An sínigh VPN SSO úsáideoirí isteach in aipeanna inmheánacha go huathoibríoch?

Ní chruthaíonn geata VPN a fhíordheimhníonn trí sholáthraí aitheantais ach rud amháin: gur gheall an soláthraí d'úsáideoir os comhair an gheata. Ní thugann sé dintiúir don úsáideoir sin don vicí inlíon, don phainéal faireacháin ná don fhreastalaí tógála. Sínigh na seirbhísí sin daoine isteach trína gcónasc féin agus cuireann siad a n-údarú féin i bhfeidhm, agus ní shocraíonn an tollán ach cé na paicéid is féidir a shroicheadh.

Trí sheisiún, trí chinneadh ar leith

Coinnigh na stáit ar leith, mar téann gach ceann in éag de réir a sceidil féin. Is é an seisiún VPN ná glacadh aitheantais ag an ngeata móide an rochtain líonra a thug sé. Is é seisiún brabhsálaí an tsoláthraí aitheantais an rud a choinníonn an brabhsálaí fós don soláthraí sin agus ar féidir leis a athúsáid faoina pholasaí. Baineann seisiún na haipe le seirbhís amháin a d'fhíoraigh freagra a seoladh chuici.

Má mheasctar na stáit sin, tagann an cheist mhícheart, a chuirtear in iúl de ghnáth mar cén fáth nach síníonn an tollán an t-úsáideoir isteach i ngach áit. Athfhrásaigh í: cén aip nach bhfuil iontráil chónaisc aici, cé a dhiúltaíonn don úsáideoir, agus cé a bhfuil bealach in easnamh uirthi. Is féidir le spreagadh sínithe amháin a osclaíonn an aip inlíon preabadh ar ais chuig an soláthraí fós, mar is é an dara hathsheoladh iarratas údaraithe nua do lucht féachana difriúil.

Sreangaigh an geata mar a aip féin

Cláraigh an VPN mar aip cheadaithe sa soláthraí, lena haitheantóir féin, URI athsheolta agus sannadh úsáideora. Ansin socraigh cé na húdaruithe líonra a thugann an síniú sin, mar is polasaí VPN é seo seachas gné den soláthraí. Faigheann úsáideoirí nár cheart ach an fophíonra faireacháin a shroicheadh polasaí geata difriúil, ní focal faire difriúil.

Ní dintiúir in-athúsáidte é freagra fíordheimhniúcháin an tolláin. Iompraíonn comharthaí ID OIDC éileamh lucht féachana a ainmníonn an cliant a ndearnadh iad dó, agus cuireann dearbhuithe iompróra SAML an lucht féachana teoranta don soláthraí seirbhíse a fhaigheann iad. Tá an dara seirbhís a ghlacann freagra na chéad cheann mí-chumraithe, agus ní comhtháthú é comhartha a chóipeáil isteach in aip eile.

Cláraigh gach aip inmheánach, ansin socraigh comhthéacs an bhrabhsálaí

Teastaíonn na luachanna SAML nó OIDC tacaíochta ó gach seirbhís: eisitheoir, aitheantóir cliaint, URL aischuir nó tomhaltóra dearbhaithe, éilimh riachtanacha agus sannadh. Tagann inrochtaineacht air sin, mar ní sholáthraíonn seiceálacha aitheantais bealach ná freagra DNS riamh.

1. Cruthaigh iontráil na haipe agus deimhnigh go n-oireann an t-aitheantóir aonáin nó cliaint don rud a sheolann an aip.
2. Cláraigh an URL aischuir bheacht lena n-áirítear scéim agus port; teipeann ar bheagán earráide tar éis don úsáideoir fíordheimhniú.
3. Sann na húsáideoirí nó na grúpaí, ansin deimhnigh go n-eisítear na héilimh riachtanacha.
4. Ceadaigh críochphointí an tsoláthraí aitheantais chomh maith leis an aip phríobháideach, nó ní féidir leis an athsheoladh críochnú.

Cinneann comhthéacs an bhrabhsálaí an n-athúsáidtear seisiún soláthraí atá ann cheana. Is féidir le cliant dúchasach a osclaíonn brabhsálaí an chórais an stát sin a roinnt, ach de ghnáth ní féidir le radharc leabaithe lena phróca fianán féin. Tosaíonn brabhsálaí nua, fuinneoga príobháideacha agus dara próifíl ón tús, rud a bhfuiltear ag súil leis agus nach cumraíocht SSO bhriste é.

Rith an sreabhadh agus léigh cá stadann sé

Atáirg le painéal líonra an bhrabhsálaí agus féach ar an slabhra athsheolta. Leanann pas úsáideach léim amháin ag an am: geata chuig soláthraí, soláthraí ar ais chuig an aip le cód nó dearbhú, aip chuig críochphointe comharthaí an tsoláthraí, seisiún haipe eisithe. Ainmníonn an léim ina stadann an slabhra an chomhpháirt atá le deisiú.

Réitíonn dhá sheiceáil líne ordaithe na hamhrais is gnáth, agus tá an dá cheann sábháilte le rith ó óstach riaracháin:

curl -s https://idp.example.com/.well-known/openid-configuration | jq -r '.authorization_endpoint, .token_endpoint'
curl -sI https://app.example.net/ | grep -iE '^(HTTP/|location:)'

Nuair a liostaíonn na meiteashonraí críochphointí nár chláraigh tú riamh, tá an aip ag díriú ar thionónta nó eisitheoir eile. Nuair a fhreagraíonn an chéad iarratas chuig an aip 302 chuig óstach gan choinne, is é cumraíocht chónaisc na haipe an áit le breathnú, ní próifíl VPN.

Deisigh spreagthaí trí fháil amach cé a d'iarr iad

Ní locht go huathoibríoch é an dara spreagadh focal faire. Féadfaidh an aip leibhéal dearbhaithe níos airde a iarraidh, nó féadfaidh an soláthraí uasaois seisiúin agus dúshlán nua a fhorchur. Laghdaíonn baint na riachtanas sin chun an sreabhadh a dhéanamh níos ciúine rialú d'aon ghnó, mar sin aimsigh cé acu comhpháirt a d'iarr iad sula n-athraíonn tú polasaí.

Ansin socraigh cad atá le feabhsú. Má thagann an spreagadh ón aip, deisigh a hiontráil chónaisc. Má thagann sé ón soláthraí de réir polasaí, déan an riachtanas a dhoiciméadú. Mura bhfuil an aip inrochtana tar éis síniú isteach rathúil, is é ródú an tolláin an t-amhras, mar teipeann ar aitheantas agus ar sheachadadh paicéad in áiteanna difriúla agus breathnaíonn siad cosúil le chéile ó shuíochán an úsáideora.