Niyə bir OTP Wi-Fi, VPN və registry-ni əhatə edə bilmir

Vahid giriş bir kimlik və daha az sorğu vəd edir, amma vəd üçüncü protokolda pozulur. Tələ isə budur ki, bir uğurlu autentifikasiya bütün digər protokolların təqdim edə biləcəyi token yaradır. Wi-Fi girişi, VPN girişi və konteyner registry-si hər biri fərqli auditoriya və ömürlərlə fərqli mübadilə aparır. Hesabı paylaşmaq kataloq qərarıdır; etimad məlumatını paylaşmaq protokol qərarıdır və protokollar nadir hallarda razılaşır.

Üç mübadilə, üç sahib

Korporativ Wi-Fi 802.1X daxilində EAP metodunu işlədir, adətən istifadəçi və ya cihaz haqqında öz baxışı olan RADIUS xidməti tərəfindən bağlanır. VPN şlüzü öz dəstəklənən axını ilə autentifikasiya edir və sonra öz yenidən autentifikasiya taymeri olan sessiya saxlayır. Registry isə autentifikasiya olunmamış sorğuya token xidmətini, auditoriyanı və əhatə dairəsini göstərən çağırışla cavab verir və müştəri etimad məlumatını qısaömürlü tokenlə dəyişir.

Bunlar bir sessiyanın üç görünüşü deyil. Hər birinin öz yoxlayıcısı, öz ömrü və öz ləğv yolu var, buna görə kataloqda parol dəyişikliyi birini işlək, digərini sınıq qoya bilər. Onlara sadəcə istifadəçi kataloqunu paylaşan üç inteqrasiya kimi yanaşın.

Brauzer SSO nə daşıyır, nə daşımır

Kimlik provayderində brauzer sessiyası həqiqətən faydalıdır: ora yönləndirən tətbiqlər istifadəçinin artıq tamamladığı girişi miras alır. Bu işləyir, çünki həmin tətbiqlər eyni yönləndirmə və token protokollarını danışır və eyni auditoriyanı qəbul edir. EAP danışan supplicant-ın izləyəcəyi yönləndirmə yoxdur və registry çağırışı alan Docker müştərisi OIDC ID tokeni istəmir. Kimlik provayderi yalnız danışmaq üçün qurulduğu protokollara zəmanət verə bilər.

Uğursuzluğu loglarda görmək asandır, sadəcə hara baxmalı olduğunuzu bilin. Kimlik provayderi uğurlu giriş bildirir, halbuki Wi-Fi assosiasiyası hələ də alınmır, ya da registry brauzerin heç görmədiyi token mübadiləsindən sonra 401 qaytarır. İki uğur və bir uğursuzluq ziddiyyət deyil; bunlar üç ayrı autentifikasiyadır.

Sertifikat təkrar kodu harada əvəz edir

İdarə olunan cihazlar üçün sertifikat əsaslı EAP kimliyi çıxarmadan insan addımını çıxarır: cihaz sertifikat təqdim edir, RADIUS xidməti onu verən orqana qarşı yoxlayır və ləğv paylaşılan sirrdə deyil, həmin orqanda baş verir. Qarşılığında həyat dövrü işi tələb olunur, çünki sertifikatların müddəti bitir və bitməzdən əvvəl yenilənməlidir.

Registry-lərin bərabər bölgüsü var. İnteraktiv istifadəçi bir dəfə giriş edib nəticə tokeni etimad köməkçisinin saxlamasına imkan verə bilər, avtomatlaşdırma isə dar əhatəli xidmət etimad məlumatı və ya iş yükü kimliyindən istifadə etməlidir. Heç biri boru xəttinə köçürülmüş insanın birdəfəlik kodu olmamalıdır. Köməkçi konkret registry auditoriyası üçün token saxlayır, ona görə konfiqurasiya faylını redaktə etməklə onu VPN şlüzünə yönəltmək mümkün deyil.

docker login registry.example.com

Sorğu sayını deyil, texniki xidmət xərcini müqayisə edin

Paylaşılan etimad məlumatı ucuz görünür, çünki iş uğursuz olana qədər görünməzdir. Əvəzində hər variantın bir il ərzində nəyə başa gəldiyini hesablayın: qeydiyyat, yeniləmə, ləğv, sızmanın təsir radiusu və kimsə ayrılanda toxunulan sistemlərin sayı. Sertifikat donanması qurmaq üçün baha, miqyasda istismar üçün ucuzdur; köçürülmüş kod başlamaq üçün heç bir şeyə, açmaq üçün hər şeyə başa gəlir.

Sonra qlobal deyil, hər ayaq üzrə seçin. Wi-Fi sertifikatlara keçə bilər, VPN MFA ilə dəstəklənən SSO-nu saxlaya bilər, registry isə açıq əhatə dairəli tokenlərdən istifadə edə bilər. Hər biri üçün sahibi, auditoriyanı, əhatə dairəsini, bitmə vaxtını və ləğv yolunu qeyd edin və sorğular bir anda hər yerdə deyil, lazım olan yerdə düşəcək. Bu qeyd həm də auditor hansı sistemlərin hələ də parola etibar etdiyini soruşanda cavabdır.