máy tính khác, bạn phải chứng minh
quyền và
danh tính của mình với máy tính đó trước khi nó cho phép bạn truy cập vào tài nguyên
sự cho phép 2
dựa trên quyền của bạn trong ACL.

Đăng nhập vào máy tính đó bằng tài khoản người dùng cục bộ có quyền đối với tài quyền và
sự cho phép 1 quyền và
nguyên.
sự cho phép 4

quyền và
sự cho phép 3

Nguyễn Việt Hà, TS.

- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US 9/5044 Nguyễn Việt Hà, TS.
- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US 10/5044

Tài khoản NHÓM địa phương

Quản trị viên: bao gồm tài khoản người dùng Quản trị viên cục bộ theo
mặc định.

Khách: bao gồm tài khoản người dùng Khách cục bộ theo mặc định.

2 OU miền, người dùng và nhóm

Người dùng: tất cả tài khoản người dùng cục bộ bổ sung đều được thêm vào theo mặc định.

Cho phép bạn đăng nhập vào hệ thống và thực hiện hầu hết các tác vụ phi quản trị.

Các tài khoản nhóm cục bộ bổ sung thường được các ứng dụng sử dụng hoặc để cung cấp
các quyền và quyền cụ thể:

Người vận hành in: cho phép những người dùng đó có khả năng tạo và quản lý máy
in trên hệ thống

Nguyễn Việt Hà, TS.

- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US 11/5044 12
 Machine Translated by Google

Tài khoản máy tính Tài khoản máy tính

Mỗi máy tính tham gia Active Directory (AD) đều có tài khoản máy tính được Tài khoản máy tính có thể thuộc nhóm bảo mật. Một
liên kết trong AD. số chính sách nhóm nhất định chỉ áp dụng cho các nhóm máy tính cụ thể.

Mật khẩu tài khoản máy tính ban đầu được đặt khi máy tính tham gia miền và
Tài khoản máy tính trong AD là nguyên tắc bảo mật (giống như tài khoản người
được sử dụng để xác thực theo cách tương tự như mật khẩu của người dùng.
dùng và nhóm bảo mật)

Sự khác biệt là mật khẩu của máy tính không cần phải thay đổi thường
Có một số thuộc tính: xuyên để máy tính có thể xác thực với miền.
o Mã định danh bảo mật
(SID), oEx: Không cần thay đổi mật khẩu tài khoản máy tính khoảng 30 ngày một

omemberOf, lần.

olastlogondate,
Tài khoản máy tính là thành viên của nhóm AD “Máy tính miền” theo mặc định.
opasswordlastset, oetc.

Nguyễn Việt Hà, TS.

- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US 13/5044
Nguyễn Việt Hà, TS.
- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US 14/5044

Kích hoạt các người dùng và máy tính Kích hoạt các người dùng và máy tính

Tiện ích phổ biến nhất được sử dụng để tạo và quản lý OU, Người dùng và Theo mặc định, miền mới chỉ có một OU được gọi là Bộ điều khiển miền chứa
Các nhóm trong miền Active Directory các tài khoản máy tính dành cho bộ điều khiển miền trong miền.

Các thư mục khác tồn tại để sắp xếp các đối tượng mặc định trong miền:
Được xây dựng chứa các nhóm bảo mật cục bộ miền mà trước đây là các
nhóm cục bộ trong cơ sở dữ liệu SAM trên máy tính đã được thăng cấp trở
thành bộ điều khiển miền đầu tiên trong miền (ví dụ: Quản trị viên,
Người dùng và Khách).

Máy tính chứa các tài khoản máy tính dành cho các máy tính tham gia
miền Active Directory. Thông thường, các tài khoản này sau đó sẽ được
chuyển đến OU thích hợp.

Nguyễn Việt Hà, TS.

- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US 15/5044
Nguyễn Việt Hà, TS.
- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US 16/5044
 Machine Translated by Google

Kích hoạt các người dùng và máy tính Tài khoản người dùng miền

ForeignSecurityPrincipals chứa người dùng, nhóm và máy tính từ các miền khác là Người dùng cục bộ là người có tên người dùng và mật khẩu được mã hóa được lưu trữ trên

thành viên của các nhóm trong miền cục bộ. chính máy tính.

