Kerberos SSO és VPN Macen: hasonlítsa össze a két bejelentkezési utat

Két mechanizmus ugyanazt a barátságos eredményt adja Macen, és a felszín alatt teljesen másképp viselkedik. Az egyik SSO-bővítményen keresztül szerez Kerberos-jegyeket, és átadja őket a részt vevő alkalmazásoknak. A másik böngésző-munkamenetet tart egy identitásszolgáltatónál, és hagyja, hogy a webalkalmazások elfogadják. Abban különböznek, mire van szükségük a hálózaton, mennyi ideig érvényesek a hitelesítő adataik, és mi történik abban a pillanatban, amikor az alagút megszakad.

Két mechanizmus, egy bejelentkezőképernyő

A jegyalapú út egy Kerberos-tartománytól, egy kulcselosztó központtól és egy vele egyező órától függ. A böngészőút egy elérhető identitásszolgáltatótól, egy cookie-tól vagy tokenből és egy alkalmazástól függ, amely megbízik ebben a kibocsátóban. Mindkettő beállítható, hogy bejelentkezéskor induljon, ezért keverik össze őket ugyanazzal a funkcióval. Az alkalmazások döntik el, melyiket fogadják el, és egy Mac jogszerűen futtathatja mindkettőt egyszerre.

Hasonlítsa össze őket azzal a kérdéssel, mit ellenőriz az alkalmazás, amikor a felhasználó megnyitja. A Kerberos-tartományhoz csatlakozott fájlszolgáltatás szolgáltatásjegyet kér, és semmilyen mennyiségű böngésző-munkamenet nem elégíti ki. Egy modern identitásszolgáltató mögötti webalkalmazás az adott szolgáltató tokenjét kéri, és teljesen figyelmen kívül hagyja a Kerberos-jegyet. Amint tudja, melyik ellenőrzés történik, a telepítési kérdések általánosak helyett konkrétakká válnak.

Mire van szüksége a Kerberos-bővítménynek a hálózaton

Az Apple Kerberos SSO-bővítmény útmutatója a natív Active Directory-hitelesítést írja le proaktív jegybeszerzéssel, helyi fiókokhoz párosítva tartományhoz csatlakozás helyett. Amit nem tud, az az, hogy utat találjon ki a tartományvezérlőkhöz. A Macnek olyan feloldóra van szüksége, amely válaszol a Kerberos szolgáltatásrekordokra, és olyan útvonalra, amely a jóváhagyott alagúton keresztül eléri őket. Egy tisztán települő profil semmit sem bizonyít, amíg a tartomány valóban fel nem fedezhető az ügyfélről.

A felderítést a hitelesítő adatok előtt ellenőrizze: a Kerberos-tartomány SRV-rekordjainak fel kell oldódniuk, és a visszaadott címeknek elérhetőnek kell lenniük, amint a VPN feláll. Az idő ugyanolyan fontos, mint az elérhetőség, mert a Kerberos elutasítja a tűréshatárán túl eltért órától érkező kéréseket, és a keletkező hiba hitelesítési hibának látszik. Egy Mac, amely nem ér el időforrást, amíg az alagút le van állva, újra meghiúsul abban a pillanatban, amikor visszatér. Az időforrást a telepítés részeként javítsa, ne incidensre adott válaszként.

klist
sudo sntp -sS time.apple.com

Az alkalmazásonkénti VPN dönti el, működhet-e a bővítmény

A teljes alagút mindent átirányít, és elrejti ezt a problémát. Az alkalmazásonkénti konfiguráció csak a VPN-profilban megnevezett alkalmazásokat irányítja át, és az SSO-bővítmény maga is folyamat, amelynek a hálózatra van szüksége a jegyek megszerzéséhez. Ha nincs benne a leképezésben, a helyi bejelentkezés sikerül, az alagút feláll a böngészőnek, és a jegybeszerzés továbbra is meghiúsul.

Olvassa el a VPN-konfigurációt, és listázza ki az összes alkalmazást, amelyet fednie kell, majd adja hozzá az SSO-összetevőt a dokumentált leképezési mechanizmuson keresztül, ne pedig egy bundle-azonosító kitalálásával. A látható ügyfél leképezése és a mögötte lévő összetevőé nem a hiba klasszikus változata. Tartsa a leképezést ugyanabban a felügyelt profilban, mint a bővítményt, hogy az egyik változása ne érvénytelenítse csendben a másikat. Teszteljen olyan felhasználóval, aki még soha nem jelentkezett be azon a Macen, mert a gyorsítótárazott jegy egészségesnek mutathat egy törött utat, majd teszteljen újra jelszóváltás után.

A böngésző-identitásmunkamenet más szerződés

A böngésző-munkamenetnek nincs Kerberos-tartománya, nincs szolgáltatásjegye, és nincs óratűrése Kerberos-értelemben. Van kibocsátója, token-élettartama és frissítési útvonala, meghibásodási módjai pedig soha be nem fejeződő átirányítások és a privát ablak által eldobott cookie-k. Csak ott biztonságos a jegypálya helyettesítőjeként kezelni, ahol maga az alkalmazás elfogadja ezt a kibocsátót. Egy hitelesítési válasz átmásolása a VPN-portálról egy nem kapcsolódó szolgáltatásba nem integráció, bármennyire kényelmesnek tűnik is a rövidítés.

Amikor mindkét mechanizmus telepítve van, dokumentálja, mely alkalmazások melyiket használják, mert a támogatási beszélgetés ettől függ. Az a felhasználó, aki szerint be van jelentkezve, de nem tud megnyitni egy fájlmegosztást, két rendszert ír le, és a válasz az, hogy a jegypálya soha nem futott le. Az a felhasználó, aki meg tudja nyitni a megosztást, de az intranetportált nem, az ellenkezőjét írja le, és a mechanizmus megnevezése a jegyben egy kérdéskört megspórol.

A sorrendet járja végig, ne a részeket

Járja végig a teljes láncot egy közönséges regisztrált fiókkal: helyi bejelentkezés, alagút, jegybeszerzés, majd egy valódi művelet egy szolgáltatás ellen. Ismételje meg az alagút újracsatlakozása után és egy szándékos jelszóváltás után, mert ezek mindegyike az élettartam-logika más részét gyakorolja. Az, hogy minden szakasz külön-külön átmegy, nem ugyanaz, mint a működő lánc. A lánc az, amit a felhasználó megtapasztal, és ezt kell az átvételi esetnek lefednie.

Rögzítse a profil tulajdonosát, a VPN-hitelesítési módszert, a tartományfelderítési utat és a bővítmény alkalmazásleképezését egy helyen. Ez a feljegyzés teszi a folyamatot reprodukálhatóvá olyasvalaki számára, aki nem építette. Ezután ellenőrizze a legvalószínűbb meghibásodást, egy lejárt jegyet, miközben az alagút le van állva, és erősítse meg, hogy az ügyfél újraindítás nélkül helyreáll, mert az a telepítés, amely csak hidegindításból működik, nem kész.

Jegyezze fel az egyes szakaszok tulajdonosát is, mert az a Kerberos-tartomány, amelyről senki nem gondoskodik, elavulttá válik. Az a lánc, amelyet senki nem tud leírni, olyan lánc, amelyet senki nem tud hibakeresni.