ケルベロス認証
その後ユーザがレルム内にあるプリンシパルAが提供しているサービスを利用したくなったら、ユーザのクライアント端末はTGTをAのサービスを使いたい旨とともにTGSに送る。この際の通信はクライアント/TGSセッション鍵で共通鍵暗号化しておく。TGSはTGTの正当性を確認し、チケットという、Aのサービスを利用する許可証をクライアント端末に送り、さらにAとの通信で用いるセッション鍵もクライアント端末に送る。
チケットに記載された有効期限内にチケットを(セッション鍵で暗号化して)プリンシパルAに送れば、クライアント端末はAの提供するサービスを利用できる。
以上のようにKerberosでは、ユーザがID/パスワードを使うのは最初にASから認証を受ける時だけ、以後はTGTを使って(TGSから)認証を受ける。このようにID/パスワードの利用を最小限に抑える事で、Kerberosではパスワードの漏洩を防いでいる。
またクライアント端末がプリンシパルAのサービスを使うためにAから認証を受ける際には、ASから受け取ったTGTを直接プリンシパルAに送信する事はしていない。その代わりに一旦権限者であるTGSにTGTを送ることで認証を受けてから、Aへのアクセスのみに利用できるチケットを発行してもらい、このチケットをAに送信する事でAの認証を受け、サービスを利用する。このような方法を取るのは、TGTを直接Aに送ってしまうと、AがTGTを使ってユーザになりすまして別のプリンシパルBのサービスを利用する事ができてしまうからである。