Người dùng miền là người có tên người dùng và mật khẩu được lưu trữ trên bộ điều
Tài khoản dịch vụ được quản lý chứa các tài khoản người dùng trong Active Directory khiển miền.
đại diện cho một hoặc nhiều dịch vụ trên máy tính.
Khi bạn đăng nhập với tư cách người dùng miền, máy tính sẽ hỏi bộ điều khiển miền
những đặc quyền nào được gán cho bạn. Khi máy tính
Người dùng chứa tài khoản người dùng miền Quản trị viên và Khách mặc định (Khách bị
nhận được phản hồi thích hợp từ bộ điều khiển miền, nó sẽ đăng nhập cho bạn với các
tắt theo mặc định như một biện pháp bảo mật), cũng như các nhóm bảo mật mặc định
quyền và quyền thích hợp.
trong miền (ví dụ: Quản trị viên miền, Người dùng miền và Khách miền).

oĐối với miền gốc nhóm, thư mục này cũng chứa các nhóm Quản trị viên Lược đồ và
Phải tạo đối tượng tài khoản người dùng miền cho họ theo cách thích hợp
Quản trị viên Doanh nghiệp.
OU.

Nguyễn Việt Hà, TS.

- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US
17/5044
Nguyễn Việt Hà, TS.
- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US
18/5044

Tài khoản người dùng miền Tài khoản người dùng miền

Thuộc tính người dùng: Thuộc tính người dùng:

Chung: thông tin cá nhân về chủ tài khoản bao gồm họ, tên và tên hiển thị trên bảng Hồ sơ:

điều khiển, mô tả về người dùng hoặc tài khoản, địa điểm văn phòng, số điện thoại
số điện thoại, địa chỉ email và trang web.
Địa chỉ: Địa chỉ chủ tài khoản , hộp thư bưu điện , thành phố, tiểu bang
oCung cấp các tùy chọn cho các máy khách cũ không hỗ trợ Chính sách nhóm. cho
phép
liên kết một hồ sơ đăng ký Windows kế thừa cụ thể với một người dùng hoặc một
nhóm người dùng, để cung cấp các tùy chọn như một màn hình chung.

hoặc tỉnh, mã bưu chính và quốc gia hoặc khu vực.

Tài khoản: tên đăng nhập, tên miền và các tùy chọn tài khoản oLiên kết tập lệnh đăng nhập và thư mục chính (thư mục) với một
tài khoản.
oEx: yêu cầu người dùng thay đổi mật khẩu của mình vào lần đăng nhập tiếp theo và
ngày hết hạn tài khoản, nếu có. oEx: Thiết lập tài khoản chỉ Tập lệnh đăng nhập là một tập tin chứa các lệnh được thực thi khi
đăng nhập.
đăng nhập vào miền vào những thời điểm được chỉ định, chẳng hạn như chỉ từ 8 giờ
sáng đến 7 giờ tối từ thứ Hai đến thứ Sáu. thư mục chính là không gian đĩa trên một máy chủ cụ thể được cấp cho người
dùng để lưu trữ các tập tin của họ.

Nguyễn Việt Hà, TS.

- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US
19/5044
Nguyễn Việt Hà, TS.
- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US
20/5044
 Machine Translated by Google

Tài khoản người dùng miền Tài khoản người dùng miền

Thuộc tính người dùng: Thuộc tính người dùng:

Điện thoại: số điện thoại liên lạc của chủ tài khoản (điện thoại nhà, máy Member Of: thuộc nhóm.
nhắn tin, điện thoại di động, fax và IP).
Dial-In: Cho phép kiểm soát truy cập từ xa từ modem quay số hoặc
Tổ chức: chức danh chủ tài khoản, bộ phận, tên công ty và tên người từ mạng riêng ảo (VPN).
quản lý.

Environment: môi trường khởi động dành cho client truy cập vào một hoặc
Điều khiển từ xa: các tham số điều khiển từ xa cho máy khách sử dụng
nhiều server bằng Remote Desktop Services (để chạy các chương trình trên
Dịch vụ Máy tính Từ xa.
server).

