Miks üks OTP ei kata Wi-Fi, VPN-i ja registrit

Ühekordne sisselogimine lubab üht identiteeti ja vähem küsimusi, kuid lubadus murdub kolmanda protokolli juures. Lõks on eeldada, et üks edukas autentimine loob tokeni, mida iga teine protokoll saab esitada. Wi-Fi luba, VPN-i sisenemine ja konteineriregister teevad igaüks erineva vahetuse, erinevate auditooriumide ja elueadega. Konto jagamine on kataloogi otsus; mandaadi jagamine on protokolli otsus ja protokollid nõustuvad harva.

Kolm vahetust, kolm omanikku

Ettevõtte Wi-Fi käivitab EAP-meetodi 802.1X sees, tavaliselt lõpetab selle RADIUS-teenus, kellel on oma vaade kasutajale või seadmele. VPN-värav autendib oma toetatud voo kaudu ja hoiab seejärel sessiooni oma ümberautentimise taimeriga. Register vastab autentimata päringule väljakutsega, mis nimetab tokeniteenust, auditooriumi ja ulatust, ning klient vahetab oma mandaadi lühiajalise tokeni vastu.

Need ei ole ühe sessiooni kolm vaadet. Igaühel on oma kontrollija, oma eluiga ja oma tühistamistee, mistõttu võib parooli muutmine kataloogis jätta ühe töötama ja teise katki. Käsitle neid kolme integratsioonina, mis juhtumisi jagavad kasutajakataloogi.

Mida brauseri SSO kannab ja mida mitte

Brauserisessioon identiteedipakkuja juures on tõesti kasulik: rakendused, mis sinna ümber suunavad, pärivad sisselogimise, mille kasutaja on juba lõpetanud. See töötab, sest need rakendused räägivad samu ümbersuunamise ja tokeni protokolle ning aktsepteerivad sama auditooriumi. EAP-d rääkival taotlejal ei ole ühtegi ümbersuunamist järgida ja Dockeri klient, kes saab registri väljakutse, ei küsi OIDC identiteeditokenit. Identiteedipakkuja saab käendada ainult protokolle, mille jaoks ta on ehitatud.

Tõrget on logides lihtne näha, kui tead, kuhu vaadata. Identiteedipakkuja teatab edukast sisselogimisest, samal ajal kui Wi-Fi liitumine ikka ebaõnnestub, või register tagastab 401 pärast tokenivahetust, mida brauser kunagi ei näinud. Kaks õnnestumist ja üks tõrge ei ole vastuolu; need on kolm eraldi autentimist.

Kus sertifikaat asendab korduva koodi

Hallatavate seadmete puhul eemaldab sertifikaadipõhine EAP inimliku sammu identiteeti eemaldamata: seade esitab sertifikaadi, RADIUS-teenus kontrollib seda väljaandja vastu ja tühistamine toimub selle väljaandja juures, mitte jagatud saladuses. Hinnaks on elutsükli töö, sest sertifikaadid aeguvad ja neid tuleb enne seda uuendada.

Registritel on samaväärne jaotus. Interaktiivne kasutaja saab ühe korra sisse logida ja lasta mandaadihalduril saadud token salvestada, samas kui automatiseerimine peaks kasutama kitsalt piiratud teenusemandaati või töökoormuse identiteeti. Kumbki ei tohiks olla inimese ühekordne kood, mis on konveierisse kopeeritud. Haldur salvestab tokeni konkreetse registri auditooriumi jaoks, seega ei saa seda konfiguratsioonifaili muutmisega VPN-väravale ümber suunata.

docker login registry.example.com

Võrrelge hoolduskulu, mitte küsimuste arvu

Jagatud mandaat tundub odav, sest töö on nähtamatu, kuni see ebaõnnestub. Selle asemel loendage, mida iga valik aasta jooksul maksab: registreerimine, uuendamine, tühistamine, lekke mõjuraadius ja puudutatud süsteemide arv, kui keegi lahkub. Sertifikaatide park maksab rohkem ülesehitamisel ja vähem käitamisel suures mahus; kopeeritud kood ei maksa alustamisel midagi ja lahtiharutamisel kõike.

Seejärel valige iga lõigu kaupa, mitte globaalselt. Wi-Fi saab liikuda sertifikaatidele, VPN saab hoida oma toetatud SSO-d koos MFA-ga ja register saab kasutada selgete ulatustega tokeneid. Kirjutage igaühe jaoks üles omanik, auditoorium, ulatus, aegumine ja tühistamistee, ning küsimused langevad sinna, kuhu peaksid, mitte kõikjal korraga. See kirje on ka vastus, kui audiitor küsib, millised süsteemid veel parooli usaldavad.