Kunt u het principe van Single Sign-On in een Windows Server-omgeving uitleggen?

Single Sign-On (SSO) in een Windows Server-omgeving wordt meestal geïmplementeerd met behulp van Active Directory en het Kerberos-protocol. Het werkingsprincipe is als volgt:

1. De gebruiker voert zijn inloggegevens één keer in bij het aanmelden bij het Windows-domein.
2. Windows krijgt een ticket van de Kerberos-dienst, dat de authenticatie van de gebruiker bevestigt.
3. Bij het toegang krijgen tot andere bronnen binnen het domein (bijvoorbeeld bestandsservers, webapplicaties, e-mailservices) stuurt het systeem automatisch dit ticket door, waardoor toegang wordt verleend zonder opnieuw het wachtwoord in te voeren.

Op deze manier vereenvoudigt SSO het werk van de gebruiker en verhoogt het de beveiliging, doordat het de noodzaak van meerdere wachtwoordinvoeren wegneemt en het risico op onderschepping vermindert.

Voorbeeld: bij het inloggen op Windows met een domeinaccount ontvangt de gebruiker een Kerberos Ticket Granting Ticket (TGT). Wanneer hij toegang krijgt tot een beveiligde bron, vraagt de client automatisch een service ticket aan en gebruikt deze voor toegang.