Hồ sơ Dịch vụ Máy tính Từ xa: Hồ sơ người dùng dành cho khách hàng sử dụng
Dịch vụ Máy tính Từ xa. Phiên: tham số phiên cho máy khách sử dụng Dịch vụ Máy tính Từ xa
(giới hạn thời gian của phiên, giới hạn thời gian một phiên có thể
COM1: Chỉ định bộ phân vùng COM1 mà người dùng là không hoạt động, phải làm gì khi kết nối bị hỏng và cách kết nối
thành viên. lại).

Nguyễn Việt Hà, TS.

- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US
21/5044
Nguyễn Việt Hà, TS.
- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US
22/5044

Tài khoản nhóm miền Tài khoản nhóm miền

Nhóm được sử dụng để thu thập tài khoản người dùng, tài khoản máy tính và các Các nhóm phân phối
nhóm khác thành các đơn vị có

thể quản lý được. Giúp đơn giản hóa việc bảo trì và quản trị mạng.
Chỉ có thể sử dụng với các ứng dụng email (chẳng hạn như Exchange Server)
để gửi email đến bộ sưu tập của người dùng.

Có hai loại nhóm trong Active Directory: Chưa kích hoạt bảo mật.

Nhóm phân phối: Dùng để tạo danh sách phân phối email. oKhông có Mã nhận dạng bảo mật (SID).
Nhóm bảo mật: Được sử dụng để gán quyền cho các tài nguyên được chia sẻ. oKhông thể được liệt kê trong danh sách kiểm soát truy cập (ACL).

Nguyễn Việt Hà, TS.

- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US
23/5044
Nguyễn Việt Hà, TS.
- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US
24/5044
 Machine Translated by Google

Tài khoản nhóm miền Tài khoản nhóm miền

Nhóm bảo mật Nhóm bảo mật

Cung cấp một cách hiệu quả để gán quyền truy cập vào tài nguyên trên thiết bị của bạn Được liệt kê trong ACL xác định quyền đối với tài nguyên và đối tượng.
mạng.

oMỗi nhóm có một SID duy nhất. Khi gán quyền cho các tài nguyên (chia sẻ tệp, máy in, v.v. ), nên gán chúng
oGán quyền người dùng cho các nhóm bảo mật trong Active Directory. cho một nhóm bảo mật thay vì cho từng người dùng.

Quyền của người dùng được gán cho một nhóm bảo mật để xác định những
gì các thành viên của nhóm đó có thể làm trong phạm vi một miền hoặc
một khu
Các nhóm bảo mật cũng có thể được sử dụng làm thực thể email.
rừng. oGán quyền cho các nhóm bảo mật đối với tài nguyên.

Quyền được gán cho nhóm bảo mật đối với tài nguyên được chia sẻ.
Quyền xác định ai có thể truy cập tài nguyên và mức độ truy cập

Lưu trữ danh sách thành viên của họ trong danh mục chung.

Nguyễn Việt Hà, TS.

- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US
25/5044
Nguyễn Việt Hà, TS.
- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US
26/5044

Tài khoản nhóm miền Phạm vi nhóm

Nhóm bảo mật Phạm vi của nhóm xác định nơi nhóm có thể được cấp quyền.

Khuyến nghị sử dụng lồng nhóm.

oThêm một nhóm vào danh sách thành viên của một nhóm khác. Ba phạm vi nhóm được xác định bởi Active Directory
oPhổ quát

oThành viên nhóm sẽ được áp dụng quyền và sự cho phép của nhóm container. oToàn cầu

oTên miền cục bộ

o(Địa phương)

Nguyễn Việt Hà, TS.

- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US
27/5044
Nguyễn Việt Hà, TS.
- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US
28/5044
 Machine Translated by Google

Phạm vi nhóm Phạm vi nhóm

Nhóm Cục bộ (Máy cục bộ) Nhóm phổ quát

Dành riêng cho và chỉ khả dụng trên máy tính mà chúng được tạo Thành viên có thể:
TRÊN.
oTài khoản từ bất kỳ tên miền nào trong cùng một khu

rừng. oCác nhóm toàn cầu từ bất kỳ miền nào trong cùng một
Được lưu trữ trên SAM (Máy tính cục bộ) cục bộ để sử dụng cho các cài đặt bảo mật khu rừng. oCác nhóm phổ quát khác từ bất kỳ miền nào trong cùng một khu rừng.
chỉ áp dụng cho một máy này.

