શું VPN SSO વપરાશકર્તાઓને આંતરિક એપ્સમાં આપમેળે સાઇન ઇન કરે છે?

ઓળખ પ્રદાતા દ્વારા પ્રમાણીકરણ કરતું VPN ગેટવે ફક્ત એક વાત સાબિત કરે છે: પ્રદાતાએ ગેટવે સમક્ષ વપરાશકર્તા માટે જવાબદારી લીધી છે. તે એ વપરાશકર્તાને ઇન્ટ્રાનેટ વિકિ, મોનિટરિંગ ડેશબોર્ડ કે બિલ્ડ સર્વર માટે કોઈ ઓળખપત્ર આપતું નથી. એ સેવાઓ પોતાના ફેડરેશન દ્વારા લોકોને સાઇન ઇન કરાવે છે અને પોતાનું અધિકૃતિકરણ લાગુ કરે છે, અને ટનલ ફક્ત નક્કી કરે છે કે કયા પેકેટ તેમને પહોંચી શકે.

ત્રણ સત્રો, ત્રણ અલગ નિર્ણયો

સ્થિતિઓને અલગ રાખો, કારણ કે દરેક પોતાના સમયપત્રક પ્રમાણે સમાપ્ત થાય છે. VPN સત્ર એ ઓળખની ગેટવે દ્વારા સ્વીકૃતિ અને તેણે આપેલ નેટવર્ક ઍક્સેસ છે. ઓળખ પ્રદાતા પાસેનું બ્રાઉઝર સત્ર એ છે જે બ્રાઉઝર એ પ્રદાતા માટે હજી રાખે છે અને તેની નીતિ હેઠળ ફરી વાપરી શકે છે. એપ સત્ર એ એક સેવાનું છે જેણે તેને સંબોધિત પ્રતિસાદની ચકાસણી કરી છે.

એ સ્થિતિઓને ભેળવવાથી ખોટો પ્રશ્ન ઊભો થાય છે, સામાન્ય રીતે એમ કહેવાય છે કે ટનલ વપરાશકર્તાને બધે કેમ સાઇન ઇન કરાવતું નથી. તેને ફરી લખો: કઈ એપમાં ફેડરેશન નોંધ નથી, કઈ વપરાશકર્તાને નકારે છે, અને કઈમાં માર્ગ ખૂટે છે. ઇન્ટ્રાનેટ એપ ખોલતું એક જ સાઇન-ઇન સૂચન તોપણ પ્રદાતા તરફ પાછું જઈ શકે છે, કારણ કે બીજું રીડાયરેક્ટ અલગ પ્રેક્ષકો માટે નવી અધિકૃતિ વિનંતી છે.

ગેટવેને તેની પોતાની એપ તરીકે જોડો

VPNને પ્રદાતામાં મંજૂર એપ તરીકે નોંધો, તેના પોતાના ઓળખકર્તા, રીડાયરેક્ટ URI અને વપરાશકર્તા ફાળવણી સાથે. પછી નક્કી કરો કે એ લૉગિન કઈ નેટવર્ક અધિકૃતિઓ આપે છે, કારણ કે એ VPN નીતિ છે, પ્રદાતાની સુવિધા નહીં. જેમને ફક્ત મોનિટરિંગ સબનેટ સુધી પહોંચવું જોઈએ તેમને અલગ ગેટવે નીતિ મળે છે, અલગ પાસવર્ડ નહીં.

ટનલનો પ્રમાણીકરણ પ્રતિસાદ ફરી વાપરી શકાય તેવું ઓળખપત્ર નથી. OIDC ID ટોકનમાં પ્રેક્ષક દાવો હોય છે જે તે ક્લાયન્ટનું નામ આપે છે જેના માટે તે બનાવાયા હતા, અને SAML બેરર દાવાઓ પ્રેક્ષકને સ્વીકારતી સેવા પ્રદાતા સુધી મર્યાદિત કરે છે. પ્રથમ સેવાનો પ્રતિસાદ સ્વીકારતી બીજી સેવા ખોટી રીતે ગોઠવાયેલી છે, અને ટોકનને બીજી એપમાં નકલ કરવી એ પ્રણાલીકરણ નથી.

દરેક આંતરિક એપ નોંધો, પછી બ્રાઉઝર સંદર્ભ ગોઠવો

દરેક સેવાને સમર્થિત SAML કે OIDC મૂલ્યોની જરૂર છે: નિકાસક, ક્લાયન્ટ ઓળખકર્તા, કૉલબેક કે દાવો-ગ્રાહક URL, જરૂરી દાવાઓ અને ફાળવણી. પહોંચ એ તેની ઉપર આવે છે, કારણ કે ઓળખ ચકાસણીઓ કદી માર્ગ કે DNS જવાબ આપતી નથી.

