[要約] RFC 6880は、Kerberosバージョン5の情報モデルに関する要約であり、Kerberosプロトコルの機能とデータの関係を定義しています。目的は、Kerberosの実装と相互運用性を向上させるための共通の理解を提供することです。
Internet Engineering Task Force (IETF) L. Johansson
Request for Comments: 6880 SUNET
Category: Standards Track March 2013
ISSN: 2070-1721
An Information Model for Kerberos Version 5
Kerberosバージョン5の情報モデル
Abstract
概要
This document describes an information model for Kerberos version 5 from the point of view of an administrative service. There is no standard for administrating a Kerberos 5 Key Distribution Center (KDC). This document describes the services exposed by an administrative interface to a KDC.
このドキュメントでは、管理サービスの観点から、Kerberosバージョン5の情報モデルについて説明します。 Kerberos 5キー配布センター（KDC）を管理するための標準はありません。このドキュメントでは、KDCへの管理インターフェースによって公開されるサービスについて説明します。
Status of This Memo
本文書の状態
This is an Internet Standards Track document.
これはInternet Standards Trackドキュメントです。
This document is a product of the Internet Engineering Task Force (IETF). It represents the consensus of the IETF community. It has received public review and has been approved for publication by the Internet Engineering Steering Group (IESG). Further information on Internet Standards is available in Section 2 of RFC 5741.
このドキュメントは、IETF（Internet Engineering Task Force）の製品です。これは、IETFコミュニティのコンセンサスを表しています。公開レビューを受け、インターネットエンジニアリングステアリンググループ（IESG）による公開が承認されました。インターネット標準の詳細については、RFC 5741のセクション2をご覧ください。
Information about the current status of this document, any errata, and how to provide feedback on it may be obtained at http://www.rfc-editor.org/info/rfc6880.
このドキュメントの現在のステータス、エラータ、およびフィードバックの提供方法に関する情報は、http：//www.rfc-editor.org/info/rfc6880で入手できます。
Copyright Notice
著作権表示
Copyright (c) 2013 IETF Trust and the persons identified as the document authors. All rights reserved.
Copyright（c）2013 IETF Trustおよびドキュメントの作成者として識別された人物。全著作権所有。
This document is subject to BCP 78 and the IETF Trust's Legal Provisions Relating to IETF Documents (http://trustee.ietf.org/license-info) in effect on the date of publication of this document. Please review these documents carefully, as they describe your rights and restrictions with respect to this document. Code Components extracted from this document must include Simplified BSD License text as described in Section 4.e of the Trust Legal Provisions and are provided without warranty as described in the Simplified BSD License.
この文書は、BCP 78およびこの文書の発行日に有効なIETF文書に関するIETFトラストの法的規定（http://trustee.ietf.org/license-info）の対象となります。これらのドキュメントは、このドキュメントに関するあなたの権利と制限を説明しているため、注意深く確認してください。このドキュメントから抽出されたコードコンポーネントには、Trust Legal Provisionsのセクション4.eに記載されているSimplified BSD Licenseのテキストが含まれている必要があり、Simplified BSD Licenseに記載されているように保証なしで提供されます。
This document may contain material from IETF Documents or IETF Contributions published or made publicly available before November 10, 2008. The person(s) controlling the copyright in some of this material may not have granted the IETF Trust the right to allow modifications of such material outside the IETF Standards Process. Without obtaining an adequate license from the person(s) controlling the copyright in such materials, this document may not be modified outside the IETF Standards Process, and derivative works of it may not be created outside the IETF Standards Process, except to format it for publication as an RFC or to translate it into languages other than English.
このドキュメントには、2008年11月10日より前に公開または公開されたIETFドキュメントまたはIETFコントリビューションの素材が含まれている場合があります。この素材の一部で著作権を管理している人が、IETFトラストにそのような素材の変更を許可する権利を付与していない可能性がありますIETF標準プロセス外。このような資料の著作権を管理する人から適切なライセンスを取得せずに、このドキュメントをIETF標準プロセス外で変更したり、その派生物をIETF標準プロセス外で作成したりすることはできません。 RFCとして、またはそれを英語以外の言語に翻訳するための出版物。
Table of Contents
目次
1. Introduction ....................................................3
2. Requirements Notation ...........................................4
3. Information Model Demarcation ...................................5
4. Information Model Specification .................................6
4.1. Principal ..................................................6
4.1.1. Principal: Attributes ...............................6
4.1.2. Principal: Associations .............................7
4.2. KeySet .....................................................8
4.2.1. KeySet: Attributes ..................................8
4.2.2. KeySet: Associations ................................8
4.3. Key ........................................................9
4.3.1. Key: Attributes .....................................9
4.3.2. Key: Associations ..................................10
4.3.3. Key: Remarks .......................................10
4.4. Policy ....................................................10
4.4.1. Policy: Attributes .................................10
4.4.2. Mandatory-to-Implement Policy ......................11
5. Implementation Scenarios .......................................11
5.1. LDAP Backend to KDC .......................................12
5.2. LDAP Frontend to KDC ......................................12
5.3. SOAP ......................................................12
5.4. NETCONF ...................................................12
6. Security Considerations ........................................12
7. Acknowledgments ................................................13
8. References .....................................................13
8.1. Normative References ......................................13
8.2. Informative References ....................................14
The Kerberos version 5 authentication service described in [RFC4120] describes how a Key Distribution Center (KDC) provides authentication to clients. RFC 4120 does not stipulate how a KDC is managed, and several "kadmin" servers have evolved since RFC 4120 was written. This document describes the services required to administer a KDC and the underlying information model assumed by a kadmin-type service.