Có thể cấp quyền cho các tài nguyên trên bất kỳ miền
nào trong cùng một khu rừng hoặc các khu rừng tin cậy.

Nguyễn Việt Hà, TS.

- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US
29/5044
Nguyễn Việt Hà, TS.
- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US
30/5044

Phạm vi nhóm Phạm vi nhóm

Tập đoàn toàn cầu Nhóm cục bộ miền

Thành viên có thể: Thành viên có thể:

oTài khoản từ cùng một tên miền. oTài khoản từ bất kỳ miền nào hoặc bất kỳ miền đáng tin cậy nào.

oCác nhóm toàn cầu khác từ cùng một tên miền. oCác nhóm toàn cầu từ bất kỳ miền nào hoặc bất kỳ miền đáng tin cậy nào.

oCác nhóm phổ quát từ bất kỳ miền nào trong cùng một khu rừng.

oMiền khácCác nhóm cục bộ từ cùng một miền.

Có thể cấp quyền cho các tài nguyên trên bất oTài khoản, nhóm Toàn cầu và Nhóm Toàn cầu từ các khu rừng khác
kỳ miền nào trong cùng một forest hoặc tin cậy và từ các miền bên ngoài.
miền hoặc rừng.

Có thể cấp quyền cho các tài nguyên trong cùng một
lãnh địa.

Nguyễn Việt Hà, TS.

- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US
31/5044
Nguyễn Việt Hà, TS.
- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US
32/5044
 Machine Translated by Google

Phạm vi nhóm

Khuyến nghị sử dụng kết hợp các nhóm bảo mật cục bộ toàn cầu, phổ quát
và miền trong một khu rừng để tổ chức việc gán quyền theo cách dễ sửa
đổi và ghi lại.

3 Tạo tài khoản

Các nhóm bảo mật Active Directory mặc định:
https://docs.microsoft.com/en-us/windows-server/identity/ad-
ds/manage/under Hiểu-security-groups#account-operators

Nguyễn Việt Hà, TS.

- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US 33/5044 34

Tạo tài khoản

4 Chính sách tài khoản

Nguyễn Việt Hà, TS.

- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US 35/5044 36
 Machine Translated by Google

Chính sách tài khoản Chính sách mật khẩu

Chứa: Mô tả cài đặt

Password Policy: cho phép thiết lập yêu cầu về mật khẩu Thực thi lịch sử mật khẩu Đặt số lượng mật khẩu (từ 0 đến 24) phải là duy nhất
Chính sách khóa tài khoản: xác định thời điểm tài khoản sẽ bị khóa và tài trước khi người dùng có thể sử dụng lại mật khẩu
khoản sẽ bị khóa trong bao lâu cũ.

Chính sách Kerberos: cho phép bạn xác định thời gian tồn tại cho các loại Tuổi mật khẩu tối đa Đặt số ngày tối đa mà mật khẩu có thể được sử dụng trước
vé khác nhau khi người dùng được yêu cầu thay đổi nó. Giá trị
0 đảm bảo rằng mật khẩu không hết hạn.

Tuổi mật khẩu tối thiểu Đặt số ngày mật khẩu phải được sử dụng trước khi
người dùng được phép thay đổi mật khẩu.

Độ dài mật khẩu tối thiểu Đặt số ký tự tối thiểu được yêu cầu trong mật khẩu
(từ 0 đến 14)

Nguyễn Việt Hà, TS.

- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US
37/5044
Nguyễn Việt Hà, TS.
- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US
38/5044

Chính sách mật khẩu Chính sách khóa tài khoản

Cài đặt Sự miêu tả Cài đặt Sự miêu tả

Mật khẩu phải đáp ứng Nếu được bật, yêu cầu mật khẩu phải có độ dài ít Khóa tài khoản Xác định số lần đăng nhập không thành công có
yêu cầu phức tạp nhất sáu ký tự và có ba loại ký tự khác nhau từ ngưỡng thể xảy ra trước khi tài khoản người dùng bị khóa.
danh sách sau : chữ hoa, chữ thường, số và ký tự
đặc biệt (ví dụ: *, %, #). Khóa tài khoản Xác định số phút tài khoản bị khóa vẫn bị khóa
khoảng thời gian trước khi được tự động mở khóa.

