تبادل کلید رمزنگاری موقع جوین کردن یه کلاینت به دامین توسط ادمین

خیلی ممنونم مرسی ، پس خلاصه این میشه اولین پیام AS-req ، فقط اسم یوزر و تایم استمپ و ... اطلاعات غیر حساس فرستاده میشه ( به صورت غیر رمزنگاری ) ، AS دریافت می کنه نگاه می کنه این اسم یوزر رو ، می بینه پسورد هش شده اش که ذخیره داره از قبل چی هستش .  یه کلید جدید میاد برای ارتباط های آینده میسازه به اسم session key خود این کلید با پسورد هش شده رمز نگاری می کنه به همراه TGT می فرسته سمت کلاینت .  میرسه کلاینت رمزگشایی میشه و از این به بعد کلید ارتباطات این session key هست . احراز هویت انجام میشه و کلاینت میخواد سرویس دامین کنترلر ارتباط برقرار کنه ، یه بلیط TGS میره از KDC دوباره می گیره و دریافت می کنه .  و تمام ، با سرویس دامین کنترلر ارتباط می گیره و DC کامپیوتر اکانت میسازه و یه پسورد برای حساب کامپیوتری ایجاد می کنه .  حالا دوباره میخواد این پسورد بفرسته سمت کلاینت با session key رمز نگاری می کنه و می گیره و هر دو سمت ارتباط می گیرن .   مهم ترین کلید توی کربروس یا اولین کلید همون هش پسورد ادمین که کلید متقارن موقت هر دو سمت هم کلاینت و هم AS باید داشته باشن .  یعنی نقطه شروع از این کلید هستش بعد ها تغییر می کنه و جایگزین میشه . مرسی . 

با سلام
بله تمام مواردی که فرمودید صحیح میباشد.
 اولین کلید که برای رمزنگاری صرفا موقت استفاده میشه پسورد هش شده ادمین هست ، این جمله درسته ؟ بله درسته

آیا جوین شدن کلاینت به کامپیوتر از پروتکل kerberos استفاده میشه  بله از kerberos  استفاده میشود

آره استاد ، فکر می کنم یه ذره هم مشکله این قضیه که یه نفر تنهایی بخواد بشینه پشت هر سیستم و با یوزر نیم و پسورد وارد کردن عضو دامین شون کنه اصلا . مثلا 50 تا کامپیوتر تنهایی بخواد جوین کنه نمیشه ، یا اصلا فرض کنیم اون ادمین اصلا یه کاری پیش اومد کلا یه مدت رفت یه شهر دیگه ، هیچ کلاینت دیگه نمی تونه جوین بشه ( البته اینو نمی دونم امکان از راه دور جوین کردن هست یا نه ) 
منطقی پس  بگیم هر یوزر که جوین شد بتونه ده تا عضو کنه و همینجوری مسئولیت گردن یه نفر دیگه نیست . 

از راه دور هم میشه سیستم ها رو به دامین join کرد.

بله میشه. هر یوزری توی دامین بصورت پیشفرض تا ۱۰ تا کامپیوتر رو میتونه به دامین join کنه. در ضمن ، از لحاظ امنیتی پیشنهاد هم نمیشه که با یوزر ادمین دامین کلاینت ها رو به دامین جوین کنید.

سلام دوست عزیز ، شما نیاز نیست که حتما با استفاده از یوزر ادمین کلاینت ها رو به دامین join کنید ، شما با همه یوزر های ساخته شده توی Active Directory هم میتونید این کار رو انجام بدید. 

عه !! ، من فکر می کردم استاد فقط یوزر که عضو گروه دامین ادمین حق جوین کردن کلاینت ها به دامین داره .
دوره ها نگاه می کردیم همیشه می گفتن یوزر که ادمین میاد عضو می کنه . 
با همه یوزر ها میشه کلاینت جوین اکتیو دایرکتوری کرد واقعا ؟!  یعنی من به عنوان یه کلاینت عادی و معمولی که قبلا جوین دامین شدم و ادمین نیستم ، می تونم کلاینت های دیگه عضو دامین کنم !!! 

سلام مهندس کریم پور از راه دور هم join کردن  مثل زمانی هست که پشت سیستم هستیم ؟؟؟

متوجه منظورتون نشدم ولی اگه منظورتون روش انجام ابن کار هست خیر ، هم بصورت گرافیکی و هم خط فرمانی هم میشه بصورت ریموت کلاینت رو به دامین join کرد. از اونجا که تعداد زیادی کامپیوتر رو از راه دور join میکنن از روش Powershell استفاده می کنن.