Kerberos SSOa eta VPN Mac-en: alderatu bi saio-hasiera bideak

Bi mekanismok emaitza atsegina bera ematen dute Mac batean, baina erabat desberdin jokatzen dute azpian. Batek Kerberos txartelak eskuratzen ditu SSO hedapen baten bidez eta parte hartzen duten aplikazioei ematen dizkie. Besteak nabigatzaileko saio bat mantentzen du identitate hornitzaile batekin eta web aplikazioek onar dezatela uzten du. Sarean zer behar duten, haien kredentzialek zenbat irauten duten eta tunela erortzen den unean zer gertatzen den bereizten dira.

Bi mekanismo, saio-hasierako pantaila bat

Txartel bidezko bideak Kerberos domeinu, gako banaketa zentro eta harekin bat datorren erloju baten mende egiten du. Nabigatzailearen bideak eskuragarri dagoen identitate hornitzaile, cookie edo token eta igorle horretan fidatzen den aplikazio baten mende egiten du. Biak saio-hasieran abiatzeko konfigura daitezke, eta horregatik nahasten dira ezaugarri berarekin. Aplikazioek erabakitzen dute zein onartzen duten, eta Mac batek zilegi du biak aldi berean exekutatzea.

Alderatu itzazu erabiltzaileak aplikazioa irekitzean hark zer egiaztatzen duen galdetuz. Kerberos domeinuari lotutako fitxategi zerbitzu batek zerbitzu txartel bat nahi du, eta nabigatzaile saioaren edozein kopuruk ez du aseko. Identitate hornitzaile moderno baten atzean dagoen web aplikazio batek hornitzaile horren tokena nahi du eta Kerberos txartela erabat alde batera uzten du. Zein egiaztapen gertatzen den jakinda, zabalkuntza galderak orokorrak izan beharrean zehatzak bihurtzen dira.

Zer behar duen Kerberos hedapenak sarean

Apple-ren Kerberos SSO hedapenaren gidak Active Directory autentifikazio natiboa deskribatzen du, txartelen eskuratze proaktiboarekin, tokiko kontuekin lotuta domeinu loturaren ordez. Ezin duena domeinu kontrolatzaileetarako bidea asmatzea da. Mac-ek Kerberos zerbitzu erregistroei erantzuten dien ebazlea eta tunel onartutik haietara iristen den ibilbidea behar ditu. Garbi instalatzen den profil batek ez du ezer frogatzen domeinua bezerotik benetan aurki daitekeen arte.

Egiaztatu aurkikuntza kredentzialak egiaztatu aurretik: Kerberos domeinurako SRV erregistroek ebazpena lortu behar dute, eta itzultzen dituzten helbideetara iritsi behar da VPNa martxan dagoenean. Denbora bezain garrantzitsua da irisgarritasuna, Kerberosek bere tolerantziaz harago desbideratu den erloju baten eskaerak baztertzen baititu, eta sortzen duen errorea autentifikazio hutsegitea dirudi. Tunela behera dagoen bitartean denbora iturri batera iristen ez den Mac batek huts egingo du berriro itzultzen den unean. Konpondu denbora iturria zabalkuntzaren parte gisa, ez intzidentzia bati erantzuteko moduan.

klist
sudo sntp -sS time.apple.com

Aplikazio bakoitzeko VPNak erabakitzen du hedapena lan egin dezakeen

Tunel oso batek dena bideratzen du eta arazo hau ezkutatzen du. Aplikazio bakoitzeko konfigurazio batek VPN profilean izendatutako aplikazioak bakarrik bideratzen ditu, eta SSO hedapena bera txartelak eskuratzeko sarea behar duen prozesua da. Mapaketan ez badago, tokiko saio-hasiera ondo ateratzen da, tunela nabigatzailearentzat altxatzen da eta txartelak eskuratzeak huts egiten du oraindik.

Irakurri VPN konfigurazioa eta zerrendatu estali behar dituen aplikazio guztiak, gero gehitu SSO osagaia dokumentatutako mapaketa mekanismoaren bidez, bundle identifikatzaile bat asmatu ordez. Bezero ikusgaia mapatzea eta haren atzean dagoen osagaia ez mapatzea errore honen bertsio klasikoa da. Eduki mapaketa hedapenaren profil kudeatu berean, baten aldaketak bestea isilean baliogabetu ez dezan. Probatu Mac horretan inoiz saioa hasi ez duen erabiltzaile batekin, txartel katxeatuak bide hautsia osasuntsu itxura izan dezan, eta probatu berriro pasahitza aldatu ondoren.

Nabigatzaileko identitate saioa beste kontratu bat da

Nabigatzaile saio batek ez du Kerberos domeinurik, ez zerbitzu txartelik, ez eta Kerberos zentzuan erloju tolerantziarik. Igorle bat, tokenen iraupen bat eta freskatze bide bat ditu, eta haren hutsegite moduak inoiz osatzen ez diren birbideratzeak eta leiho pribatu batek baztertzen dituen cookieak dira. Txartel bidearen ordezko gisa tratatzea segurua da aplikazioak berak igorle hori onartzen duen tokian bakarrik. VPN ataritik autentifikazio erantzun bat zerbitzu erlazionatu gabe batera kopiatzea ez da integrazioa, lasterbidea zein erosoa iruditu arren.

Bi mekanismoak zabalduta daudenean, dokumentatu zein aplikaziok zein erabiltzen duen, laguntza elkarrizketa horren mende dagoelako. Saioa hasita duela baina fitxategi partekatze bat ireki ezin duela dioen erabiltzaileak bi sistema deskribatzen ari da, eta erantzuna txartel bidea inoiz ez zela exekutatu da. Partekatzea ireki baina intranet ataria ireki ezin duen erabiltzaileak alderantzizkoa deskribatzen du, eta txarteldegian mekanismoa izendatzeak galdera erronda bat aurrezten du.

Ibili sekuentziatik, ez zatietatik

Ibili kate osoa erregistratutako kontu arrunt batekin: tokiko saio-hasiera, tunela, txartelen eskuratzea, eta gero zerbitzu baten aurkako eragiketa erreal bat. Errepikatu tunela berriz konektatu ondoren eta nahita egindako pasahitz aldaketaren ondoren, kasu horietako bakoitzak bizitza logikaren zati desberdin bat entrenatzen duelako. Etapa bakoitzak bere kabuz pasatzeak ez du katea funtzionatzea esan nahi. Katea da erabiltzaileak bizitzen duena, eta hori da onarpen kasuak estali behar duena.

Erregistratu profileko jabea, VPN autentifikazio metodoa, domeinuaren aurkikuntza bidea eta hedapenaren aplikazio mapaketa leku bakarrean. Erregistro horrek egiten du prozesua berreraikigarri, eraiki ez zuen norbaitek egiteko moduan. Gero egiaztatu gehien topatuko duzun hutsegitea, txartel iraungia tunela behera dagoela, eta berretsi bezeroa berrabiarazi gabe berreskuratzen dela, hotzeko abiarazitik soilik funtzionatzen duen zabalkuntza ez baitago amaituta.

Ohartarazi etapa bakoitzaren jabea ere, inork mantentzen ez duen Kerberos domeinua zaharkitu bihurtzen baita. Inork deskribatu ezin duen katea inork araztu ezin duen katea da.