Kerberos SSO و VPN در مک: دو مسیر ورود را مقایسه کنید

دو سازوکار روی مک نتیجه دلپذیر یکسانی می‌دهند و در زیر پوست کاملاً متفاوت رفتار می‌کنند. یکی بلیت‌های Kerberos را از طریق افزونه SSO می‌گیرد و به برنامه‌های مشارکت‌کننده می‌سپارد. دیگری نشست مرورگر را نزد یک ارائه‌دهنده هویت نگه می‌دارد و می‌گذارد برنامه‌های وب آن را بپذیرند. آن‌ها در آنچه در شبکه نیاز دارند، در مدت اعتبار اعتبارنامه‌هایشان و در آنچه در لحظه افتادن تونل رخ می‌دهد تفاوت دارند.

دو سازوکار، یک صفحه ورود

مسیر مبتنی بر بلیت به دامنه Kerberos، مرکز توزیع کلید و ساعتی وابسته است که با آن هم‌خوان باشد. مسیر مرورگر به ارائه‌دهنده هویت در دسترس، یک کوکی یا توکن و برنامه‌ای وابسته است که به آن صادرکننده اعتماد کند. هر دو را می‌توان طوری تنظیم کرد که هنگام ورود آغاز شوند، و همین باعث می‌شود آن‌ها را با یک ویژگی اشتباه بگیرند. برنامه‌ها تصمیم می‌گیرند کدام یک از این دو را بپذیرند، و مک می‌تواند به‌طور مشروع هر دو را همزمان اجرا کند.

مقایسه کنید با پرسیدن اینکه برنامه هنگام باز کردن توسط کاربر چه چیزی را بررسی می‌کند. یک سرویس فایل که به دامنه Kerberos پیوسته است بلیت سرویس می‌خواهد و هیچ مقدار نشست مرورگر آن را راضی نمی‌کند. یک برنامه وب پشت یک ارائه‌دهنده هویت مدرن توکن آن ارائه‌دهنده را می‌خواهد و بلیت Kerberos را کاملاً نادیده می‌گیرد. وقتی بدانید کدام بررسی انجام می‌شود، پرسش‌های استقرار مشخص می‌شوند نه کلی.

آنچه افزونه Kerberos در شبکه لازم دارد

راهنمای افزونه Kerberos SSO از Apple احراز هویت بومی Active Directory را با دریافت پیش‌دستانه بلیت توصیف می‌کند، همراه با حساب‌های محلی به‌جای اتصال دامنه. کاری که نمی‌تواند بکند ابداع مسیری به کنترل‌کننده‌های دامنه است. مک به یک تحلیل‌گر نیاز دارد که به رکوردهای سرویس Kerberos پاسخ دهد و به مسیری که از طریق تونل تأییدشده به آن‌ها برسد. پروفایلی که بی‌عیب نصب می‌شود تا زمانی که دامنه واقعاً از سمت کلاینت کشف نشود چیزی را ثابت نمی‌کند.

کشف را پیش از اعتبارنامه‌ها بررسی کنید: رکوردهای SRV دامنه Kerberos باید تحلیل شوند و نشانی‌هایی که برمی‌گردانند باید پس از بالا آمدن VPN در دسترس باشند. زمان به اندازه دسترس‌پذیری اهمیت دارد، زیرا Kerberos درخواست‌های ساعتی را که از تحمل آن فراتر رفته رد می‌کند و خطایی که تولید می‌کند شبیه شکست احراز هویت است. مکی که هنگام پایین بودن تونل به منبع زمان دسترسی ندارد در لحظه بازگشت دوباره شکست می‌خورد. منبع زمان را به‌عنوان بخشی از استقرار درست کنید، نه به‌عنوان واکنش به حادثه.

klist
sudo sntp -sS time.apple.com

VPN برای هر برنامه تعیین می‌کند که افزونه می‌تواند کار کند یا نه

تونل کامل همه چیز را مسیریابی می‌کند و این مشکل را پنهان می‌سازد. پیکربندی برای هر برنامه فقط برنامه‌های نام‌برده در پروفایل VPN را مسیریابی می‌کند و افزونه SSO خود فرآیندی است که برای گرفتن بلیت به شبکه نیاز دارد. اگر در نگاشت نباشد، ورود محلی موفق می‌شود، تونل برای مرورگر بالا می‌آید و دریافت بلیت همچنان شکست می‌خورد.

