Kerberos Authentication Ticket Lifetime (TGT/TGS) Optimizasyonu ve Yenileme Politikaları

Kerberos, Active Directory ortamlarında kullanıcı ve servis kimlik doğrulamasını yöneten güvenli bir protokoldür. Kerberos’un temel işleyişi, kimlik doğrulama bileti (ticket) sistemi üzerine kuruludur: TGT (Ticket Granting Ticket) ve TGS (Ticket Granting Service). Bu biletlerin yaşam süresi (lifetime) ve yenileme politikaları, hem güvenlik hem performans açısından kritik öneme sahiptir. Bu makalede, TGT ve TGS sürelerini nasıl optimize edeceğinizi, yenileme politikalarını nasıl yapılandıracağınızı ve kurumsal ortamlar için en iyi uygulamaları açıklıyoruz.

1. Kerberos Kimlik Doğrulama Mantığı

Bir kullanıcı Active Directory alanına giriş yaptığında, etkileşim üç temel aşamada gerçekleşir:

1. Kullanıcı, KDC (Key Distribution Center)’dan kimlik doğrulaması alır ve TGT (Ticket Granting Ticket) elde eder.
2. Kullanıcı, TGT’yi kullanarak belirli bir servisten TGS (Ticket Granting Service Ticket) talep eder.
3. TGS bileti ile hedef servise (örneğin dosya sunucusu, SQL Server, IIS vb.) erişim sağlanır.

2. TGT (Ticket Granting Ticket) Nedir?

TGT, kullanıcının KDC tarafından doğrulandığını gösteren, kimlik doğrulama sürecinin merkezinde yer alan bir bilettir. Kullanıcı oturumu boyunca yeniden parola sormadan servis erişimini sağlar.

• Varsayılan ömrü: 10 saat
• Yenileme süresi (Renewable lifetime): 7 gün

Bu süreler, ortamın güvenlik politikalarına göre değiştirilebilir.

3. TGS (Service Ticket) Nedir?

TGS bileti, belirli bir servise erişim sağlamak için kullanılır. Örneğin, kullanıcı bir paylaşıma erişirken TGS sunucuya gönderilir. Her servis için ayrı TGS üretilir.

• Varsayılan ömrü: 600 dakika (10 saat)
• TGS süresi, TGT süresini aşamaz.

4. TGT ve TGS Ömürlerini Görüntüleme

PowerShell veya CMD ile mevcut bilet bilgilerini kontrol edebilirsiniz:

klist

Detaylı Kerberos bileti bilgileri için:

klist sessions

5. Kerberos Ticket Sürelerini Değiştirme

Active Directory Group Policy üzerinden ayar yapılır:

GPMC.msc → Default Domain Policy → Computer Configuration → Policies → Windows Settings → Security Settings → Account Policies → Kerberos Policy

Buradaki ayarlar:

• Maximum lifetime for user ticket: (TGT) – varsayılan 10 saat
• Maximum lifetime for service ticket: (TGS) – varsayılan 10 saat
• Maximum lifetime for user ticket renewal: (Renewable lifetime) – varsayılan 7 gün

6. PowerShell Üzerinden Kerberos Politika Ayarı

Doğrudan PowerShell ile Kerberos policy değerleri görüntülenebilir veya değiştirilebilir:

# Mevcut değerleri göster
Get-ADDomain | Select-Object -Property Kerberos* 

# Yeni değer atama (örnek)
Set-ADDomain -KerberosPolicy @{MaxTicketAge="8:00:00"; MaxRenewAge="5.00:00:00"}

7. Optimizasyon İçin En İyi Uygulamalar

• Kritik sunucular için kısa TGT süreleri (ör. 4 saat) önerilir.
• Uzun TGT süreleri, yüksek oturum yoğunluğuna sahip kullanıcı ortamlarında tercih edilebilir (ör. call center).
• Renewable lifetime çok uzun tutulmamalıdır; 7 gün güvenli bir dengedir.
• Yönetim hesaplarında (Domain Admins) TGT süresi kısa tutulmalı (2–4 saat).

8. TGT Yenileme Süreci

Yenileme (Renewal), TGT süresi bitmeden önce otomatik olarak yeni TGT talep edilmesidir. Kullanıcı oturumu kesilmeden devam eder. Ancak yenileme süresi dolduysa kullanıcı tekrar kimlik doğrulaması yapmalıdır.

Otomatik Yenileme Denetimi:

klist tgt

9. Kerberos Log ve İzleme

Kerberos loglarını analiz ederek ticket yenileme ve başarısız kimlik doğrulama olaylarını izleyebilirsiniz:

Event Viewer → Windows Logs → Security → Event ID 4768, 4769, 4770

• 4768: TGT isteniyor
• 4769: TGS isteniyor
• 4770: Ticket yenilendi

10. Performans ve Güvenlik Dengesi

Kerberos ticket yaşam süresi ayarlarında temel prensip, kimlik doğrulama yükü ile güvenlik riski arasındaki dengeyi sağlamaktır. Çok kısa ticket süreleri, fazla KDC yükü oluşturabilir; çok uzun ticket süreleri ise kimlik hırsızlığı riskini artırır.

Önerilen Standartlar:

Sonuç

Kerberos TGT/TGS yaşam süresi ve yenileme politikaları, domain güvenliğinin görünmeyen ancak en kritik yapı taşlarındandır. Uygun ayarlarla, hem kimlik doğrulama performansı optimize edilir hem de çalıntı biletlerin kullanım penceresi minimize edilir. Özellikle HostLigo Windows Sunucu altyapılarında bu ayarların dikkatle uygulanması, kurumsal Active Directory güvenliğini üst seviyeye taşır.