Mac પર Kerberos SSO અને VPN: બે સાઇન-ઇન માર્ગોની સરખામણી કરો

બે પદ્ધતિઓ Mac પર એકસરખું સુખદ પરિણામ આપે છે અને અંદરથી સાવ અલગ રીતે વર્તે છે. એક SSO એક્સ્ટેન્શન દ્વારા Kerberos ટિકિટ મેળવે છે અને ભાગ લેતી એપ્લિકેશનોને આપે છે. બીજી ઓળખ પ્રદાતા સાથે બ્રાઉઝર સત્ર રાખે છે અને વેબ એપ્લિકેશનોને તેને સ્વીકારવા દે છે. નેટવર્ક પર શું જોઈએ, તેમની ઓળખપત્રો કેટલો સમય ટકે અને ટનલ પડે તે ક્ષણે શું થાય તેમાં બંને અલગ પડે છે.

બે પદ્ધતિઓ, એક સાઇન-ઇન સ્ક્રીન

ટિકિટ આધારિત માર્ગ Kerberos ડોમેન, કી વિતરણ કેન્દ્ર અને તેની સાથે સંમત થતી ઘડિયાળ પર આધાર રાખે છે. બ્રાઉઝરનો માર્ગ પહોંચી શકાય તેવા ઓળખ પ્રદાતા, કૂકી કે ટોકન અને તે ઇશ્યુઅર પર ભરોસો કરતી એપ્લિકેશન પર આધાર રાખે છે. બંનેને સાઇન-ઇન વખતે શરૂ થવા માટે ગોઠવી શકાય છે, તેથી તેમને એક જ સુવિધા માની લેવાય છે. એપ્લિકેશનો નક્કી કરે છે કે બેમાંથી કઈ સ્વીકારવી, અને Mac કાયદેસર રીતે બંને એકસાથે ચલાવી શકે છે.

વપરાશકર્તા એપ્લિકેશન ખોલે ત્યારે તે શું તપાસે છે તે પૂછીને તેમની સરખામણી કરો. Kerberos ડોમેન સાથે જોડાયેલી ફાઇલ સેવાને સેવા ટિકિટ જોઈએ છે, અને બ્રાઉઝર સત્રનો કોઈ પણ જથ્થો તેને સંતોષશે નહીં. આધુનિક ઓળખ પ્રદાતાની પાછળની વેબ એપ્લિકેશનને તે પ્રદાતાનું ટોકન જોઈએ છે અને Kerberos ટિકિટને સંપૂર્ણપણે અવગણે છે. કઈ તપાસ થાય છે તે જાણ્યા પછી, જમાવટના પ્રશ્નો સામાન્યને બદલે ચોક્કસ બની જાય છે.

Kerberos એક્સ્ટેન્શનને નેટવર્ક પર શું જોઈએ

Apple ની Kerberos SSO એક્સ્ટેન્શન માર્ગદર્શિકા સક્રિય ટિકિટ મેળવવા સાથેની સ્થાનિક Active Directory પ્રમાણીકરણનું વર્ણન કરે છે, જે ડોમેન બંધનને બદલે સ્થાનિક ખાતાં સાથે જોડાયેલી હોય છે. તે જે કરી શકતું નથી તે ડોમેન નિયંત્રકો સુધીનો માર્ગ શોધી કાઢવો છે. Mac ને એવું રિઝોલ્વર જોઈએ જે Kerberos સેવા રેકોર્ડનો જવાબ આપે, અને એવો રૂટ જોઈએ જે મંજૂર ટનલ દ્વારા તેમને પહોંચે. સ્વચ્છ રીતે ઇન્સ્ટોલ થતી પ્રોફાઇલ ત્યાં સુધી કંઈ સાબિત કરતી નથી જ્યાં સુધી ડોમેન ખરેખર ક્લાયન્ટથી શોધી શકાય નહીં.

ઓળખપત્રો તપાસતા પહેલા શોધ તપાસો: Kerberos ડોમેનના SRV રેકોર્ડ ઉકેલાવા જોઈએ, અને તેઓ પરત કરતા સરનામાં VPN ચાલુ થયા પછી પહોંચી શકાય તેવા હોવા જોઈએ. સમય પણ પહોંચ જેટલો જ મહત્વપૂર્ણ છે, કારણ કે Kerberos તેની સહનશીલતાથી આગળ વહી ગયેલી ઘડિયાળની વિનંતીઓ નકારે છે, અને તે જે ભૂલ ઉત્પન્ન કરે છે તે પ્રમાણીકરણ નિષ્ફળતા જેવી લાગે છે. જે Mac ટનલ બંધ હોય ત્યારે સમય સ્રોત સુધી પહોંચી શકતું નથી તે પાછું આવે તે ક્ષણે ફરી નિષ્ફળ જશે. ઘડિયાળના સ્રોતને ઘટનાના પ્રતિભાવ તરીકે નહીં, જમાવટના ભાગ તરીકે સુધારો.

klist
sudo sntp -sS time.apple.com

એપ દીઠ VPN નક્કી કરે છે કે એક્સ્ટેન્શન કામ કરી શકે છે કે નહીં

સંપૂર્ણ ટનલ બધું રૂટ કરે છે અને આ સમસ્યાને છુપાવે છે. એપ દીઠ ગોઠવણી ફક્ત VPN પ્રોફાઇલમાં નામ આપેલી એપ્લિકેશનોને રૂટ કરે છે, અને SSO એક્સ્ટેન્શન પોતે એવી પ્રક્રિયા છે જેને ટિકિટ લાવવા માટે નેટવર્ક જોઈએ. જો તે મેપિંગમાં ન હોય, તો સ્થાનિક સાઇન-ઇન સફળ થાય છે, બ્રાઉઝર માટે ટનલ ઉપર આવે છે, અને ટિકિટ મેળવવાનું તોતણું નિષ્ફળ જાય છે.