[RFC4120]で説明されているKerberosバージョン5認証サービスは、キー配布センター（KDC）がクライアントに認証を提供する方法を説明しています。 RFC 4120はKDCの管理方法を規定しておらず、RFC 4120の作成以降、いくつかの「kadmin」サーバーが進化しています。このドキュメントでは、KDCを管理するために必要なサービスと、kadminタイプのサービスが想定する基本的な情報モデルについて説明します。
The information model is written in terms of "attributes" and either "services" or "interfaces", but the use of these particular words must not be taken to imply any particular modeling paradigm. Neither an object-oriented model nor a Lightweight Directory Access Protocol (LDAP) [RFC4510] schema is intended. The author has attempted to describe, in prose, the intended semantics and syntax of the components of the model. For instance, an LDAP schema based on this model will be more precise in the expression of the syntax while preserving the semantics of this model.
情報モデルは、「属性」と「サービス」または「インターフェース」のいずれかで記述されていますが、これらの特定の単語の使用は、特定のモデリングパラダイムを意味するものと解釈してはなりません。オブジェクト指向モデルもライトウェイトディレクトリアクセスプロトコル（LDAP）[RFC4510]スキーマも意図されていません。著者は、モデルのコンポーネントの意図されたセマンティクスと構文を散文で記述しようとしました。たとえば、このモデルに基づくLDAPスキーマは、このモデルのセマンティクスを維持しながら、構文の表現がより正確になります。
Implementations of this document MAY decide to change the names used (e.g., principalName). If so, an implementation MUST provide a name-to-name mapping to this document. In particular, schema languages may have different typographical conventions, e.g., the use of an uppercase letter (as seen in camelCase) versus the use of '_' and '-' to separate 'words' in a name. Implementations MUST call out such conventions explicitly.
このドキュメントの実装は、使用される名前（principalNameなど）を変更することを決定する場合があります。もしそうなら、実装はこのドキュメントへの名前から名前へのマッピングを提供しなければなりません。特に、スキーマ言語の表記規則は異なる場合があります。たとえば、キャメルケースのように大文字を使用する場合と、名前の「単語」を区切るために「_」と「-」を使用する場合があります。実装はそのような規約を明示的に呼び出さなければなりません。
Implementations of this document MUST be able to support default values for attributes and have the ability to specify syntax for attribute values.
このドキュメントの実装は、属性のデフォルト値をサポートでき、属性値の構文を指定できる必要があります。
This document uses the standard key words ("MUST", "MUST NOT", "REQUIRED", "SHALL", "SHALL NOT", "SHOULD", "SHOULD NOT", "RECOMMENDED", "MAY", and "OPTIONAL") that are defined in [RFC2119], but with modifications to those definitions as described below. The reason for this (which was discussed extensively in the Kerberos working group) is as follows:
このドキュメントでは、標準のキーワード（「必須」、「必須」、「必須」、「必須」、「必須」、「必須」、「必須」、「推奨」、「可能」、「オプション」を使用しています"）[RFC2119]で定義されていますが、以下で説明するようにそれらの定義を変更しています。これの理由（これはKerberosワーキンググループで広く議論された）は次のとおりです。
This document describes an information model for Kerberos 5, but it does not directly describe any mapping onto a particular schema or modeling language. Hence, an implementation of this model consists of a mapping to such a language, e.g., an LDAP or SQL schema. Therefore, the standard normative key words require precise definition.
このドキュメントでは、Kerberos 5の情報モデルについて説明しますが、特定のスキーマまたはモデリング言語へのマッピングについては直接説明していません。したがって、このモデルの実装は、LDAPまたはSQLスキーマなどのそのような言語へのマッピングで構成されます。したがって、標準的な規範的なキーワードは正確な定義を必要とします。
The terms "MUST" and "REQUIRED" mean that a schema implementing this model must have a way to represent a feature (i.e., that it is mandatory to implement it in the schema), but that, unless otherwise specified, the feature may represent an optional element in the chosen schema definition language.
「MUST」および「REQUIRED」という用語は、このモデルを実装するスキーマが機能を表現する方法を持っている必要があることを意味します（つまり、スキーマに実装することは必須です）が、特に指定がない限り、機能は選択したスキーマ定義言語のオプションの要素。
However, "MUST" also means that a KDC or administrative interface implementing this information model has to provide the feature and associated behavior consistent with the schema.