Lưu trữ mật khẩu bằng cách sử dụng Cho phép lưu trữ mật khẩu dưới dạng văn bản trong Việc chỉ định giá trị 0 đảm bảo rằng tài khoản
mã hóa đảo ngược cơ sở dữ liệu Active Directory và được bảo vệ yếu bị khóa vẫn bị khóa cho đến khi quản trị viên mở

bằng thuật toán mã hóa đơn giản khóa theo cách thủ công.
mà bất cứ ai cũng có thể giải mã được. Cài đặt Đặt lại khóa tài khoản Xác định số phút sau lần đăng nhập thất bại trước
này chỉ nên được bật để hỗ trợ các ứng dụng sử truy cập sau khi bộ đếm đăng nhập sai được đặt lại về 0
dụng giao thức xác thực cũ.

Nguyễn Việt Hà, TS.

- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US
39/5044
Nguyễn Việt Hà, TS.
- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US
40/5044
 Machine Translated by Google

Chính sách Kerberos Chính sách Kerberos

Cài đặt Sự miêu tả Cài đặt Sự miêu tả

Thực thi người dùng
đăng nhập Nếu cài đặt này được bật (mặc định), KDC (Trung tâm phân Thời hạn tối đa cho vé người dùng Khoảng thời gian tối đa tính theo giờ, một TGT (Vé cấp

các hạn chế phối khóa) sẽ xác thực mọi yêu cầu về phiếu dịch vụ đối vé) có thể được sử dụng trước khi phải gia hạn hoặc yêu
với các quyền được cấp cho tài khoản yêu cầu. cầu một thẻ mới .

Giá trị mặc định là 10 giờ.

Thời hạn tối đa cho phiếu dịch Chỉ định trong vài phút một vé dịch vụ có thể được sử
vụ dụng trước khi phải yêu cầu một vé mới để truy cập vào Thời gian tối đa để gia hạn vé Khoảng thời gian tối đa mà TGT có thể được gia hạn.
tài nguyên mà vé đã được cấp. người dùng

Trong giai đoạn này, TGT có thể được gia hạn

Mặc định là 600 phút hoặc 10 giờ. mà không cần phải trải qua quá trình xác
Giá trị tối thiểu được phép là 10 phút và thực đầy đủ. Sau khi hết khoảng thời gian
giá trị tối đa bằng với cài đặt “Thời gian này (hoặc tài khoản đăng xuất), bạn phải yêu
tồn tại tối đa cho vé người dùng”. cầu TGT mới.
Cài đặt mặc định là 7 ngày.

Nguyễn Việt Hà, TS.

- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US
41/5044
Nguyễn Việt Hà, TS.
- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US
42/5044

Chính sách Kerberos

CÁM ƠN VÌ SỰ QUAN TÂM CỦA BẠN
Cài đặt Sự miêu tả
Dung sai tối đa cho Chênh lệch thời gian tối đa được phép giữa
Máy tính Cái đồng hồ dấu thời gian của tin nhắn Kerberos và thời
Đồng bộ hóa gian hiện tại của máy tính nhận.
Nếu chênh lệch thời gian nằm ngoài giới hạn này, tin

nhắn được coi là không hợp lệ. Mặc định là 5 phút. Thông

báo dấu thời gian được sửa theo múi giờ, vì vậy điều
quan trọng là phải đặt múi giờ chính xác trên tất cả các
máy tính trong miền và đồng bộ hóa đồng hồ của bộ điều

khiển miền với một nguồn đáng tin cậy.

Nguyễn Việt Hà, TS.

Theo mặc định, các máy tính thành viên được Khoa Viễn thông - Mạng Khoa Điện tử - Truyền
thông
đồng bộ với đồng hồ của DC.
Đại học Khoa học Tự nhiên, Đại học Quốc gia Thành phố Hồ Chí Minh
Email: nvha@hcmus.edu.vn
Nguyễn Việt Hà, TS.
- Sở của Viễn thông – Mạng, FETEL,VNUHCM-US
43/5044