એક OTP Wi-Fi, VPN અને રજિસ્ટ્રીને કેમ આવરી શકતું નથી

સિંગલ સાઇન-ઓન એક ઓળખ અને ઓછી પૂછપરછનું વચન આપે છે, અને ત્રીજા પ્રોટોકોલ પર એ વચન તૂટે છે. ફાંદો એ માનવાનો છે કે એક સફળ પ્રમાણીકરણ એવું ટોકન બનાવે છે જે દરેક બીજો પ્રોટોકોલ રજૂ કરી શકે. Wi-Fi પ્રવેશ, VPN પ્રવેશ અને કન્ટેનર રજિસ્ટ્રી દરેક અલગ વિનિમય ચલાવે છે, અલગ પ્રેક્ષકો અને આયુષ્ય સાથે. ખાતું વહેંચવું એ ડિરેક્ટરીનો નિર્ણય છે; ઓળખપત્ર વહેંચવું એ પ્રોટોકોલનો નિર્ણય છે, અને પ્રોટોકોલ ભાગ્યે જ સંમત થાય છે.

ત્રણ વિનિમય, ત્રણ માલિક

એન્ટરપ્રાઇઝ Wi-Fi એ 802.1X ની અંદર EAP પદ્ધતિ ચલાવે છે, જે સામાન્ય રીતે RADIUS સેવા સમાપ્ત કરે છે જેની વપરાશકર્તા કે ઉપકરણ વિશે પોતાની દૃષ્ટિ હોય છે. VPN ગેટવે પોતાના સમર્થિત પ્રવાહ દ્વારા પ્રમાણિત કરે છે અને પછી પોતાના ફરી-પ્રમાણીકરણ ટાઇમર સાથે સત્ર રાખે છે. રજિસ્ટ્રી અપ્રમાણિત વિનંતીનો જવાબ એક પડકાર સાથે આપે છે જે ટોકન સેવા, પ્રેક્ષકો અને વ્યાપનું નામ લે છે, અને ક્લાઇંટ પોતાનું ઓળખપત્ર ટૂંકા આયુષ્યના ટોકન સાથે બદલે છે.

આ એક સત્રની ત્રણ દૃષ્ટિ નથી. દરેકનું પોતાનું ચકાસણીકર્તા, પોતાનું આયુષ્ય અને પોતાનો રદ કરવાનો માર્ગ છે, તેથી ડિરેક્ટરીમાં પાસવર્ડ બદલાવ એકને ચાલુ અને બીજાને તૂટેલું રાખી શકે છે. તેમને ત્રણ એકીકરણ તરીકે ગણો જે કોઈક રીતે વપરાશકર્તા ડિરેક્ટરી વહેંચે છે.

બ્રાઉઝર SSO શું લઈ જાય છે અને શું નહીં

ઓળખ પ્રદાતા પરનું બ્રાઉઝર સત્ર ખરેખર ઉપયોગી છે: ત્યાં રીડાયરેક્ટ કરતી એપ્લિકેશનો વપરાશકર્તાએ પહેલેથી પૂર્ણ કરેલું લોગિન વારસામાં મેળવે છે. તે કામ કરે છે કારણ કે એ એપ્લિકેશનો સમાન રીડાયરેક્ટ અને ટોકન પ્રોટોકોલ બોલે છે અને સમાન પ્રેક્ષકો સ્વીકારે છે. EAP બોલતા વિનંતીકર્તા પાસે અનુસરવા માટે કોઈ રીડાયરેક્ટ નથી, અને રજિસ્ટ્રી પડકાર મેળવતો Docker ક્લાઇંટ OIDC ઓળખ ટોકન માંગતો નથી. ઓળખ પ્રદાતા ફક્ત એ જ પ્રોટોકોલ માટે જવાબદારી લઈ શકે જેના માટે તે બનાવાયો છે.