ただし、「必須」は、この情報モデルを実装するKDCまたは管理インターフェースが、スキーマと整合性のある機能と関連する動作を提供する必要があることも意味します。
For instance, principalName (see Section 4.1.1.1) represents the name of a principal. In an LDAP schema (for instance), this may be represented as an optional attribute even though all KDCs implementing this specification must support this attribute.
たとえば、principalName（セクション4.1.1.1を参照）はプリンシパルの名前を表します。 LDAPスキーマ（たとえば）では、この仕様を実装するすべてのKDCがこの属性をサポートする必要がある場合でも、これはオプション属性として表されることがあります。
The terms "MAY" and "OPTIONAL" mean that it is optional for a KDC or administrative interface implementing this information model to implement this feature. These terms also mean that implementing the feature in the schema is optional.
「MAY」および「OPTIONAL」という用語は、この情報モデルを実装するKDCまたは管理インターフェースがこの機能を実装することはオプションであることを意味します。これらの用語は、スキーマへの機能の実装がオプションであることも意味します。
Implementers of the schema should be aware that, unless the schema definition can represent critical but optional elements, language confusion may arise when optional elements are used but not understood by all implementations in a particular deployment.
スキーマの実装者は、スキーマ定義が重要だがオプションの要素を表すことができない場合を除き、オプションの要素が使用されているが特定の展開のすべての実装で理解されていない場合、言語の混乱が生じる可能性があることに注意する必要があります。
The expression "MUST NOT be OPTIONAL" means that it is mandatory that a feature be implemented ("MUST" per the definition in [RFC2119]) and additionally that it must not be marked as optional in the schema language. In particular, this expression means that the feature is both mandatory to implement and must be present in all representations of the object to which it applies.
「MUST NOT BE OPTIONAL」という表現は、機能の実装が必須であり（[RFC2119]の定義に従って「MUST」）、さらに、スキーマ言語でオプションとしてマークされてはならないことを意味します。特に、この表現は、機能が実装に必須であり、適用されるオブジェクトのすべての表現に存在する必要があることを意味します。
The terms "SHOULD" and "RECOMMENDED" mean that the consequences of not implementing the feature as if it were described with the "MUST" keyword must be carefully weighed before choosing a different course. In particular, these terms imply that interoperability concerns may arise from not following the recommended practice in schema that implement this model.
「推奨」および「推奨」という用語は、「MUST」キーワードで説明されているかのように機能を実装しないことの影響を、別のコースを選択する前に慎重に検討する必要があることを意味します。特に、これらの用語は、このモデルを実装するスキーマで推奨されている慣例に従わないことが相互運用性の問題を引き起こす可能性があることを意味します。
Context will determine whether the "SHOULD" key word applies to the schema, to the underlying behavior of the KDC, or both. For instance, when this document states that principalIsDisabled (see Section 4.1.1.4) SHOULD default to FALSE, this statement implies both a recommendation for the behavior of KDCs as well as a recommendation for the representation of that behavior in schema.
コンテキストは、「SHOULD」キーワードがスキーマに適用されるか、KDCの基本的な動作に適用されるか、またはその両方に適用されるかを決定します。たとえば、このドキュメントで、principalIsDisabled（セクション4.1.1.4を参照）のデフォルトがFALSEである必要がある場合、このステートメントは、KDCの動作に関する推奨事項と、スキーマでのその動作の表現に関する推奨事項の両方を意味します。
The information model specified in Section 4 describes objects, their properties, and the relationships between the objects. These elements comprise an abstract view of the data represented in a KDC. It is important to understand that the information model is not a schema. In particular, the way objects are compared for equality beyond that which is implied by the specification of a syntax is not part of this specification, nor is the ordering specified between the elements of a particular syntax.
セクション4で指定された情報モデルは、オブジェクト、そのプロパティ、およびオブジェクト間の関係を記述します。これらの要素は、KDCで表されるデータの抽象的なビューを構成します。情報モデルはスキーマではないことを理解することが重要です。特に、構文の仕様によって暗示されるものを超えてオブジェクトが等しいかどうかを比較する方法は、この仕様の一部ではなく、特定の構文の要素間で指定される順序もありません。
Further work on Kerberos will undoubtedly prompt updates to this information model to reflect changes in the functions performed by the KDC. Such extensions to the information model should always use a normative reference to the relevant RFCs in detailing the change in KDC function.
Kerberosでさらに作業すると、KDCによって実行される機能の変更を反映するために、間違いなくこの情報モデルの更新が促されます。情報モデルへのこのような拡張では、KDC機能の変更の詳細を示すために、関連するRFCへの規範的な参照を常に使用する必要があります。
This model describes a number of elements related to password policy management. Not all of the elements in this model are unique to Kerberos. For example, an LDAP implementation of this model should incorporate existing LDAP schema where functional overlap exists, rather than defining additional Kerberos-specific elements.
