2.7. Transited Policy Checking (経由ポリシーチェック)

Kerberos では, アプリケーションサーバーが最終的に認証を受け入れるか拒否するかについて責任があり, プリンシパルを認証するために適切に信頼された KDC のみが依存されていることをチェックすべきです (SHOULD)。

チケットの経由フィールド (transited field) は:

認証プロセスに関与したレルム (したがって KDC) を識別します
通常, アプリケーションサーバーによってチェックされるべきです
レルムベースのポリシーによって決定される, 示されたクライアントプリンシパルを認証するために信頼されていないレルムがある場合, 認証試行は拒否されなければなりません (MUST)
このリストに信頼された KDC が存在することは保証を提供しません。信頼されていない KDC がリストを捏造した可能性があります

エンドサーバーが最終的に認証が有効かどうかを決定しますが, エンドサーバーのレルムの KDC は以下を行う場合があります (MAY):

経由フィールドを検証するためのレルム固有のポリシーを適用します
クロスレルム認証のためのクレデンシャルを受け入れます
KDC がそのようなチェックを適用し, クロスレルム認証を受け入れる場合, サービスチケットに TRANSITED-POLICY-CHECKED フラグを設定します

クライアントは, DISABLE-TRANSITED-CHECK フラグを設定することで, KDC が経由フィールドをチェックしないように要求できます (MAY)
KDC はこのフラグを尊重することが推奨されますが, 必須ではありません

アプリケーションサーバーは次のいずれかを行わなければなりません (MUST):

完全な技術的詳細については, RFC 4120 セクション 2.7 を参照してください。

2.7. Transited Policy Checking (経由ポリシーチェック)​