લોગમાં નિષ્ફળતા જોવી સહેલી છે, જ્યારે તમે જાણો કે ક્યાં જોવું. ઓળખ પ્રદાતા સફળ લોગિનની જાણ કરે છે જ્યારે Wi-Fi જોડાણ હજી નિષ્ફળ જાય છે, અથવા રજિસ્ટ્રી એ ટોકન વિનિમય પછી 401 પરત કરે છે જે બ્રાઉઝરે કદી જોયો નહોતો. બે સફળતા અને એક નિષ્ફળતા વિરોધાભાસ નથી; તે ત્રણ અલગ પ્રમાણીકરણ છે.

જ્યાં પ્રમાણપત્ર પુનરાવર્તિત કોડને બદલે છે

સંચાલિત ઉપકરણો માટે, પ્રમાણપત્ર આધારિત EAP ઓળખ દૂર કર્યા વિના માનવીય પગલું દૂર કરે છે: ઉપકરણ પ્રમાણપત્ર રજૂ કરે છે, RADIUS સેવા તેને જારી કરનાર સત્તા સામે ચકાસે છે, અને રદ કરવું એ સત્તા પર થાય છે, વહેંચાયેલા રહસ્યમાં નહીં. બદલામાં જીવનચક્રનું કામ છે, કારણ કે પ્રમાણપત્રો સમાપ્ત થાય છે અને તે પહેલાં નવીકરણ કરવું પડે છે.

રજિસ્ટ્રીઓમાં સમાન વિભાજન છે. ક્રિયાપ્રતિક્રિયાત્મક વપરાશકર્તા એક વાર લોગિન કરી શકે અને ઓળખપત્ર સહાયકને પરિણામી ટોકન સંગ્રહ કરવા દે શકે, જ્યારે ઓટોમેશને સાંકડી વ્યાપવાળું સેવા ઓળખપત્ર કે વર્કલોડ ઓળખ વાપરવી જોઈએ. બંનેમાંથી કોઈ પણ પાઇપલાઇનમાં નકલ કરેલો માણસનો એકવાર વપરાતો કોડ ન હોવો જોઈએ. સહાયક ચોક્કસ રજિસ્ટ્રી પ્રેક્ષકો માટે ટોકન સંગ્રહે છે, તેથી કન્ફિગરેશન ફાઇલ સંપાદિત કરીને તેને VPN ગેટવે તરફ વાળી શકાતું નથી.

docker login registry.example.com

જાળવણી ખર્ચની સરખામણી કરો, પૂછપરછની સંખ્યાની નહીં

વહેંચાયેલું ઓળખપત્ર સસ્તું લાગે છે કારણ કે કામ નિષ્ફળ થાય ત્યાં સુધી અદૃશ્ય રહે છે. તેના બદલે ગણો કે દરેક વિકલ્પનો એક વર્ષમાં કેટલો ખર્ચ થાય છે: નોંધણી, નવીકરણ, રદ કરવું, લીકની અસરની ત્રિજ્યા, અને કોઈ ગયા ત્યારે સ્પર્શાતી સિસ્ટમોની સંખ્યા. પ્રમાણપત્રોનો કાફલો બનાવવામાં વધુ અને મોટા પાયે ચલાવવામાં ઓછો ખર્ચ કરે છે; નકલ કરેલો કોડ શરૂ કરવામાં કંઈ ખર્ચ કરતો નથી અને ખોલવામાં બધું.

પછી આખા વિશ્વ માટે નહીં, દરેક પગ માટે પસંદ કરો. Wi-Fi પ્રમાણપત્રો તરફ જઈ શકે, VPN MFA સાથેનું સમર્થિત SSO રાખી શકે, અને રજિસ્ટ્રી સ્પષ્ટ વ્યાપવાળા ટોકન વાપરી શકે. દરેક માટે માલિક, પ્રેક્ષકો, વ્યાપ, સમાપ્તિ અને રદ કરવાનો માર્ગ નોંધો, અને પૂછપરછ એકસાથે બધે નહીં પણ જ્યાં જોઈએ ત્યાં પડશે. એ નોંધ એ જવાબ પણ છે જ્યારે ઓડિટર પૂછે કે કઈ સિસ્ટમો હજી પાસવર્ડ પર ભરોસો કરે છે.