このモデルでは、パスワードポリシー管理に関連するいくつかの要素について説明します。このモデルのすべての要素がKerberosに固有であるとは限りません。たとえば、このモデルのLDAP実装には、追加のKerberos固有の要素を定義するのではなく、機能の重複が存在する既存のLDAPスキーマを組み込む必要があります。
The fundamental entity stored in a KDC is the principal. The principal is associated with keys and generalizes the "user" concept. The principal MUST be implemented in full and MUST NOT be OPTIONAL in an implementation
KDCに格納されている基本エンティティがプリンシパルです。プリンシパルはキーに関連付けられ、「ユーザー」の概念を一般化します。プリンシパルは完全に実装する必要があり、実装ではオプションであってはなりません
The principalName MUST uniquely identify the principal within the administrative context of the KDC. The principalName MUST be equivalent to the string representation of the principal name (see Section 2.1.1 of [RFC1964]), including, if applicable for the name type, the realm.
principalNameは、KDCの管理コンテキスト内でプリンシパルを一意に識別する必要があります。 principalNameは、プリンシパル名の文字列表現（[RFC1964]のセクション2.1.1を参照）と同等である必要があります（名前タイプに該当する場合はレルムを含む）。
The attribute MAY be multivalued if the implementation supports aliases, enterprise names, or both. In this case, exactly one of the principalName values MAY be designated as the canonical principalName. If the implementation supports encryption types (enctypes) that require salt, exactly one of the values of principalName MAY be designated as the canonical salting principalName.
実装がエイリアス、エンタープライズ名、またはその両方をサポートしている場合、属性は複数値である可能性があります。この場合、principalName値の1つだけを正規のprincipalNameとして指定できます。実装がソルトを必要とする暗号化タイプ（enctypes）をサポートしている場合、principalNameの値の1つだけを正規のソルティングprincipalNameとして指定できます（MAY）。
Implementations (i.e., schema) that support enterprise names, aliases, or both, SHOULD provide for efficient lookup of principal objects based on the alias or enterprise name.
エンタープライズ名、エイリアス、またはその両方をサポートする実装（つまり、スキーマ）は、エイリアスまたはエンタープライズ名に基づいてプリンシパルオブジェクトの効率的なルックアップを提供する必要があります（SHOULD）。
The principal MUST NOT be used before this date. The syntax of the attribute MUST be Internet date/time format from [RFC3339]. The attribute MUST be single-valued.
プリンシパルは、この日付より前に使用してはなりません。属性の構文は、[RFC3339]のインターネット日付/時刻形式である必要があります。属性は単一値でなければなりません。
The principal MUST NOT be used after this date. The syntax of the attribute MUST be Internet date/time format from [RFC3339]. The attribute MUST be single-valued.
この日付以降は、本人を使用してはなりません。属性の構文は、[RFC3339]のインターネット日付/時刻形式である必要があります。属性は単一値でなければなりません。
A boolean attribute used to disable a principal. The attribute SHOULD default to boolean FALSE.
プリンシパルを無効にするために使用されるブール属性。属性はデフォルトでブール値FALSEに設定する必要があります（SHOULD）。
This single-valued attribute contains the time of the last successful change of credentials (e.g., password or private key) associated with this principal. The syntax of the attribute MUST be Internet date/time format from [RFC3339].
この一価属性には、このプリンシパルに関連付けられている資格情報（パスワードや秘密鍵など）が最後に正常に変更された時刻が含まれています。属性の構文は、[RFC3339]のインターネット日付/時刻形式である必要があります。
This single-valued attribute contains the time and date when this principal was created. The syntax of the attribute MUST be Internet date/time format from [RFC3339].
この一価属性には、このプリンシパルが作成された日時が含まれます。属性の構文は、[RFC3339]のインターネット日付/時刻形式である必要があります。
This single-valued attribute contains the time and date when this principal was last modified, excluding changes to credentials. The syntax of the attribute MUST be Internet date/time format from [RFC3339].
この一価属性には、このプリンシパルが最後に変更された日時が含まれます（資格情報の変更は除く）。属性の構文は、[RFC3339]のインターネット日付/時刻形式である必要があります。
This single-valued attribute contains the time, in seconds, representing the maximum lifetime of a ticket issued for this principal.
この一価属性には、このプリンシパルに対して発行されたチケットの最大存続期間を表す時間（秒単位）が含まれています。
This single-valued attribute contains the delta time, in seconds, representing the maximum amount of time a ticket may be renewed for this principal.
この一価属性には、デルタタイム（秒単位）が含まれ、このプリンシパルのチケットが更新される最大時間を表します。
This OPTIONAL multivalued attribute lists the enctypes allowed for this principal. If empty or absent, any enctype supported by the implementation is allowed for this principal.
