12Криптографические протоколы

Клиент, который намерен делегировать свои права на получение билета для доступа к серверу высшего уровня, должен запросить у службы KDC передаваемый билет TGT. Это делается с помощью подпротокола AS Exchange. В запрос обязательно включается имя сервера, который будет представлять клиента. Если политика Kerberos допускает использование передаваемых билетов, служба KDC генерирует билет TGT на доступ данного клиента к серверу высшего уровня, выставляет в нем флаг FORWARDABLE и в таком виде направляет клиенту. Клиент, в свою очередь, пересылает полученный билет TGT тому серверу, с которым работает непосредственно.

Этот сервер, направляя билет на сервер высшего уровня, представляет в службу KDC билет TGT, полученный от клиента. Обнаружив в нем флаг FORWARDABLE, центр управления билетами выставляет в новом билете флаг FORWARDED и возвращает его первому серверу.