クラウドKerberos認証のオブジェクトの役割

• Cloud Kerberos 信頼デプロイ ガイド
• Microsoft Entra ID を使用してオンプレミスのリソースへのパスワードレス セキュリティ キー サインインを有効にする

の記載を読む限り、AzureADKerberos Entra は Entra ID 側で必要となる Active Directory の TGT の発行対象となるコンピューター アカウント・krbtgt_AzureAD は Microsoft Entra Kerberos サーバーの TGT 暗号化キーの保持場所となるユーザー アカウントとして利用されるようですね。

さらに詳しい情報が必要であれば、英語版 Q&A への投稿をお勧めします。

https://learn.microsoft.com/en-us/answers/

こんにちは

AzureADKerberos は、ユーザーが Azure AD を認証し、オンプレミスの Active Directory ドメイン用の Kerberos チケット付与チケット (TGT) を取得できるようにする Kerberpos 構成です。

krbtgt_AzureAD は、Microsoft Entra Kerberos サーバー TGT 暗号化キーを保持するユーザーアカウントオブジェクトです。このアカウントは、FIDO2 セキュリティキーのような最新のクレデンシャルを使用して、パスワードレス認証とオンプレミスリソースへのシームレスなシングルサインオン (SSO) を可能にするために重要です。

https://learn.microsoft.com/en-us/entra/identity/authentication/howto-authentication-passwordless-security-key-on-premises*********************

回答が参考になった場合は、「回答を承認する」をクリックし、アップボートしてください。

チャブーンです。

この件ですが、まず実際の認証方法(のシーケンス)は以下の資料を参考になさってください。(クラウド Kerberos 信頼を使用したハイブリッド参加認証のMicrosoft Entra)

https://learn.microsoft.com/ja-jp/windows/security/identity-protection/hello-for-business/how-it-works-authentication#microsoft-entra-hybrid-join-authentication-using-cloud-kerberos-trust

対象の2つのオブジェクトですが、オンプレミスにおける(ローカルの)ドメインコントローラーと、trbtgtアカウントに相当します。オンプレミスでは、ドメインコントローラー上で動作するKDCからクライアントはTGTチケットを受け取ります。その際ktbtgtアカウントが必要になります。

Entra IDでKerberos認証を行う場合も、Entra IDのための同様のしくみを用意する必要があります。それがAzureADKerberosとkrbtgt_AzureADアカウントになります。オンプレミスのドメインコントローラーやkrbtgtがクラウド用のTGTを代わりに払い出したりすることは、セキュリティ上できません。そのため、クラウドKerberosの払い出し用のアカウントが、個別に必要となります。

AzureADKerberosはRODC(読み取り専用ドメインコントローラー)として、動作します。RODCは自分自身は資格情報(パスワード)を持たず、権威あるドメインコントローラーから情報を取得します。オンプレミスなら書き込み可能ドメインコントローラー(RWDC)が対象ですが、クラウドの場合はEntra IDテナントがその対象になります。