このオプションの複数値属性は、このプリンシパルに許可されるenctypeをリストします。空または存在しない場合、実装でサポートされているすべてのenctypeがこのプリンシパルに許可されます。
This attribute is intended as a policy attribute and restricts all uses of enctypes, including server, client, and session keys. Data models MAY choose to use policy objects in order to represent more complex decision mechanisms.
この属性はポリシー属性として意図されており、サーバー、クライアント、セッションキーを含むenctypeのすべての使用を制限します。データモデルは、より複雑な決定メカニズムを表すために、ポリシーオブジェクトの使用を選択する場合があります。
Each principal MAY be associated with 0 or more KeySets and MAY be associated with 0 or more Policies. The KeySet is represented as an object in this model, because it has attributes associated with it (the key version number). In typical situations, the principal is associated with exactly one KeySet, but implementations MUST NOT assume this case. That is, an implementation of this standard MUST be able to handle the general case of multiple KeySets associated with each principal. Multiple KeySets may, for instance, be useful when performing a key rollover for a principal.
各プリンシパルは0以上のキーセットに関連付けられてもよく（MAY）、0以上のポリシーに関連付けられてもよい（MAY）。 KeySetには属性（鍵バージョン番号）が関連付けられているため、このモデルではKeySetはオブジェクトとして表されます。通常の状況では、プリンシパルは1つのKeySetに関連付けられていますが、実装ではこのケースを想定してはなりません。つまり、この標準の実装は、各プリンシパルに関連付けられた複数のKeySetの一般的なケースを処理できなければなりません（MUST）。たとえば、プリンシパルのキーロールオーバーを実行する場合、複数のKeySetが役立つことがあります。
In Kerberos, principals are associated with zero or more symmetric secret keys, and each key has a key version number (kvno) and an enctype. In this model, we group keys by kvno into KeySet objects. A principal can have zero or more KeySet objects associated with it, each of which MUST have one or more keys. Each KeySet is associated with exactly one principal. A schema derived from this model MAY lack a direct analogue of KeySet, as described in this document.
Kerberosでは、プリンシパルは0個以上の対称秘密鍵に関連付けられており、各鍵には鍵バージョン番号（kvno）とenctypeがあります。このモデルでは、kvnoによってキーをKeySetオブジェクトにグループ化します。プリンシパルは、それに関連付けられた0個以上のKeySetオブジェクトを持つことができ、それぞれに1つ以上のキーが必要です。各KeySetは、厳密に1つのプリンシパルに関連付けられています。このドキュメントで説明されているように、このモデルから派生したスキーマには、KeySetの直接の類似体がない場合があります。
It is expected that most Kerberos implementations will use a special-purpose interface for setting and changing principal passwords and keys.
ほとんどのKerberos実装では、プリンシパルのパスワードとキーの設定と変更に専用インターフェースを使用することが予想されます。
If a server supports an enctype for a principal, that enctype must be present in at least one key for the principal in question. For any given enctype, a KeySet MUST NOT contain more than one key with that enctype.
サーバーがプリンシパルのenctypeをサポートする場合、そのenctypeは問題のプリンシパルの少なくとも1つのキーに存在している必要があります。特定のenctypeについて、KeySetにはそのenctypeを持つ複数のキーを含めてはなりません（MUST NOT）。
The security of Kerberos 5 depends absolutely on the confidentiality and integrity of the key objects stored in the KDC. Implementations of this standard MUST facilitate, to the extent possible, an administrator's ability to place more restrictive access controls on KeySets than on other principal data, and to arrange for more secure backup for KeySets.
Kerberos 5のセキュリティは、KDCに格納されているキーオブジェクトの機密性と整合性に完全に依存しています。この標準の実装は、可能な限り、管理者が他の主要データよりもKeySetに制限の厳しいアクセス制御を配置し、KeySetのより安全なバックアップを準備する能力を促進する必要があります。
The key version number. This is a single-valued attribute containing a non-negative integer. This number is incremented by one each time a key in the KeySet is changed.
鍵バージョン番号。これは、負でない整数を含む単一値の属性です。この数は、KeySetのキーが変更されるたびに1ずつ増加します。
Each KeySet MUST be associated with a set of one or more Keys.
各KeySetは、1つ以上のキーのセットに関連付けられている必要があります。
Implementations of this model MUST NOT force keys to be represented. That is, a schema that REQUIRED a key to be present would not meet this constraint.
このモデルの実装は、キーを強制的に表現してはなりません。つまり、存在するキーを必要とするスキーマは、この制約を満たしません。
The enctype SHOULD be represented as an enumeration of the enctypes supported by the KDC using the string name ("encryption type") of the enctype from the IANA registry of Kerberos Encryption Type Numbers. One example is "aes128-cts-hmac-sha1-96".
enctypeは、Kerberos暗号化タイプ番号のIANAレジストリからのenctypeの文字列名（「暗号化タイプ」）を使用して、KDCによってサポートされるenctypeの列挙として表されるべきです（SHOULD）。 1つの例は「aes128-cts-hmac-sha1-96」です。
The binary representation of the key data. This MUST be a single-valued octet string.
