Mac Kerberos SSO və VPN: iki giriş yolunu müqayisə edin

İki mexanizm Mac-da eyni dost görünən nəticəni verir, amma alt qatda tamamilə fərqli davranır. Biri SSO genişlənməsi vasitəsilə Kerberos biletləri əldə edib onları iştirakçı tətbiqlərə verir. Digəri kimlik provayderi ilə brauzer sessiyası saxlayır və veb tətbiqlərin ona əməl etməsinə imkan verir. Onlar şəbəkədə nəyə ehtiyac duyduqlarına, mandatlarının nə qədər davam etdiyinə və tunel düşdüyü anda nə baş verdiyinə görə fərqlənirlər.

İki mexanizm, bir giriş ekranı

Bilet əsaslı yol Kerberos domenindən, açar paylama mərkəzindən və onunla razılaşan saatdan asılıdır. Brauzer yolu isə əlçatan kimlik provayderindən, kukidən və ya tokendən və həmin buraxıcıya güvənən tətbiqdən asılıdır. Hər ikisi giriş zamanı başlamaq üçün konfiqurasiya edilə bilər, buna görə də onları eyni funksiya sanırlar. Hansına üstünlük verəcəyinə tətbiqlər qərar verir və Mac qanuni olaraq hər ikisini eyni vaxtda işlədə bilər.

Onları müqayisə etmək üçün istifadəçi tətbiqi açanda nəyin yoxlanıldığını soruşun. Kerberos domeninə qoşulmuş fayl xidməti xidmət bileti istəyir və heç bir brauzer sessiyası onu qane etməyəcək. Müasir kimlik provayderinin arxasındakı veb tətbiq həmin provayderin tokenini istəyir və Kerberos biletinə tamamilə məhəl qoymur. Hansı yoxlamanın baş verdiyini bildikdən sonra yerləşdirmə sualları ümumi deyil, konkret olur.

Kerberos genişlənməsinin şəbəkədə nəyə ehtiyacı var

Apple-ın Kerberos SSO genişlənməsi təlimatı lokal hesablarla, domen bağlantısı yerinə, proaktiv bilet əldə etməklə yerli Active Directory autentifikasiyasını təsvir edir. Edə bilmədiyi şey domen nəzarətçilərinə yol uydurmaqdır. Mac-a Kerberos xidmət qeydlərini cavablandıran bir həlledici və onlara təsdiqlənmiş tunel vasitəsilə çatan marşrut lazımdır. Təmiz quraşdırılan profil, domen müştəridən həqiqətən kəşf edilənə qədər heç nə sübut etmir.

Mandatları yoxlamadan əvvəl kəşfi yoxlayın: Kerberos domeni üçün SRV qeydləri həll olunmalı və qaytardıqları ünvanlara VPN işə düşdükdən sonra çatmaq mümkün olmalıdır. Vaxt əlçatanlıq qədər vacibdir, çünki Kerberos dözüm həddindən artıq sürüşmüş saatdan gələn sorğuları rədd edir və yaratdığı xəta autentifikasiya nasazlığına bənzəyir. Tunel söndüyü halda vaxt mənbəyinə çata bilməyən Mac geri döndüyü anda yenidən uğursuz olacaq. Saat mənbəyini insident cavabı kimi deyil, yerləşdirmənin bir hissəsi kimi düzəldin.

klist
sudo sntp -sS time.apple.com

Tətbiq başına VPN genişlənmənin işləyə biləcəyini müəyyən edir

Tam tunel hər şeyi marşrutlaşdırır və bu problemi gizlədir. Tətbiq başına konfiqurasiya yalnız VPN profilində adları çəkilən tətbiqləri marşrutlaşdırır, SSO genişlənməsi isə biletləri götürmək üçün şəbəkəyə ehtiyac duyan bir prosesdir. Əgər xəritələmədə deyilsə, lokal giriş uğurlu olur, brauzer üçün tunel qalxır və bilet əldə etmə yenə də uğursuz olur.

VPN konfiqurasiyasını oxuyun və onun əhatə etməli olduğu hər tətbiqi siyahıya alın, sonra SSO komponentini bundle identifikatorunu təxmin etməklə deyil, sənədləşdirilmiş xəritələmə mexanizmi ilə əlavə edin. Görünən müştərini xəritələyib arxasındakı komponenti yox saymaq bu səhvin klassik variantıdır. Xəritələməni genişlənmə ilə eyni idarə olunan profildə saxlayın ki, birindəki dəyişiklik digərini səssizcə etibarsız etməsin. Heç vaxt həmin Mac-da daxil olmamış istifadəçi ilə sınaqdan keçirin, çünki keşlənmiş bilet pozulmuş yolu sağlam göstərə bilər, sonra şifrə dəyişikliyindən sonra yenidən sınayın.

Brauzer kimlik sessiyası başqa bir müqavilədir

Brauzer sessiyasının Kerberos domeni, xidmət bileti və Kerberos mənasında saat dözümü yoxdur. Onun buraxıcısı, token ömrü və yeniləmə yolu var, nasazlıq rejimləri isə heç vaxt tamamlanmayan yönləndirmələr və gizli pəncərənin atdığı kukilərdir. Onu bilet yolunun əvəzi kimi qəbul etmək yalnız tətbiqin özü həmin buraxıcını qəbul etdiyi yerdə təhlükəsizdir. VPN portalından autentifikasiya cavabını əlaqəsiz xidmətə köçürmək inteqrasiya deyil, qısa yol nə qədər rahat görünsə də.

Hər iki mexanizm yerləşdirildikdə, hansı tətbiqin hansını istifadə etdiyini sənədləşdirin, çünki dəstək söhbəti bundan asılıdır. Daxil olduğunu, amma fayl paylaşımını aça bilmədiyini bildirən istifadəçi iki sistemi təsvir edir və cavab bilet yolunun heç vaxt işləmədiyidir. Paylaşımı açıb intranet portalını aça bilməyən istifadəçi isə əksini təsvir edir və biletdə mexanizmin adını çəkmək bir raund sual qənaət edir.

Ardıcıllığı gəzin, hissələri yox

Bütün zənciri adi qeydiyyatdan keçmiş hesabla gəzin: lokal giriş, tunel, bilet əldə etmə, sonra xidmətə qarşı bir real əməliyyat. Bunu tunel yenidən qoşulduqdan sonra və qəsdən şifrə dəyişikliyindən sonra təkrarlayın, çünki bu halların hər biri ömür məntiqinin fərqli hissəsini işə salır. Hər mərhələnin ayrıca keçməsi zəncirin işləməsi ilə eyni deyil. Zəncir istifadəçinin yaşadığı şeydir və qəbul testinin əhatə etməli olduğu da elə budur.

Profil sahibini, VPN autentifikasiya metodunu, domen kəşf yolunu və genişlənmənin tətbiq xəritələməsini bir yerdə qeyd edin. Bu qeyd axını onu qurmayan biri üçün təkrar istehsal oluna bilən edən şeydir. Sonra ən çox rastlaşacağınız nasazlığı yoxlayın, tunel söndüyü halda vaxtı keçmiş bileti, və müştərinin yenidən başlatmadan bərpa olduğunu təsdiqləyin, çünki yalnız soyuq başlanğıcdan işləyən yerləşdirmə bitməmişdir.

Hər mərhələnin sahibini də qeyd edin, çünki heç kimin qayğı göstərmədiyi Kerberos domeni köhnəlmiş bir domenə çevrilir. Heç kimin təsvir edə bilmədiyi zəncir, heç kimin sazlayı bilmədiyi zəncirdir.