Kerberos SSO և VPN Mac-ում. համեմատեք մուտքի երկու ուղիները

Երկու մեխանիզմ Mac-ում տալիս են նույն հաճելի արդյունքը և ներսից վարվում են բոլորովին այլ կերպ։ Մեկը Kerberos տոմսեր է ստանում SSO ընդլայնման միջոցով և դրանք հանձնում մասնակից հավելվածներին։ Մյուսը բրաուզերի նստաշրջան է պահում ինքնության մատակարարի մոտ և թույլ է տալիս վեբ հավելվածներին ընդունել այն։ Դրանք տարբերվում են նրանով, թե ինչ է պետք նրանց ցանցում, որքան են գործում նրանց հավատարմագրերը և ինչ է տեղի ունենում այն պահին, երբ թունելը ընկնում է։

Երկու մեխանիզմ, մեկ մուտքի էկրան

Տոմսերի վրա հիմնված ուղին կախված է Kerberos տիրույթից, բանալիների բաշխման կենտրոնից և դրան համահունչ ժամացույցից։ Բրաուզերի ուղին կախված է հասանելի ինքնության մատակարարից, թխուկից կամ նշանից և այդ թողարկողին վստահող հավելվածից։ Երկուսն էլ կարող են կարգավորվել մուտքի պահին սկսելու համար, և դրա համար էլ դրանք շփոթում են նույն գործառույթի հետ։ Հավելվածներն են որոշում, թե երկուսից որն ընդունեն, և Mac-ը կարող է օրինականորեն միաժամանակ աշխատացնել երկուսն էլ։

Համեմատեք դրանք՝ հարցնելով, թե ինչ է ստուգում հավելվածը, երբ օգտատերը բացում է այն։ Kerberos տիրույթին միացած ֆայլային ծառայությունը ուզում է ծառայության տոմս, և բրաուզերի նստաշրջանի ոչ մի քանակություն չի բավարարի դրան։ Ժամանակակից ինքնության մատակարարի հետևում գտնվող վեբ հավելվածը ուզում է այդ մատակարարի նշանը և ընդհանրապես անտեսում է Kerberos տոմսը։ Երբ իմանաք, թե որ ստուգումն է տեղի ունենում, տեղադրման հարցերը դառնում են ընդհանուրից կոնկրետ։

Ինչ է պետք Kerberos ընդլայնմանը ցանցում

Apple-ի Kerberos SSO ընդլայնման ուղեցույցը նկարագրում է Active Directory-ի բնիկ նույնականացումը՝ տոմսերի նախաձեռնողական ստացմամբ, զուգակցված տեղական հաշիվների հետ, այլ ոչ թե տիրույթի կցման։ Ինչ այն չի կարող անել, դա տիրույթի կառավարիչներին տանող ուղի հորինելն է։ Mac-ին պետք է լուծիչ, որը պատասխանում է Kerberos ծառայության գրառումներին, և երթուղի, որը հասնում է դրանց հաստատված թունելով։ Մաքուր տեղադրվող պրոֆիլը ոչինչ չի ապացուցում, մինչև տիրույթը իրականում հնարավոր չլինի հայտնաբերել հաճախորդից։

Ստուգեք հայտնաբերումը նախքան հավատարմագրերը. Kerberos տիրույթի SRV գրառումները պետք է լուծվեն, և դրանց վերադարձրած հասցեները պետք է հասանելի լինեն VPN-ը բարձրացնելուց հետո։ Ժամանակը նույնքան կարևոր է, որքան հասանելիությունը, քանի որ Kerberos-ը մերժում է իր հանդուրժողականությունից դուրս սահած ժամացույցի հարցումները, և առաջացած սխալը նման է նույնականացման ձախողման։ Mac-ը, որը թունելն անջատված ժամանակ չի հասնում ժամանակի աղբյուրին, կրկին կձախողվի այն պահին, երբ այն վերադառնա։ Ուղղեք ժամանակի աղբյուրը որպես տեղադրման մաս, ոչ թե որպես միջադեպի արձագանք։

klist
sudo sntp -sS time.apple.com

Հավելվածային VPN-ն որոշում է, թե կարող է ընդլայնումն աշխատել

Լրիվ թունելն ուղղորդում է ամեն ինչ և թաքցնում այս խնդիրը։ Հավելվածային կարգավորումը ուղղորդում է միայն VPN պրոֆիլում նշված հավելվածները, իսկ SSO ընդլայնումն ինքնին գործընթաց է, որին ցանց է պետք տոմսեր բերելու համար։ Եթե այն քարտեզագրման մեջ չէ, տեղական մուտքը հաջողվում է, թունելը բարձրանում է բրաուզերի համար, և տոմսերի ստացումը դեռ ձախողվում է։