キーデータのバイナリ表現。これは単一値のオクテット文字列でなければなりません。
The binary representation of the key salt. This MUST be a single-valued octet string.
キーソルトのバイナリ表現。これは単一値のオクテット文字列でなければなりません。
This MUST be a single-valued octet string representing an opaque parameter associated with the enctype. This parameter is specified using the string-to-key method defined in Section 3 of [RFC3961].
これは、enctypeに関連付けられた不透明なパラメータを表す単一値のオクテット文字列である必要があります。このパラメータは、[RFC3961]のセクション3で定義されている文字列からキーへの方法を使用して指定されます。
The key MUST NOT be used before this date. The syntax of the attribute MUST be semantically equivalent to the standard ISO date format ([RFC3339]). This attribute MUST be single-valued.
この日付より前にキーを使用してはなりません。属性の構文は、意味的に標準ISO日付形式（[RFC3339]）と同等でなければなりません。この属性は単一値である必要があります。
The key MUST NOT be used after this date. The syntax of the attribute MUST be semantically equivalent to the standard ISO date format ([RFC3339]). This attribute MUST be single-valued.
この日付以降はキーを使用しないでください。属性の構文は、意味的に標準ISO日付形式（[RFC3339]）と同等でなければなりません。この属性は単一値である必要があります。
This is a boolean attribute that SHOULD be set to FALSE by default. If this attribute is TRUE, the key MUST NOT be used. The keyIsDisabled attributed is used to temporarily disable a key.
これはブール属性であり、デフォルトでFALSEに設定する必要があります。この属性がTRUEの場合、キーを使用してはなりません（MUST NOT）。 keyIsDisabled属性は、キーを一時的に無効にするために使用されます。
None
なし
The security of the keys is an absolute requirement for the operation of Kerberos 5. If keys are implemented, adequate protection from unauthorized modification and disclosure MUST be available and is REQUIRED of the implementation.
鍵のセキュリティは、Kerberos 5の操作の絶対的な要件です。鍵が実装されている場合、不正な変更と開示からの適切な保護が利用可能である必要があり、実装が必要です。
Implementations SHOULD implement policies, but MAY allow them to be OPTIONAL. The policy should be thought of as a "typed hole", i.e., as an opaque binary value paired with an identifier of the type of data contained in the binary value. Both attributes (type and value) must be present.
実装はポリシーを実装する必要があります（SHOULD）が、ポリシーをオプションにすることを許可する場合があります。ポリシーは「型付きホール」、つまり、バイナリ値に含まれるデータのタイプの識別子とペアになった不透明なバイナリ値と考える必要があります。両方の属性（タイプと値）が存在する必要があります。
The policyIdentifier MUST be globally unique. Possible types of identifiers include:
policyIdentifierはグローバルに一意である必要があります。可能な識別子のタイプは次のとおりです。
o An Object Identifier (OID) [RFC4517]
o オブジェクト識別子（OID）[RFC4517]
o A URI [RFC3986]
o あ うり 「ＲＦＣ３９８６」
o A UUID [RFC4122]
o UUID [RFC4122]
Implementations of this specification are expected to assign globally unique identifiers to the list of the standard policy below in accordance with best practices for identifier management for the schema language used.
この仕様の実装では、使用されるスキーマ言語の識別子管理のベストプラクティスに従って、グローバルに一意の識別子を以下の標準ポリシーのリストに割り当てることが期待されています。
This boolean attribute indicates that the KDC MUST be able to correctly interpret and apply the policy for the principal to be used.
このブール属性は、KDCが使用するプリンシパルのポリシーを正しく解釈および適用できる必要があることを示します。
This optional single opaque binary value is used to store a representation of the policy. In general, a policy cannot be fully expressed using attribute-value pairs. The policyContent is OPTIONAL in the sense that an implementation MAY use it to store an opaque value for the policy types that are not directly representable in that implementation.
このオプションの単一の不透明なバイナリ値は、ポリシーの表現を格納するために使用されます。一般に、ポリシーは属性と値のペアを使用して完全に表現することはできません。 policyContentは、実装で直接使用できないポリシータイプの不透明な値を格納するために実装を使用できるという意味でOPTIONALです。
This optional single enumerated string value is used to describe the use of the policy. Implementations SHOULD provide this attribute and MUST (if the attribute is implemented) describe the enumerated set of possible values. The intent is that this attribute provide an initial context-based filtering.
このオプションの単一列挙ストリング値は、ポリシーの使用を説明するために使用されます。実装はこの属性を提供する必要があり（SHOULD）、（属性が実装されている場合）可能な値の列挙されたセットを記述しなければなりません（MUST）。この属性は、この属性が初期のコンテキストベースのフィルタリングを提供することを目的としています。
All implementations that represent policy objects MUST be able to represent the policies listed in this section. Implementations are not required to use the same underlying data representation for the policyContent binary value, but SHOULD use the same OIDs as the policyIdentifier. In general, the expression of policy may require a Turing-complete language. This specification does not attempt to model policy-expression language.
