本节讨论设置以上Kerberos配置所需的步骤。
如果试图连接的用户与其凭证保存在Kerberos缓存中的用户不一致，将发生身份验证错误。
如果此时SSO还不能正常工作，请继续验证下一节提到的所有Kerberos先决条件。
Kerberos为网络用户提供了一种安全的身份验证手段，是最流行的身份验证机制之一。
它是唯一一个支持Kerberos认证和带有活动目录服务器的LDAP（此类东西）的后端。
在服务器接收客户端的请求而客户端不支持Kerberos身份验证的网络中，必须使用NTLM身份验证。
Kerberos是一种身份验证协议，它使用‘票据’验证未受保护的网络中的用户的身份。
在Kerberos安装中，每个实体（在服务器上运行的单个用户、计算机和服务）都拥有一个与之相关联的主体。
但身份验证服务在Kerberos中只是密钥分发服务的一个组成部分。
解决方案：Kerberos身份验证协议要求服务器和客户机之间的时钟差不大于5分钟。
这将删除现有会话，然后强制建立新会话并接收Kerberos票证。
在下一个页面中，将域名设置为kerberos-realm，选择Other作为域类型，然后单击Next，如图10所示。
它有助于管理员限制向这台AIX客户机机器的用户颁发的Kerberos票据的生命期。
除了客户端C和E之外，其他所有客户端都可以与Kerberos服务器通信，不需要任何修改。
安装期间，WindowsSharePointServices将在您的服务器上禁用Internet信息服务中的Kerberos身份验证。
Kerberos身份验证协议是一种安全协议，用于验证数据以帮助确保用户和网络服务均是安全的。
Kerberos用户信息存储在一个数据库中（在遗留的配置中常常是文件系统中的文件）。
然后详细介绍了分布式安全领域所使用的一般技术，以及Kerberos。
作为Kerberos互操作性的一部分，大多数Kerberos实现都支持一种称为跨领域配置的思想。
另外，AIX支持在LDAP目录中存储常用的用户信息以及相关的Kerberos和LDAP属性。
Kerberos在本质上包含一个称为Kerberos身份验证协议（KAP）的复杂过程。
KerberosV5和NTLM用于服务器身份验证，也就是向客户端验证“消息队列”服务器。
如果一个领域中的KDC要对另一个领域中的Kerberos用户进行身份验证，它就必须与另一个领域中的KDC共享密钥。
因此，提供细粒度控制可以增强Kerberos凭证的可管理性，这是另一个升级理由。
理想的情况下，配置客户机机器，这样登录过程要求用户在登录时提供Kerberos凭证。
一旦身份得到验证，KERBEROS协议给这两台计算机提供密匙，以进行安全通讯对话。
Kerberos假设域中所有机器的锁在允许的时间相位限制内是紧密同步的。
但是，这预示着存在配置问题，并将禁止使用Kerberos身份验证。
主体（Principals）和策略（policies）是Kerberos设置中的主要管理实体。