Կարդացեք VPN կարգավորումը և թվարկեք յուրաքանչյուր հավելված, որը պետք է ընդգրկի, ապա ավելացրեք SSO բաղադրիչը փաստաթղթավորված քարտեզագրման մեխանիզմով, այլ ոչ թե գուշակելով փաթեթի նույնացուցիչը։ Տեսանելի հաճախորդի քարտեզագրումը և դրա հետևում գտնվող բաղադրիչի ոչ քարտեզագրումը այս սխալի դասական տարբերակն է։ Պահեք քարտեզագրումը նույն կառավարվող պրոֆիլում, ինչ ընդլայնումը, որպեսզի մեկի փոփոխությունը չկարողանա լուռ անվավեր դարձնել մյուսը։ Փորձարկեք օգտատիրոջ հետ, որը երբեք չի մուտք գործել այդ Mac-ով, որովհետև պահված տոմսը կարող է կոտրված ուղին առողջ ցույց տալ, ապա կրկին փորձարկեք գաղտնաբառը փոխելուց հետո։

Բրաուզերի ինքնության նստաշրջանը այլ պայմանագիր է

Բրաուզերի նստաշրջանը չունի Kerberos տիրույթ, ծառայության տոմս և ժամացույցի հանդուրժողականություն Kerberos-ի իմաստով։ Այն ունի թողարկող, նշանի կյանքի տևողություն և թարմացման ուղի, և դրա ձախողման եղանակներն են երբեք չավարտվող վերահասցեավորումները և մասնավոր պատուհանի դեն նետած թխուկները։ Այն տոմսերի ուղու փոխարինող համարելը անվտանգ է միայն այնտեղ, որտեղ հավելվածն ինքն է ընդունում այդ թողարկողին։ VPN պորտալից նույնականացման պատասխանը չկապված ծառայության մեջ պատճենելը ինտեգրում չէ, որքան էլ հարմար թվա կարճ ուղին։

Երբ երկու մեխանիզմներն էլ տեղադրված են, փաստաթղթավորեք, թե որ հավելվածներն որն են օգտագործում, որովհետև աջակցության զրույցը դրանից է կախված։ Օգտատերը, որը հայտնում է, թե մուտք է գործել, բայց չի կարողանում բացել ֆայլային համօգտագործումը, նկարագրում է երկու համակարգ, և պատասխանն այն է, որ տոմսերի ուղին երբեք չի աշխատել։ Օգտատերը, որը կարողանում է բացել համօգտագործումը, բայց ոչ ինտրանետ պորտալը, նկարագրում է հակառակը, և մեխանիզմի անվանումը տոմսում խնայում է հարցերի մի փուլ։

Անցեք հաջորդականությամբ, ոչ թե մասերով

Անցեք ամբողջ շղթան սովորական գրանցված հաշվով՝ տեղական մուտք, թունել, տոմսերի ստացում, ապա մեկ իրական գործողություն ծառայության դեմ։ Կրկնեք այն թունելի վերամիացումից հետո և դիտավորյալ գաղտնաբառի փոփոխությունից հետո, որովհետև այդ դեպքերից յուրաքանչյուրը փորձարկում է կյանքի տևողության տրամաբանության այլ մաս։ Յուրաքանչյուր փուլի առանձին հաջողվելը նույնը չէ, ինչ աշխատող շղթան։ Շղթան այն է, ինչ ապրում է օգտատերը, և այն պետք է ծածկի ընդունման դեպքը։

Գրանցեք պրոֆիլի սեփականատիրոջը, VPN նույնականացման եղանակը, տիրույթի հայտնաբերման ուղին և ընդլայնման հավելվածային քարտեզագրումը մեկ տեղում։ Այդ գրառումն է, որ հոսքը դարձնում է վերարտադրելի նրա համար, ով չի կառուցել այն։ Ապա ստուգեք ամենահավանական ձախողումը՝ ժամկետանց տոմսը թունելն անջատված ժամանակ, և հաստատեք, որ հաճախորդը վերականգնվում է առանց վերագործարկման, որովհետև տեղադրումը, որն աշխատում է միայն սառը մեկնարկից, ավարտված չէ։

Նշեք նաև յուրաքանչյուր փուլի սեփականատիրոջը, որովհետև այն Kerberos տիրույթը, որը ոչ ոք չի պահպանում, հնանում է։ Շղթան, որը ոչ ոք չի կարող նկարագրել, այն շղթան է, որը ոչ ոք չի կարող վրիպազերծել։