ポリシーオブジェクトを表すすべての実装は、このセクションにリストされているポリシーを表すことができる必要があります。実装では、policyContentバイナリ値に同じ基本データ表現を使用する必要はありませんが、policyIdentifierと同じOIDを使用する必要があります（SHOULD）。一般に、ポリシーの表現にはチューリング完全な言語が必要な場合があります。この仕様は、ポリシー式言語をモデル化しようとするものではありません。
Password quality policy controls the requirements placed by the KDC on new passwords.
パスワード品質ポリシーは、KDCが新しいパスワードに課す要件を制御します。
Password management policy controls how passwords are changed.
パスワード管理ポリシーは、パスワードの変更方法を制御します。
A keying policy specifies the association of enctypes with new principals. For example, when a principal is created, one of the applicable keying policies is used to determine the set of keys to associate with the principal.
キーイングポリシーは、enctypeと新しいプリンシパルとの関連付けを指定します。たとえば、プリンシパルが作成されると、該当するキーイングポリシーの1つを使用して、プリンシパルに関連付けるキーのセットが決定されます。
A ticket flag policy specifies the ticket flags allowed for tickets issued for a principal.
チケットフラグポリシーは、プリンシパルに対して発行されたチケットに許可されるチケットフラグを指定します。
There are several ways to implement an administrative service for Kerberos 5 based on this information model. In this section, we list a few of them.
この情報モデルに基づいて、Kerberos 5の管理サービスを実装する方法はいくつかあります。このセクションでは、それらのいくつかをリストします。
Given an LDAP schema implementation of this information model, it would be possible to build an administrative service by backending the KDC to a directory server where principals and keys are stored. Using the security mechanisms available on the directory, server keys are protected from access by anyone apart from the KDC. Administration of the principals, policy, and other non-key data is done through the directory server, while the keys are modified using the set/change password protocol [PASSWORD].
この情報モデルのLDAPスキーマ実装を前提として、プリンシパルとキーが格納されているディレクトリサーバーにKDCをバックエンドすることにより、管理サービスを構築することが可能です。ディレクトリで使用可能なセキュリティメカニズムを使用して、サーバーキーはKDC以外のユーザーによるアクセスから保護されます。プリンシパル、ポリシー、その他の非キーデータの管理はディレクトリサーバーを介して行われ、キーはパスワードの設定/変更プロトコル[PASSWORD]を使用して変更されます。
An alternative way to provide a directory interface to the KDC is to implement an LDAP frontend to the KDC that exposes all non-key objects as entries and attributes. As in the example above, all keys are modified using the set/change password protocol [PASSWORD]. In this scenario, the implementation would typically not use a traditional LDAP implementation, but would treat LDAP as a protocol to access data in the native KDC database.
KDCにディレクトリインターフェースを提供する別の方法は、エントリと属性としてすべての非キーオブジェクトを公開するLDAPフロントエンドをKDCに実装することです。上記の例のように、すべてのキーは、パスワードの設定/変更プロトコル[PASSWORD]を使用して変更されます。このシナリオでは、実装は通常、従来のLDAP実装を使用しませんが、ネイティブKDCデータベース内のデータにアクセスするためのプロトコルとしてLDAPを扱います。
Given an XML schema implementation of this information model, it would be possible to build a SOAP interface to the KDC. This situation demonstrates the value of creating an abstract information model that is mappable to multiple schema representations.
この情報モデルのXMLスキーマ実装を前提として、KDCへのSOAPインターフェースを構築することが可能です。この状況は、複数のスキーマ表現にマッピング可能な抽象情報モデルを作成することの価値を示しています。
Given a YAML (YAML Ain't Markup Language) implementation of this information model, it would be possible to create a NETCONF-based interface to the KDC, enabling management of the KDC from standard network management applications.
この情報モデルのYAML（YAML Ai n't Markup Language）実装を考えると、KDCへのNETCONFベースのインターフェースを作成して、標準のネットワーク管理アプリケーションからKDCを管理できるようにすることができます。
This document describes an abstract information model for Kerberos 5. The Kerberos 5 protocol depends on the security of the keys stored in the KDC. The model described here assumes that keys MUST NOT be transported in the clear over the network and furthermore that keys be treated as write-only attributes that SHALL be modified (using the administrative interface) only by the change-password protocol [PASSWORD].
このドキュメントでは、Kerberos 5の抽象的な情報モデルについて説明します。Kerberos5プロトコルは、KDCに格納されているキーのセキュリティに依存します。ここで説明するモデルは、キーがネットワーク上で平文で転送されてはならず（MUST NOT）、さらにキーが書き込み専用属性として扱われ、変更パスワードプロトコル[パスワード]によってのみ（管理インターフェースを使用して）変更される必要があることを前提としています。
Exposing the object model of a KDC typically implies that objects can be modified, deleted, or both. In a KDC, not all principals are created equal. For instance, deleting krbtgt/EXAMPLE.COM@EXAMPLE.COM effectively disables the EXAMPLE.COM realm. Hence, access control is paramount to the security of any implementation. This document does not mandate access control. This situation implies only that access control is beyond the scope of the standard information model, i.e., that access control may not be accessible via any protocol based on this model. If access control objects are exposed via an extension to this model, the presence of access control may in itself provide points of attack by giving away information about principals that have elevated rights.
