Kerberos-SSO und VPN am Mac: die zwei Anmeldewege vergleichen

Zwei Mechanismen liefern am Mac dasselbe freundliche Ergebnis und verhalten sich darunter völlig unterschiedlich. Der eine holt Kerberos-Tickets über eine SSO-Erweiterung und reicht sie an teilnehmende Anwendungen weiter. Der andere hält eine Browsersitzung bei einem Identitätsanbieter und lässt Webanwendungen sie anerkennen. Sie unterscheiden sich darin, was sie im Netz brauchen, wie lange ihre Anmeldeinformationen gelten und was in dem Moment geschieht, in dem der Tunnel zusammenbricht.

Zwei Mechanismen, ein Anmeldebildschirm

Der ticketbasierte Weg hängt von einer Kerberos-Domäne, einem Schlüsselverteilungszentrum und einer Uhr ab, die mit ihr übereinstimmt. Der Browserweg hängt von einem erreichbaren Identitätsanbieter, einem Cookie oder Token und einer Anwendung ab, die diesem Aussteller vertraut. Beide lassen sich so konfigurieren, dass sie bei der Anmeldung starten, weshalb sie für dieselbe Funktion gehalten werden. Die Anwendungen entscheiden, welchen der beiden sie akzeptieren, und ein Mac kann beide legitim gleichzeitig betreiben.

Vergleichen Sie sie, indem Sie fragen, was die Anwendung prüft, wenn ein Benutzer sie öffnet. Ein Dateidienst, der der Kerberos-Domäne beigetreten ist, will ein Serviceticket, und keine Browsersitzung wird ihn zufriedenstellen. Eine Webanwendung hinter einem modernen Identitätsanbieter will dessen Token und ignoriert das Kerberos-Ticket vollständig. Sobald man weiß, welche Prüfung stattfindet, werden die Bereitstellungsfragen konkret statt allgemein.

Was die Kerberos-Erweiterung im Netz braucht

Apples Leitfaden zur Kerberos-SSO-Erweiterung beschreibt die native Active-Directory-Authentifizierung mit proaktiver Ticketerfassung, gepaart mit lokalen Konten statt einer Domänenbindung. Was sie nicht kann, ist einen Weg zu den Domänencontrollern zu erfinden. Der Mac braucht einen Resolver, der die Kerberos-Diensteinträge beantwortet, und eine Route, die sie durch den genehmigten Tunnel erreicht. Ein Profil, das sich sauber installiert, beweist nichts, bis die Domäne tatsächlich vom Client aus entdeckt werden kann.

Prüfen Sie die Entdeckung, bevor Sie die Anmeldeinformationen prüfen: Die SRV-Einträge für die Kerberos-Domäne müssen sich auflösen, und die Adressen, die sie zurückgeben, müssen erreichbar sein, sobald das VPN steht. Die Zeit ist ebenso wichtig wie die Erreichbarkeit, denn Kerberos weist Anforderungen von einer Uhr ab, die über seine Toleranz hinaus abgewichen ist, und der erzeugte Fehler sieht wie ein Authentifizierungsfehler aus. Ein Mac, der keine Zeitquelle erreicht, solange der Tunnel unten ist, wird in dem Moment wieder scheitern, in dem er zurückkommt. Beheben Sie die Zeitquelle als Teil der Bereitstellung und nicht als Reaktion auf einen Vorfall.

klist
sudo sntp -sS time.apple.com

Per-App-VPN entscheidet, ob die Erweiterung arbeiten kann

Ein voller Tunnel leitet alles weiter und verbirgt dieses Problem. Eine Konfiguration pro App leitet nur die im VPN-Profil genannten Anwendungen weiter, und die SSO-Erweiterung ist selbst ein Prozess, der das Netz braucht, um Tickets zu holen. Steht sie nicht in der Zuordnung, gelingt die lokale Anmeldung, der Tunnel kommt für den Browser hoch, und die Ticketerfassung scheitert trotzdem.

Lesen Sie die VPN-Konfiguration und listen Sie jede Anwendung auf, die sie abdecken soll, und fügen Sie dann die SSO-Komponente über den dokumentierten Zuordnungsmechanismus hinzu, statt eine Bundle-ID zu raten. Den sichtbaren Client zuzuordnen und nicht die Komponente dahinter ist die klassische Variante dieses Fehlers. Halten Sie die Zuordnung im selben verwalteten Profil wie die Erweiterung, damit eine Änderung an der einen nicht stillschweigend die andere ungültig macht. Testen Sie mit einem Benutzer, der sich auf diesem Mac noch nie angemeldet hat, denn ein zwischengespeichertes Ticket kann einen defekten Weg gesund aussehen lassen, und testen Sie danach erneut nach einer Passwortänderung.

Eine Browser-Identitätssitzung ist ein anderer Vertrag

Eine Browsersitzung hat keine Kerberos-Domäne, kein Serviceticket und keine Uhrtoleranz im Kerberos-Sinn. Sie hat einen Aussteller, eine Token-Lebensdauer und einen Erneuerungspfad, und ihre Ausfallarten sind Weiterleitungen, die nie abgeschlossen werden, und Cookies, die ein privates Fenster verwirft. Sie als Ersatz für den Ticketweg zu behandeln ist nur dort sicher, wo die Anwendung selbst diesen Aussteller akzeptiert. Eine Authentifizierungsantwort vom VPN-Portal in einen unabhängigen Dienst zu kopieren ist keine Integration, so bequem die Abkürzung auch aussieht.

Wenn beide Mechanismen bereitgestellt sind, dokumentieren Sie, welche Anwendungen welchen verwenden, denn das Supportgespräch hängt davon ab. Ein Benutzer, der meldet, angemeldet zu sein, aber eine Dateifreigabe nicht öffnen zu können, beschreibt zwei Systeme, und die Antwort lautet, dass der Ticketweg nie lief. Ein Benutzer, der die Freigabe öffnen kann, aber nicht das Intranetportal, beschreibt das Gegenteil, und den Mechanismus im Ticket zu nennen spart eine Fragerunde.

Gehen Sie die Reihenfolge durch, nicht die Teile

Gehen Sie die ganze Kette mit einem gewöhnlichen eingeschriebenen Konto durch: lokale Anmeldung, Tunnel, Ticketerfassung, dann eine echte Operation gegen einen Dienst. Wiederholen Sie das nach dem Wiederverbinden des Tunnels und nach einer bewussten Passwortänderung, denn jeder dieser Fälle beansprucht einen anderen Teil der Lebensdauerlogik. Dass jede Stufe für sich besteht, ist nicht dasselbe wie eine funktionierende Kette. Die Kette ist das, was der Benutzer erlebt, und sie ist das, was der Abnahmefall abdecken muss.

Halten Sie den Profilinhaber, die VPN-Authentifizierungsmethode, den Domänenentdeckungspfad und die Anwendungszuordnung der Erweiterung an einer Stelle fest. Dieser Eintrag macht den Ablauf für jemanden reproduzierbar, der ihn nicht gebaut hat. Prüfen Sie dann den Ausfall, dem Sie am wahrscheinlichsten begegnen, ein abgelaufenes Ticket bei ausgefallenem Tunnel, und bestätigen Sie, dass sich der Client ohne Neustart erholt, denn eine Bereitstellung, die nur aus dem Kaltstart funktioniert, ist nicht fertig.

Notieren Sie auch den Inhaber jeder Stufe, denn eine Kerberos-Domäne, um die sich niemand kümmert, wird veraltet. Eine Kette, die niemand beschreiben kann, ist eine Kette, die niemand debuggen kann.