1. એપ એન્ટ્રી બનાવો અને ખાતરી કરો કે એન્ટિટી કે ક્લાયન્ટ ID એપ જે મોકલે છે તેની સાથે મેળ ખાય છે.
2. સ્કીમ અને પોર્ટ સહિત ચોક્કસ કૉલબેક URL નોંધો; થોડી ભૂલ વપરાશકર્તા પ્રમાણીકરણ પછી નિષ્ફળ જાય છે.
3. વપરાશકર્તાઓ કે જૂથોને ફાળવો, પછી ખાતરી કરો કે જરૂરી દાવાઓ બહાર પડે છે.
4. ખાનગી એપની સાથે ઓળખ પ્રદાતાના એન્ડપોઇન્ટને પણ મંજૂરી આપો, નહીં તો રીડાયરેક્ટ પૂર્ણ થઈ શકશે નહીં.

બ્રાઉઝર સંદર્ભ નક્કી કરે છે કે હાલનું પ્રદાતા સત્ર ફરી વપરાય છે કે નહીં. સિસ્ટમ બ્રાઉઝર ખોલતો નેટિવ ક્લાયન્ટ એ સ્થિતિ વહેંચી શકે છે, જ્યારે પોતાના કૂકી જારવાળું એમ્બેડેડ વ્યૂ સામાન્ય રીતે નહીં. નવું બ્રાઉઝર, ખાનગી વિન્ડો અને બીજી પ્રોફાઇલ શૂન્યથી શરૂ થાય છે, જે અપેક્ષિત છે, તૂટેલી SSO રૂપરેખા નહીં.

ફ્લો ચલાવો અને વાંચો કે ક્યાં અટકે છે

બ્રાઉઝરના નેટવર્ક પેનલ સાથે પુનરુત્પાદન કરો અને રીડાયરેક્ટ શૃંખલા જુઓ. ઉપયોગી પસાર એક સમયે એક કૂદકો અનુસરે છે: ગેટવેથી પ્રદાતા, પ્રદાતાથી કોડ કે દાવા સાથે એપ તરફ, એપથી પ્રદાતાના ટોકન એન્ડપોઇન્ટ તરફ, એપ સત્ર જારી. જ્યાં શૃંખલા અટકે છે તે કૂદકો સુધારવાના ઘટકનું નામ આપે છે.

કમાન્ડ લાઇનની બે ચકાસણી સામાન્ય શંકાઓ ઉકેલે છે, અને બંને એડમિન હોસ્ટથી ચલાવવી સુરક્ષિત છે:

curl -s https://idp.example.com/.well-known/openid-configuration | jq -r '.authorization_endpoint, .token_endpoint'
curl -sI https://app.example.net/ | grep -iE '^(HTTP/|location:)'

જ્યારે મેટાડેટા એવા એન્ડપોઇન્ટની યાદી આપે જે તમે કદી નોંધ્યા નથી, ત્યારે એપ બીજા ટેનન્ટ કે નિકાસક તરફ ઇશારો કરે છે. જ્યારે એપને પહેલી વિનંતી અણધાર્યા હોસ્ટ તરફ 302 જવાબ આપે, ત્યારે એપની ફેડરેશન રૂપરેખા જોવાનું સ્થળ છે, VPN પ્રોફાઇલ નહીં.

કોણે માંગ્યું તે શોધીને સૂચનો સુધારો

બીજું પાસવર્ડ સૂચન આપમેળે ખામી નથી. એપ ઊંચું આશ્વાસન સ્તર માંગી શકે છે, અથવા પ્રદાતા મહત્તમ સત્ર વય અને નવો પડકાર લાદી શકે છે. ફ્લોને શાંત કરવા એ જરૂરિયાતો દૂર કરવી જાણી જોઈને રાખેલું નિયંત્રણ નબળું કરે છે, તેથી નીતિ બદલતા પહેલાં નક્કી કરો કે કયા ઘટકે માંગ્યું.

પછી નક્કી કરો કે શું સુધારવું. જો સૂચન એપમાંથી આવે, તો તેની ફેડરેશન નોંધ સુધારો. જો નીતિ પ્રમાણે પ્રદાતામાંથી આવે, તો જરૂરિયાતનું દસ્તાવેજીકરણ કરો. જો સફળ સાઇન-ઇન પછી એપ પહોંચની બહાર હોય, તો ટનલનું રૂટિંગ શંકાસ્પદ છે, કારણ કે ઓળખ અને પેકેટ વિતરણ જુદી જગ્યાએ નિષ્ફળ જાય છે અને વપરાશકર્તાના બેઠક સ્થાનથી સરખા દેખાય છે.