لماذا لا يغطي رمز واحد دخول Wi-Fi وVPN وسجل الحاويات

يعِد الدخول الموحّد بهوية واحدة وأسئلة أقل، لكن الوعد ينكسر عند البروتوكول الثالث. الفخ هو افتراض أن مصادقة ناجحة واحدة تُنتج رمزاً يمكن لكل بروتوكول آخر أن يقدّمه. دخول Wi-Fi ودخول VPN وسجل حاويات يجري كل منها تبادلاً مختلفاً، بجمهورين وأعمار مختلفة. مشاركة الحساب قرار يخص الدليل؛ ومشاركة بيانات الاعتماد قرار يخص البروتوكول، والبروتوكولات نادراً ما تتفق.

ثلاثة تبادلات، ثلاثة مالكين

يشغّل Wi-Fi المؤسسي طريقة EAP داخل 802.1X، ينهيها عادةً خدمة RADIUS لها رؤيتها الخاصة للمستخدم أو الجهاز. تصادق بوابة VPN عبر تدفقها المدعوم الخاص ثم تحتفظ بجلسة بمؤقت إعادة مصادقة خاص بها. ويجيب السجل طلباً غير مصادق عليه بتحدٍّ يسمّي خدمة رموز وجمهوراً ونطاقاً، فيبادل العميل بيانات اعتماده برمز قصير العمر.

ليست هذه ثلاث رؤى لجلسة واحدة. لكل منها مدققها الخاص وعمرها الخاص ومسار إبطالها الخاص، ولهذا يمكن لتغيير كلمة مرور في الدليل أن يترك أحدها يعمل والآخر معطلاً. تعامل معها كثلاث عمليات تكامل تصادف أنها تتشارك دليل مستخدمين.

ما يحمله SSO في المتصفح وما لا يحمله

جلسة متصفح عند مزوّد هوية مفيدة حقاً: التطبيقات التي تعيد التوجيه إليه ترث تسجيل الدخول الذي أنجزه المستخدم بالفعل. ينجح ذلك لأن تلك التطبيقات تتحدث بروتوكولات إعادة التوجيه والرموز نفسها وتقبل الجمهور نفسه. أما الملتمِس الذي يتحدث EAP فليس لديه إعادة توجيه يتبعها، وعميل Docker الذي يتلقى تحدّي السجل لا يطلب رمز هوية OIDC. ولا يستطيع مزوّد الهوية أن يضمن إلا البروتوكولات التي بُني للنطق بها.

من السهل رؤية الفشل في السجلات متى عرفت أين تنظر. يبلّغ مزوّد الهوية عن تسجيل دخول ناجح بينما يفشل اقتران Wi-Fi، أو يعيد السجل الرمز 401 بعد تبادل رمز لم يره المتصفح قط. نجاحان وفشل واحد ليسا تناقضاً؛ إنها ثلاث مصادقات منفصلة.

حيث تحل الشهادة محل رمز متكرر

بالنسبة إلى الأجهزة المُدارة، يزيل EAP القائم على الشهادات الخطوة البشرية دون إزالة الهوية: يقدّم الجهاز شهادة، وتتحقق خدمة RADIUS منها مقابل الجهة المُصدرة، ويحدث الإبطال عند تلك الجهة بدلاً من سر مشترك. المقابل هو عمل دورة حياة، لأن الشهادات تنتهي صلاحيتها ويجب تجديدها قبل ذلك.

للسجلات انقسام مكافئ. يمكن للمستخدم التفاعلي أن يسجّل الدخول مرة واحدة ويترك مساعد بيانات الاعتماد يخزّن الرمز الناتج، بينما يجب أن تستخدم الأتمتة بيانات اعتماد خدمة بنطاق ضيق أو هوية عبء عمل. ولا ينبغي لأي منهما أن يكون رمزاً لمرة واحدة لمستخدم بشري منسوخاً في خط أنابيب. يخزّن المساعد رمزاً لجمهور سجل محدد، فلا يمكن إعادة توجيهه إلى بوابة VPN بتعديل ملف إعداد.

docker login registry.example.com

قارن كلفة الصيانة، لا عدد الأسئلة

تبدو بيانات الاعتماد المشتركة رخيصة لأن العمل غير مرئي حتى يفشل. احسب بدلاً من ذلك كلفة كل خيار على مدار عام: التسجيل والتجديد والإبطال ونطاق أثر التسرب وعدد الأنظمة التي تُمس عندما يغادر أحدهم. أسطول الشهادات يكلف أكثر في البناء وأقل في التشغيل على نطاق واسع؛ أما الرمز المنسوخ فلا يكلف شيئاً للبدء ويكلف كل شيء للتفكيك.

اختر بعد ذلك لكل مسار على حدة بدلاً من الاختيار الشامل. يمكن لـWi-Fi أن ينتقل إلى الشهادات، ويمكن لـVPN أن يحتفظ بـSSO المدعوم مع MFA، ويمكن للسجل أن يستخدم رموزاً بنطاقات صريحة. سجّل المالك والجمهور والنطاق والانتهاء ومسار الإبطال لكل منها، فتقع الأسئلة حيث يجب بدلاً من كل مكان دفعة واحدة. وهذا السجل هو أيضاً الجواب عندما يسأل مدقق أي الأنظمة ما زالت تثق بكلمة مرور.