VPN ગોઠવણી વાંચો અને તે જે દરેક એપ્લિકેશનને આવરી લેવાની છે તેની યાદી બનાવો, પછી બંડલ ઓળખકર્તા અનુમાન કરવાને બદલે દસ્તાવેજીકૃત મેપિંગ પદ્ધતિ દ્વારા SSO ઘટક ઉમેરો. દૃશ્યમાન ક્લાયન્ટને મેપ કરવો અને તેની પાછળના ઘટકને નહીં, એ આ ભૂલનું ઉત્તમ ઉદાહરણ છે. મેપિંગને એક્સ્ટેન્શન સાથે એક જ સંચાલિત પ્રોફાઇલમાં રાખો, જેથી એકમાં ફેરફાર બીજાને શાંતિથી અમાન્ય કરી ન શકે. એવા વપરાશકર્તા સાથે ચકાસો જેણે તે Mac પર કદી સાઇન-ઇન કર્યું ન હોય, કારણ કે કેશ થયેલી ટિકિટ તૂટેલા માર્ગને સ્વસ્થ દેખાડી શકે છે, પછી પાસવર્ડ બદલ્યા પછી ફરી ચકાસો.

બ્રાઉઝર ઓળખ સત્ર એ બીજો કરાર છે

બ્રાઉઝર સત્રમાં કોઈ Kerberos ડોમેન નથી, સેવા ટિકિટ નથી, અને Kerberos અર્થમાં કોઈ ઘડિયાળ સહનશીલતા નથી. તેમાં ઇશ્યુઅર, ટોકનનું આયુષ્ય અને રિફ્રેશ માર્ગ છે, અને તેની નિષ્ફળતાની રીતો એવા રીડાયરેક્ટ છે જે કદી પૂર્ણ થતા નથી અને એવી કૂકીઝ છે જે ખાનગી વિન્ડો ફેંકી દે છે. ટિકિટ માર્ગના વિકલ્પ તરીકે તેનો ઉપયોગ ફક્ત ત્યાં જ સુરક્ષિત છે જ્યાં એપ્લિકેશન પોતે તે ઇશ્યુઅરને સ્વીકારે. VPN પોર્ટલમાંથી પ્રમાણીકરણ પ્રતિસાદને અસંબંધિત સેવામાં નકલ કરવી એ સંકલન નથી, ટૂંકો રસ્તો કેવો અનુકૂળ લાગે તે પ્રશ્ન નથી.

જ્યારે બંને પદ્ધતિઓ જમાવેલી હોય, ત્યારે કઈ એપ્લિકેશનો કઈ વાપરે છે તે દસ્તાવેજ કરો, કારણ કે સપોર્ટ વાતચીત તેના પર આધાર રાખે છે. જે વપરાશકર્તા કહે છે કે તે સાઇન-ઇન છે પણ ફાઇલ શેર ખોલી શકતો નથી, તે બે સિસ્ટમનું વર્ણન કરે છે, અને જવાબ એ છે કે ટિકિટ માર્ગ કદી ચાલ્યો જ નહીં. જે વપરાશકર્તા શેર ખોલી શકે છે પણ ઇન્ટ્રાનેટ પોર્ટલ નહીં, તે ઊલટું વર્ણન કરે છે, અને ટિકિટમાં પદ્ધતિનું નામ લેવાથી એક ફેર પ્રશ્નો બચે છે.

ક્રમમાં ચાલો, ભાગોમાં નહીં

સામાન્ય નોંધાયેલા ખાતા સાથે આખી શૃંખલા ચાલો: સ્થાનિક સાઇન-ઇન, ટનલ, ટિકિટ મેળવવી, પછી સેવા સામે એક વાસ્તવિક ક્રિયા. ટનલ ફરી જોડાયા પછી અને જાણી જોઈને પાસવર્ડ બદલ્યા પછી તેને પુનરાવર્તિત કરો, કારણ કે આ દરેક કિસ્સો આયુષ્યના તર્કનો અલગ ભાગ કસે છે. દરેક તબક્કો સ્વતંત્ર રીતે પસાર થવો એ શૃંખલા કામ કરવા જેટલું નથી. શૃંખલા એ છે જે વપરાશકર્તા અનુભવે છે, અને તે જ સ્વીકૃતિ કેસે આવરી લેવું જોઈએ.

પ્રોફાઇલ માલિક, VPN પ્રમાણીકરણ પદ્ધતિ, ડોમેન શોધ માર્ગ અને એક્સ્ટેન્શનનું એપ્લિકેશન મેપિંગ એક જ જગ્યાએ નોંધો. તે રેકોર્ડ જ પ્રવાહને એવા વ્યક્તિ માટે પુનઃઉત્પાદનયોગ્ય બનાવે છે જેણે તે બનાવ્યો ન હોય. પછી સૌથી વધુ સંભવિત નિષ્ફળતા તપાસો, ટનલ બંધ હોય ત્યારે સમાપ્ત થયેલી ટિકિટ, અને પુષ્ટિ કરો કે ક્લાયન્ટ રીબૂટ વિના સાજો થાય છે, કારણ કે ફક્ત ઠંડા શરૂઆતથી ચાલતી જમાવટ પૂરી થઈ નથી.

દરેક તબક્કાના માલિક પણ નોંધો, કારણ કે જે Kerberos ડોમેનની કોઈ સંભાળ રાખતું નથી તે જૂનું થઈ જાય છે. જે શૃંખલા કોઈ વર્ણવી શકતું નથી તે એવી શૃંખલા છે જે કોઈ ડિબગ કરી શકતું નથી.