Kerberos SSO en VPN op Mac: fergelykje de twa oanmeldpaden

Twa meganismen jouwe op in Mac itselde freonlike resultaat en gedrage har derûnder folslein oars. De iene hellet Kerberos-kaartjes fia in SSO-útwreiding en jout se oan dielnimmende programma's. De oare hâldt in browsersesje by in identiteitsprovider en lit webprogramma's dy erkennen. Se ferskille yn wat se op it netwurk nedich hawwe, hoe lang harren befinings jilde en wat der bart op it stuit dat de tunnel falt.

Twa meganismen, ien oanmeldskerm

It paad op basis fan kaartjes hinget ôf fan in Kerberos-domein, in kaaiferdielingssintrum en in klok dy't dêrmei iens is. It browserpaad hinget ôf fan in berikbere identiteitsprovider, in cookie of token en in programma dat dy útjouwer fertrout. Beide kinne ynsteld wurde om by oanmelding te begjinnen, dêrom wurde se foar deselde funksje oansjoen. De programma's beslisse hokker fan de twa se akseptearje, en in Mac kin beide tagelyk mei rjocht draaie.

Fergelykje se troch te freegjen wat it programma kontrolearret as in brûker it iepenet. In bestânsstsjinst dy't oan it Kerberos-domein ferbûn is, wol in tsjinstkaartsje, en gjin inkelde hoemannichte browsersesje sil dat befredigje. In webprogramma efter in moderne identiteitsprovider wol it token fan dy provider en negearret it Kerberos-kaartsje folslein. As jo ienris witte hokker kontrôle plakfynt, wurde de ynsetfragen konkreet ynstee fan algemien.

Wat de Kerberos-útwreiding op it netwurk nedich hat

Apple syn hânlieding foar de Kerberos SSO-útwreiding beskriuwt lânseigen Active Directory-autentikaasje mei proaktyf kaartjesheljen, keppele oan lokale akkounts ynstee fan in domeinbining. Wat it net kin, is in paad nei de domeinkontrôleurs betinke. De Mac hat in resolvers nedich dy't de Kerberos-tsjinstregistraasjes beantwurdet, en in rût dy't se troch de goedkarde tunnel berikt. In profyl dat skjin ynstallearret bewiist neat oant it domein eins fan de klient ôf ûntdutsen wurde kin.

Kontrolearje de ûntdekking foar't jo de befinings kontrolearje: de SRV-registraasjes foar it Kerberos-domein moatte oplosse, en de adressen dy't se weromjouwe moatte berikber wêze as de VPN omheech is. Tiid is like wichtich as berikberens, om't Kerberos oanfragen fan in klok dy't bûten syn tolerânsje rûn is ôfwiist, en de flater dy't dat jout liket op in autentikaasjeflater. In Mac dy't gjin tiidboarne berikke kin wylst de tunnel del is, sil wer mislearje op it stuit dat dy weromkomt. Meitsje de tiidboarne yn oarder as ûnderdiel fan 'e ynset, net as reaksje op in ynsidint.

klist
sudo sntp -sS time.apple.com

VPN per programma bepaalt oft de útwreiding wurkje kin

In folsleine tunnel rûteset alles en ferberget dit probleem. In konfiguraasje per programma rûteset allinne de programma's dy't yn it VPN-profyl neamd wurde, en de SSO-útwreiding is sels in proses dat it netwurk nedich hat om kaartjes te heljen. As it net yn 'e mapping stiet, slagget de lokale oanmelding, komt de tunnel omheech foar de browser, en mislearret it kaartjesheljen dochs.

Lês de VPN-konfiguraasje en list elk programma op dat it beslaan moat, foegje dan de SSO-komponint ta fia it dokumintearre mappingsmeganisme ynstee fan in bundle-identifikaasje te rieden. It sichtbere klient mappe en net de komponint dêrefter is de klassike ferzje fan dizze flater. Hâld de mapping yn itselde behearde profyl as de útwreiding, sadat in feroaring oan 'e iene de oare net stilwei ûnjildich meitsje kin. Test mei in brûker dy't him nea op dy Mac oanmeld hat, om't in cachet kaartsje in brutsen paad sûn lykje litte kin, en test dêrnei opnij nei in wachtwurdsferoaring.

In browser-identiteitssesje is in oar kontrakt

In browsersesje hat gjin Kerberos-domein, gjin tsjinstkaartsje en gjin kloktolerânsje yn 'e Kerberos-betsjutting. It hat in útjouwer, in tokenlibbensdoer en in ferfarskingspaad, en syn flatermodi binne trochstjoeringen dy't nea foltôgje en cookies dy't in priveefinster weilizze. It behannelje as ferfanging foar it kaartjepaal is allinne feilich wêr't it programma sels dy útjouwer akseptearret. In autentikaasje-antwurd fan it VPN-portaal nei in net besibbe tsjinst kopiearje is gjin yntegraasje, hoe handich de koartwei der ek út sjocht.

As beide meganismen ynset binne, dokumintearje dan hokker programma's hokker brûke, om't it stipepetear dêrfan ôfhinklik is. In brûker dy't meldt dat er oanmeld is mar in bestân dielen net iepenje kin, beskriuwt twa systemen, en it antwurd is dat it kaartjepaal nea rûn hat. In brûker dy't it dielen iepenje kin mar it intranetportaal net, beskriuwt it omkearde, en it neamen fan it meganisme yn 'e kaart besparret in ronde fragen.

Rin de folchoarder, net de dielen

Rin de hiele ketting mei in gewoan ynskreaun akkount: lokale oanmelding, tunnel, kaartjesheljen, en dan ien echte operaasje tsjin in tsjinst. Werhelje it neidat de tunnel wer ferbûn is en nei in bewuste wachtwurdsferoaring, om't elk fan dy gefallen in oar part fan 'e libbensdoerlogika oefenet. Elk stadium op himsels slagje is net itselde as in wurkjende ketting. De ketting is wat de brûker belibbet, en dat is wat de akseptaasjetest dekke moat.

Fêstlizze de profyleigner, de VPN-autentikaasjemetoade, it domeinûntdekkingspaad en de programmamapping fan 'e útwreiding op ien plak. Dat ferslach is wat de stream werhellber makket foar immen dy't it net boud hat. Kontrolearje dan de flater dy't jo it meast tsjinkomme sille, in ferrûn kaartsje wylst de tunnel del is, en befêstigje dat de klient sûnder werstart herstelt, om't in ynset dy't allinne fan in kâlde start wurket net klear is.

Skriuw ek de eigner fan elk stadium op, om't in Kerberos-domein dat nimmen ûnderhâldt ferâldere rekket. In ketting dy't nimmen beskriuwe kin, is in ketting dy't nimmen debugge kin.