Jak wymusić wygaśnięcie ticketa kerberosowego TGT użytkownika bez żądania wylogowania i ponownego zalogowania administracyjnie z linii poleceń?
Możemy zerwać sesje (które ponownie się same zestawią) ale chodzi o to, żeby nie żądać od użytkownika ponownego logowania się.
Zdaje się, że niestety implementacja Kerberos w Windows nie przewiduje możliwości wymuszenia wcześniejszego wygaśnięcia raz przyznanego TGT.
Tutaj znajdziesz artykuł opisujący ten stan rzeczy.
Ten artykuł mówi tylko, że KILE nie weryfikuje cyklicznie ticketa TGT (więc nie zauważy wyłączenia konta użytkownika) jeśli 'session ticket request' dotyczy innej zaufanej domeny.
Nie ma tu mowy o narzędziach dla admina do wymuszenia wygaśnięcia ticketa. Z artykułu wynika, że disable konta użytkownika zadziała w czasie do 10 godzin (to domyślna wartość życia ticketa TGT) i dopiero przy próbie jego przedłużenia KDC zauważy, że konto jest wyłączone i nie przedłuży jego ważności.
Ale znalazłem info, że polecenie klist ma opcję tgt purge.
Pozostaje kwestia:
No i druga kwestia - jak "odświeżyć" TGT komputera bez restartu (po zmianie jego członkostw w grupach)?
Nie wspomniałem o klist purge ponieważ nie spełniał założeń - według nich mamy to wykonać bez wylogowywania użytkownika.
@3 - Tak. Zdaje się, że użycie purge nie usunie tokenu, którym np. posługuje się uruchomiony proces explorer.exe, w tym celu po użyciu purge należałoby go zrestartować aby zaaplikować zmiany - co według mnie jest w zasadzie równoważne wymuszeniu przelogowania użytkownika.
@2: AFAIK klist wyczyści token jedynie z poziomu lokalnej maszyny.
Ciągle nie mam jasności.
Po usunięciu TGT nowe klucze sesji będą tworzone na postawie nowego ticketu z aktualną listą SID i o to mi chodzi.
