Kerberos SSO ja VPN Macis: võrrelge kahte sisselogimisteed

Kaks mehhanismi annavad Macis sama sõbraliku tulemuse ja käituvad selle all täiesti erinevalt. Üks hangib Kerberose pileteid SSO-laienduse kaudu ja annab need osalevatele rakendustele. Teine hoiab brauseri sessiooni identiteedipakkuja juures ja laseb veebirakendustel seda tunnustada. Need erinevad selle poolest, mida nad võrgus vajavad, kui kaua nende volitused kehtivad ja mis juhtub hetkel, mil tunnel katkeb.

Kaks mehhanismi, üks sisselogimisaken

Piletipõhine tee sõltub Kerberose domeenist, võtmejaotuskeskusest ja kellast, mis sellega nõustub. Brauseri tee sõltub kättesaadavast identiteedipakkujast, küpsisest või märgist ning rakendusest, mis seda väljastajat usaldab. Mõlemad saab seadistada sisselogimisel käivituma, mistõttu aetakse neid sama funktsiooniga segi. Rakendused otsustavad, kumba kahest nad aktsepteerivad, ja Mac võib seaduslikult mõlemat korraga käitada.

Võrrelge neid, küsides, mida rakendus kontrollib, kui kasutaja selle avab. Kerberose domeeniga liidetud failiteenus tahab teenusepiletit ja ükski brauseri sessiooni kogus ei rahulda seda. Kaasaegse identiteedipakkuja taga olev veebirakendus tahab selle pakkuja märgist ja ignoreerib Kerberose piletit täielikult. Kui teate, milline kontroll toimub, muutuvad juurutusküsimused üldistest konkreetseteks.

Mida Kerberose laiendus võrgus vajab

Apple'i Kerberos SSO laienduse juhend kirjeldab kohalikku Active Directory autentimist proaktiivse piletihankega, mis on seotud kohalike kontodega, mitte domeeniga liitumisega. Mida see ei suuda, on leiutada teed domeenikontrolleriteni. Mac vajab resolverit, mis vastab Kerberose teenusekirjetele, ja marsruuti, mis jõuab nendeni heakskiidetud tunneli kaudu. Profiil, mis paigaldub puhtalt, ei tõesta midagi enne, kui domeeni saab kliendist tegelikult avastada.

Kontrollige avastamist enne volituste kontrollimist: Kerberose domeeni SRV-kirjed peavad lahenema ja need tagastatavad aadressid peavad olema kättesaadavad, kui VPN on üleval. Aeg on sama oluline kui kättesaadavus, sest Kerberos keeldub päringutest kellalt, mis on oma tolerantsist kaugemale triivinud, ja tekkinud viga näeb välja nagu autentimistõrge. Mac, mis ei jõua tunneliga alla olles ajamallikani, ebaõnnestub uuesti hetkel, mil see taastub. Parandage ajamallikas juurutamise osana, mitte intsidendile reageerimisena.

klist
sudo sntp -sS time.apple.com

Rakendusepõhine VPN otsustab, kas laiendus saab töötada

Täistunnel suunab kõik ja peidab selle probleemi. Rakendusepõhine konfiguratsioon suunab ainult VPN-profiilis nimetatud rakendusi ja SSO-laiendus on ise protsess, mis vajab piletite hankimiseks võrku. Kui seda kaardistuses pole, õnnestub kohalik sisselogimine, tunnel tõuseb brauseri jaoks ja piletihange ebaõnnestub endiselt.

Lugege VPN-konfiguratsiooni ja loetlege iga rakendus, mida see peaks katma, seejärel lisage SSO-komponent dokumenteeritud kaardistusmehhanismi kaudu, mitte bundle'i identifikaatorit oletades. Nähtava kliendi kaardistamine, mitte selle taga oleva komponendi kaardistamine on selle vea klassikaline versioon. Hoidke kaardistus sama haldatud profiili sees kui laiendus, et ühe muudatus ei muudaks teist vaikselt kehtetuks. Testige kasutajaga, kes ei ole sellesse Maci kunagi sisse loginud, sest vahemällu salvestatud pilet võib muuta katkise tee terveks, ja testige seejärel uuesti pärast parooli muutmist.

Brauseri identiteedisessioon on teine leping

Brauseri sessioonil pole Kerberose domeeni, teenusepiletit ega kella tolerantsi Kerberose mõttes. Sellel on väljastaja, märgi eluiga ja värskendustee ning selle tõrkerežiimid on ümbersuunamised, mis ei lõpe kunagi, ja küpsised, mille privaatne aken ära viskab. Selle käsitlemine piletitee asendajana on turvaline ainult seal, kus rakendus ise seda väljastajat aktsepteerib. Autentimisvastuse kopeerimine VPN-portaalist mitteseotud teenusesse ei ole integreerimine, ükskõik kui mugav see otsetee ka ei tundu.

Kui mõlemad mehhanismid on juurutatud, dokumenteerige, millised rakendused kumba kasutavad, sest tugivestlus sõltub sellest. Kasutaja, kes teatab, et on sisse loginud, kuid ei saa failijagamist avada, kirjeldab kahte süsteemi ja vastus on, et piletitee ei käivitunud kunagi. Kasutaja, kes saab jagamise avada, kuid mitte intranetiportaali, kirjeldab vastupidist, ja mehhanismi nimetamine piletil säästab ühe küsimustevooru.

Käige läbi järjestus, mitte osad

Käige kogu ahel läbi tavalise registreeritud kontoga: kohalik sisselogimine, tunnel, piletihange ja seejärel üks tegelik toiming teenuse vastu. Korrake seda pärast tunneli taastumist ja pärast teadlikku paroolimuudatust, sest igaüks neist juhtudest harjutab eluea loogika eri osa. Iga etapi eraldi läbiminek ei ole sama mis töötav ahel. Ahel on see, mida kasutaja kogeb, ja see on see, mida vastuvõtutest peab katma.

Kirjutage profiili omanik, VPN-autentimismeetod, domeeni avastamistee ja laienduse rakenduste kaardistus ühte kohta. Just see kirje teeb voo korratavaks kellegi jaoks, kes seda ei ehitanud. Seejärel kontrollige tõrget, millega kõige tõenäolisemalt kokku puutute, aegunud pilet tunneliga all, ja kinnitage, et klient taastub ilma taaskäivituseta, sest juurutus, mis töötab ainult külmkäivitusest, ei ole valmis.

Märkige üles ka iga etapi omanik, sest Kerberose domeen, mille eest keegi ei hoolitse, muutub vananenuks. Ahel, mida keegi ei oska kirjeldada, on ahel, mida keegi ei oska siluda.