KDCのオブジェクトモデルを公開すると、通常、オブジェクトの変更、削除、またはその両方が可能になります。 KDCでは、すべてのプリンシパルが等しく作成されるわけではありません。たとえば、krbtgt / EXAMPLE.COM @ EXAMPLE.COMを削除すると、EXAMPLE.COMレルムは事実上無効になります。したがって、アクセス制御は実装のセキュリティにとって最も重要です。このドキュメントはアクセス制御を義務付けていません。この状況は、アクセス制御が標準情報モデルの範囲を超えていること、つまり、このモデルに基づくプロトコルを介してアクセス制御にアクセスできない可能性があることのみを意味します。アクセス制御オブジェクトがこのモデルの拡張機能を介して公開されている場合、アクセス制御の存在自体が、昇格した権限を持つプリンシパルに関する情報を提供することにより、攻撃ポイントを提供する可能性があります。
The author wishes to extend his thanks to Love Hoernquist-Aestrand and Sam Hartman for their important contributions to this document.
このドキュメントへの重要な貢献をしてくれたLove Hoernquist-AestrandとSam Hartmanに感謝します。
[RFC1964] Linn, J., "The Kerberos Version 5 GSS-API Mechanism", RFC 1964, June 1996.
[RFC1964] Linn、J。、「The Kerberos Version 5 GSS-API Mechanism」、RFC 1964、1996年6月。
[RFC2119] Bradner, S., "Key words for use in RFCs to Indicate Requirement Levels", BCP 14, RFC 2119, March 1997.
[RFC2119] Bradner、S。、「要件レベルを示すためにRFCで使用するキーワード」、BCP 14、RFC 2119、1997年3月。
[RFC3339] Klyne, G., Ed. and C. Newman, "Date and Time on the Internet: Timestamps", RFC 3339, July 2002.
[RFC3339]クライン、G、エド。 C.ニューマン、「インターネット上の日付と時刻：タイムスタンプ」、RFC 3339、2002年7月。
[RFC3961] Raeburn, K., "Encryption and Checksum Specifications for Kerberos 5", RFC 3961, February 2005.
[RFC3961] Raeburn、K。、「Kerberos 5の暗号化とチェックサムの仕様」、RFC 3961、2005年2月。
[RFC3986] Berners-Lee, T., Fielding, R., and L. Masinter, "Uniform Resource Identifier (URI): Generic Syntax", STD 66, RFC 3986, January 2005.
[RFC3986] Berners-Lee、T.、Fielding、R。、およびL. Masinter、「Uniform Resource Identifier（URI）：Generic Syntax」、STD 66、RFC 3986、2005年1月。
[RFC4120] Neuman, C., Yu, T., Hartman, S., and K. Raeburn, "The Kerberos Network Authentication Service (V5)", RFC 4120, July 2005.
[RFC4120] Neuman、C.、Yu、T.、Hartman、S。、およびK. Raeburn、「The Kerberos Network Authentication Service（V5）」、RFC 4120、2005年7月。
[RFC4122] Leach, P., Mealling, M., and R. Salz, "A Universally Unique IDentifier (UUID) URN Namespace", RFC 4122, July 2005.
[RFC4122] Leach、P.、Mealling、M。、およびR. Salz、「Universally Unique IDentifier（UUID）URN Namespace」、RFC 4122、2005年7月。
[RFC4517] Legg, S., "Lightweight Directory Access Protocol (LDAP): Syntaxes and Matching Rules", RFC 4517, June 2006.
[RFC4517] Legg、S。、「Lightweight Directory Access Protocol（LDAP）：Syntaxes and Matching Rules」、RFC 4517、2006年6月。
[PASSWORD] Williams, N., "Kerberos Set/Change Key/Password Protocol Version 2", Work in Progress, November 2008.
[PASSWORD]ウィリアムズN。、「Kerberos Set / Change Key / Password Protocol Version 2」、Work in Progress、2008年11月。
[RFC4510] Zeilenga, K., "Lightweight Directory Access Protocol (LDAP): Technical Specification Road Map", RFC 4510, June 2006.
[RFC4510] Zeilenga、K。、「Lightweight Directory Access Protocol（LDAP）：Technical Specification Road Map」、RFC 4510、2006年6月。
Author's Address
著者のアドレス
Leif Johansson Swedish University Network Thulegatan 11 Stockholm Sweden
Leif Johansson Swedish University Network Thulegatan 11ストックホルムスウェーデン
EMail: leifj@sunet.se
URI: http://www.sunet.se