پیکربندی VPN را بخوانید و هر برنامه‌ای را که باید پوشش دهد فهرست کنید، سپس مؤلفه SSO را از طریق سازوکار نگاشت مستند اضافه کنید نه با حدس زدن شناسه بسته. نگاشت کردن کلاینت دیده‌شدنی و نه مؤلفه پشت آن نسخه کلاسیک این خطاست. نگاشت را در همان پروفایل مدیریت‌شده‌ای نگه دارید که افزونه در آن است تا تغییر یکی نتواند دیگری را بی‌صدا باطل کند. با کاربری آزمایش کنید که هرگز روی آن مک وارد نشده است، زیرا بلیت ذخیره‌شده می‌تواند مسیر خراب را سالم نشان دهد، سپس پس از تغییر گذرواژه دوباره آزمایش کنید.

نشست هویت مرورگر قراردادی دیگر است

نشست مرورگر هیچ دامنه Kerberos، هیچ بلیت سرویس و هیچ تحمل ساعتی به معنای Kerberos ندارد. یک صادرکننده، عمر توکن و مسیر تازه‌سازی دارد و حالت‌های شکست آن تغییرمسیرهایی است که هرگز کامل نمی‌شوند و کوکی‌هایی که پنجره خصوصی دور می‌ریزد. برخورد با آن به‌عنوان جایگزین مسیر بلیت فقط جایی ایمن است که خود برنامه آن صادرکننده را بپذیرد. کپی کردن پاسخ احراز هویت از درگاه VPN به سرویسی نامرتبط یکپارچه‌سازی نیست، هر چقدر هم میانبر راحت به نظر برسد.

وقتی هر دو سازوکار مستقر می‌شوند، مستند کنید کدام برنامه‌ها کدام را به کار می‌برند، زیرا گفتگوی پشتیبانی به آن بستگی دارد. کاربری که می‌گوید وارد شده اما نمی‌تواند اشتراک فایل را باز کند دو سامانه را توصیف می‌کند و پاسخ این است که مسیر بلیت هرگز اجرا نشد. کاربری که اشتراک را باز می‌کند اما درگاه اینترانت را نه، عکس آن را توصیف می‌کند، و نام بردن سازوکار در تیکت یک دور پرسش را صرفه‌جویی می‌کند.

توالی را طی کنید، نه اجزا را

کل زنجیره را با یک حساب ثبت‌شده معمولی طی کنید: ورود محلی، تونل، دریافت بلیت و سپس یک عملیات واقعی روی یک سرویس. آن را پس از وصل مجدد تونل و پس از تغییر عمدی گذرواژه تکرار کنید، زیرا هر یک از این موارد بخش متفاوتی از منطق عمر را تمرین می‌دهد. عبور هر مرحله به‌تنهایی همان کارکردن زنجیره نیست. زنجیره همان چیزی است که کاربر تجربه می‌کند و همان چیزی است که مورد پذیرش باید پوشش دهد.

مالک پروفایل، روش احراز هویت VPN، مسیر کشف دامنه و نگاشت برنامه‌های افزونه را در یک جا ثبت کنید. همان ثبت است که جریان را برای کسی که آن را نساخته بازتولیدپذیر می‌کند. سپس شکستی را که بیشتر با آن روبه‌رو می‌شوید بررسی کنید، بلیت منقضی در حالی که تونل پایین است، و تأیید کنید که کلاینت بدون راه‌اندازی مجدد بازیابی می‌شود، زیرا استقراری که فقط از شروع سرد کار می‌کند تمام نشده است.

مالک هر مرحله را هم یادداشت کنید، زیرا دامنه Kerberos که کسی نگهداری‌اش نمی‌کند کهنه می‌شود. زنجیره‌ای که کسی نمی‌تواند توصیف کند زنجیره‌ای است که کسی نمی‌تواند اشکال‌زدایی کند.