Eraldi VPN-identiteedid väikesele meeskonnale, ilma kataloogita

Kuus inimest jagavad üht VPN-i sisselogimist, üks neist lahkub, ja ainus viis tema juurdepääsu eemaldada on muuta saladust, mida kõik teised kasutavad. See on tegelik probleem ja selle lahendamiseks pole Active Directoryt vaja. Väike kontor saab hoida eraldi identiteete ükskõik millises kohalikus hoidlas, mida tema lüüs toetab, ja käsitleda lahkumisi ikkagi rutiinina. Töö on hoidla valimises ja eemaldamise sammude kirjapanekus enne, kui neid vaja läheb.

Alustage mandaadist, mis igaühel on

Enne taustaprogrammi valimist loetlege, millega iga inimene ühendub. Üks sülearvuti, telefon, võib-olla kodune lauaarvuti, ja igaüks neist on eraldi mandaat või eraldi seadmesertifikaat. Kui te ei suuda nimetada mandaati, mis inimesel on, ei saa te seda hiljem eemaldada.

Kaks inimest, kes jagavad üht profiili, on juhtum, mis muudab iga järgmise sammu raskemaks. Parandage see kõigepealt, sest ükski kataloog ei lahenda jagatud saladust.

Valige hoidla, mida lüüs tegelikult toetab

Valige identiteedihoidla, mida lüüs juba toetab, mitte see, mida te tahaksite käitada. Kohaliku kasutajabaasiga lüüs saab hoida üksikuid kontosid kasutajapõhise poliitikaga. IKEv2 juurutamine saab vastendada EAP identiteedi konkreetse saladusega, kui kliendimeetod ja kontrollija sobivad. Sertifikaadipõhised lahendused saavad väljastada ühe sertifikaadi seadme kohta ühisest asutusest, mis hoiab usaldusankru ühise, samal ajal kui mandaadid jäävad eraldi.

Hoidla asukoht on vähem oluline kui selle toimingud: registreerimine, varundus, uuendamine ja tühistamine. Kui mõnele neist vastust pole, pole valik lõpetatud.

Kui lüüs pakub nii kohalikke kontosid kui ka sertifikaate, eelistage seda, mida teie meeskond suudab öösel kell kaks ilma tarnijat telefonil hoidmata käitada. See eelistus puudutab taastamisaega, mitte seda, milline valik on tehniliselt tugevam.

Eraldage inimene seadmetest

Otsustage, mida mandaat esindab: inimest, seadet või mõlemat. Ühe töötaja sülearvuti ja telefon on kaks seadet ja üks inimene, ja telefoni kaotamine ei peaks tingimata sülearvutit välja lülitama. Kirjutage see mudel üles, sest see määrab, mida eemaldamine tähendab.

Kirjutage iga mandaadi kohta üles omanik, seade, väljastamise kuupäev ja tühistamise teekond. Hoidke seda kirjet kohas, kus kontor saab seda lugeda ilma inimese, kes selle seadistas, abita. Tabel nende nelja veeruga on kuue inimese jaoks piisav ja skaleerub endiselt kuuekümneni.

Tehke eemaldamisest tavaline toiming

Kirjutage lahkumisprotseduur enne esimest lahkumist. Keelake identiteet, lõpetage iga aktiivne sessioon ja kinnitage, et tunnel tõesti kukub, selle asemel et oodata uuesti autentimise taimerit. Seejärel kontrollige, et endine mandaat ei tööta kontorivõrgust väljaspool asuvast masinast. Kogu järjestus peaks võtma minuteid ega nõudma kellelegi teisele uut väljastamist.

sudo swanctl --terminate --ike alice-laptop

Hoidke administraatori taasteteekond, mis ei sõltu keelatud kontost, ja viige kooskõlla kohalikud kontod, mis hiljem kataloogi kolivad. Eesmärk on lihtne: ühe inimese eemaldamine on rutiinne ülesanne, mitte projekt, mis puudutab kõigi teiste profiile. Access Serveri kohalik autentimine on üks dokumenteeritud näide hoidlast, mis sellesse vormi sobib.