Ydy SSO VPN yn mewngofnodi defnyddwyr i apiau mewnol yn awtomatig?

Gall un mewngofnodiad gwmpasu'r twnnel a'r apiau y tu ôl iddo, ond dim ond pan fo gan bob ap ei ymddiriedaeth ei hun. Dyma'r drefn i'w gysylltu a'i brofi.

Mae porth VPN sy'n dilysu drwy ddarparwr hunaniaeth yn profi un peth: bod y darparwr wedi gwarantu dros ddefnyddiwr gerbron y porth. Nid yw'n rhoi tystlythyrau i'r defnyddiwr hwnnw ar gyfer wici'r intranet, y dangosfwrdd monitro na'r gweinydd adeiladu. Mae'r gwasanaethau hynny'n mewngofnodi pobl drwy eu ffederasiwn eu hunain ac yn cymhwyso eu hawdurdodiad eu hunain, a'r twnnel yn unig sy'n penderfynu pa becynnau all gyrraedd atynt.

Tair sesiwn, tair penderfyniad ar wahân

Cadwch y cyflyrau ar wahân, oherwydd mae pob un yn dod i ben ar ei amserlen ei hun. Sesiwn VPN yw derbyniad y porth o hunaniaeth ynghyd â'r mynediad rhwydwaith a roddwyd. Sesiwn porwr y darparwr hunaniaeth yw'r hyn y mae'r porwr yn dal i'w gadw ar gyfer y darparwr hwnnw ac y gall ei ailddefnyddio o dan ei bolisi. Mae sesiwn yr ap yn perthyn i un gwasanaeth a ddilysodd ymateb a gyfeiriwyd ato.

Mae cymysgu'r cyflyrau hyn yn cynhyrchu'r cwestiwn anghywir, fel arfer wedi'i lunio fel pam nad yw'r twnnel yn mewngofnodi'r defnyddiwr ym mhobman. Ail-eiriwch ef: pa ap sydd heb gofnod ffederasiwn, pa un sy'n gwrthod y defnyddiwr, a pha un sydd heb lwybr. Gall un anogwr mewngofnodi sy'n agor yr ap intranet fownsio'n ôl i'r darparwr o hyd, oherwydd mae'r ail ailgyfeiriad yn gais awdurdodi newydd ar gyfer cynulleidfa wahanol.

Cysylltwch y porth fel ei ap ei hun

Cofrestrwch y VPN fel ap cymeradwy yn y darparwr, gyda'i ddangosydd ei hun, URI ailgyfeirio a neilltuo defnyddwyr. Yna penderfynwch pa awdurdodiadau rhwydwaith y mae'r mewngofnodiad hwnnw'n eu rhoi, gan mai polisi VPN yw hynny yn hytrach na nodwedd darparwr. Mae defnyddwyr na ddylent gyrraedd ond y is-rwydwaith monitro yn cael polisi porth gwahanol, nid cyfrinair gwahanol.

Nid yw ymateb dilysu'r twnnel yn dystlythyr y gellir ei ailddefnyddio. Mae tocynnau ID OIDC yn cario hawliad cynulleidfa sy'n enwi'r cleient y cawsant eu bathu ar ei gyfer, ac mae honiadau cludo SAML yn cyfyngu'r gynulleidfa i'r darparwr gwasanaeth sy'n derbyn. Mae ail wasanaeth sy'n derbyn ymateb y gwasanaeth cyntaf wedi'i gamgyfweddau, ac nid integreiddio yw copio tocyn i ap arall.

Cofrestrwch bob ap mewnol, yna gosodwch gyd-destun y porwr

Mae angen y gwerthoedd SAML neu OIDC a gefnogir ar bob gwasanaeth: dyroddwr, dangosydd cleient, URL galwad yn ôl neu ddefnyddiwr honiad, hawliadau gofynnol a neilltuo. Daw cyrhaeddedd ar ben hynny, oherwydd nid yw gwiriadau hunaniaeth byth yn darparu llwybr nac ateb DNS.

  1. Crëwch y cofnod ap a chadarnhewch fod yr ID endid neu gleient yn cyd-fynd â'r hyn y mae'r ap yn ei anfon.
  2. Cofrestrwch yr URL galwad yn ôl union, gan gynnwys cynllun a phorth; mae agos ati yn methu ar ôl i'r defnyddiwr ddilysu.
  3. Neilltuwch y defnyddwyr neu'r grwpiau, yna cadarnhewch fod yr hawliadau gofynnol yn cael eu rhyddhau.
  4. Caniatäu pwyntiau terfyn y darparwr hunaniaeth yn ogystal â'r ap preifat, neu ni all yr ailgyfeiriad gwblhau.

Mae cyd-destun y porwr yn penderfynu a ailddefnyddir sesiwn darparwr sy'n bodoli eisoes. Gall cleient brodorol sy'n agor porwr y system rannu'r cyflwr hwnnw, tra na all golygfa fewnosod gyda'i jar cwcis ei hun fel arfer. Mae porwr newydd, ffenestri preifat a thrydydd proffil i gyd yn dechrau o ddim, sy'n ddisgwyliedig yn hytrach na chyfluniad SSO wedi torri.

Rhedwch y llif a darllenwch ble y mae'n stopio

Atgynhyrchwch gyda phanel rhwydwaith y porwr a gwyliwch y gadwyn ailgyfeirio. Mae taith ddefnyddiol yn dilyn un naid ar y tro: porth i ddarparwr, darparwr yn ôl i'r ap gyda chod neu honiad, ap i bwynt terfyn tocynnau'r darparwr, sesiwn ap wedi'i dyroddi. Mae'r naid lle mae'r gadwyn yn stopio yn enwi'r gydran i'w thrwsio.

Mae dau wirâd llinell orchymyn yn setlo'r amheuon arferol, ac mae'r ddau yn ddiogel i'w rhedeg o westeiwr gweinyddu:

curl -s https://idp.example.com/.well-known/openid-configuration | jq -r '.authorization_endpoint, .token_endpoint'
curl -sI https://app.example.net/ | grep -iE '^(HTTP/|location:)'

Pan fo'r metadata yn rhestru pwyntiau terfyn na chofrestrwyd erioed, mae'r ap yn pwyntio at deiliad neu ddyroddwr gwahanol. Pan fo'r cais cyntaf i'r ap yn ateb 302 i westeiwr annisgwyl, cyfluniad ffederasiwn yr ap yw'r lle i edrych, nid proffil VPN.

Trwsiwch anogwyr drwy ddarganfod pwy ofynnodd

Nid yw ail anogwr cyfrinair yn ddiffyg yn awtomatig. Gall yr ap ofyn am lefel sicrwydd uwch, neu gall y darparwr orfodi oedran sesiwn uchaf a her newydd. Mae dileu'r gofynion hynny i wneud y llif yn dawelach yn gwanhau rheolaeth fwriadol, felly sefwch pa gydran a ofynnodd cyn newid polisi.

Yna penderfynwch beth i'w wella. Os daw'r anogwr o'r ap, trwsiwch ei gofnod ffederasiwn. Os daw o'r darparwr yn ôl polisi, dogfennwch y gofyniad. Os yw'r ap yn un na ellir ei gyrraedd ar ôl mewngofnodi llwyddiannus, llwybrau'r twnnel yw'r drwgdybiaeth, oherwydd mae hunaniaeth a chyflenwi pecynnau yn methu mewn gwahanol leoedd ac yn edrych yn debyg o sedd y defnyddiwr.

Erthyglau cysylltiedig