Ինչու մեկ OTP-ն չի կարող ծածկել Wi-Fi-ն, VPN-ը և ռեեստրը

Միասնական մուտքը խոստանում է մեկ ինքնություն և ավելի քիչ հարցումներ, բայց խոստումը կտրվում է երրորդ արձանագրության վրա։ Թակարդն այն է՝ ենթադրել, որ մեկ հաջող նույնականացում առաջացնում է թոքեն, որը կարող է ներկայացնել ցանկացած այլ արձանագրություն։ Wi-Fi-ի մուտքը, VPN-ի մուտքը և կոնտեյներային ռեեստրը յուրաքանչյուրը կատարում է տարբեր փոխանակում՝ տարբեր լսարաններով և կյանքի տևողություններով։ Հաշիվը կիսելը գրացուցակի որոշում է՝ հավատարմագրերը կիսելը արձանագրության որոշում է, և արձանագրությունները հազվադեպ են համաձայնվում։

Երեք փոխանակում, երեք սեփականատեր

Ձեռնարկային Wi-Fi-ն գործարկում է EAP մեթոդ 802.1X-ի ներսում, որը սովորաբար ավարտում է RADIUS ծառայությունը՝ օգտատիրոջ կամ սարքի վերաբերյալ իր տեսլականով։ VPN դարպասը նույնականացնում է իր աջակցվող հոսքով, ապա պահում է սեսիա իր վերանույնականացման ժամաչափով։ Ռեեստրը չնույնականացված հարցմանը պատասխանում է մարտահրավերով, որը նշում է թոքենի ծառայություն, լսարան և շրջանակ, և հաճախորդը իր հավատարմագրերը փոխանակում է կարճաժամկետ թոքենի հետ։

Սրանք մեկ սեսիայի երեք տեսակետներ չեն։ Յուրաքանչյուրն ունի իր ստուգիչը, իր կյանքի տևողությունը և իր չեղարկման ուղին, դրա համար էլ գրացուցակում գաղտնաբառի փոփոխությունը կարող է մեկը թողնել աշխատող, իսկ մյուսը՝ կոտրված։ Վերաբերվեք նրանց որպես երեք ինտեգրացիաների, որոնք պատահաբար կիսում են օգտատերերի գրացուցակ։

Ինչ է կրում բրաուզերի SSO-ն և ինչ՝ ոչ

Ինքնության մատակարարի մոտ բրաուզերի սեսիան իսկապես օգտակար է՝ այնտեղ վերահասցեավորող հավելվածները ժառանգում են այն մուտքը, որն օգտատերն արդեն ավարտել է։ Դա աշխատում է, որովհետև այդ հավելվածները խոսում են նույն վերահասցեավորման և թոքենի արձանագրություններով և ընդունում են նույն լսարանը։ EAP խոսող հայցողը հետևելու վերահասցեավորում չունի, և ռեեստրի մարտահրավեր ստացող Docker հաճախորդը OIDC ինքնության թոքեն չի խնդրում։ Ինքնության մատակարարը կարող է երաշխավորել միայն այն արձանագրությունները, որոնց համար կառուցվել է։

Ձախողումը հեշտ է տեսնել մատյաններում, երբ գիտես, թե ուր նայել։ Ինքնության մատակարարը հաղորդում է հաջող մուտքի մասին, մինչ Wi-Fi-ի միացումը դեռ ձախողվում է, կամ ռեեստրը վերադարձնում է 401 այն թոքենի փոխանակումից հետո, որը բրաուզերը երբեք չի տեսել։ Երկու հաջողություն և մեկ ձախողում հակասություն չեն՝ դրանք երեք առանձին նույնականացումներ են։

Որտեղ վկայականը փոխարինում է կրկնվող կոդին

Կառավարվող սարքերի համար վկայականի վրա հիմնված EAP-ն հեռացնում է մարդկային քայլը՝ չհեռացնելով ինքնությունը՝ սարքը ներկայացնում է վկայական, RADIUS ծառայությունը ստուգում է այն թողարկող մարմնի մոտ, և չեղարկումը տեղի է ունենում այդ մարմնում, ոչ թե համատեղ գաղտնիքում։ Գինը կյանքի ցիկլի աշխատանքն է, որովհետև վկայականները սպառվում են և պետք է նորացվեն մինչ այդ։

Ռեեստրներն ունեն համարժեք բաժանում։ Ինտերակտիվ օգտատերը կարող է մեկ անգամ մուտք գործել և թույլ տալ հավատարմագրերի օգնականին պահել ստացված թոքենը, մինչ ավտոմատացումը պետք է օգտագործի նեղ շրջանակի ծառայության հավատարմագրեր կամ աշխատանքային բեռի ինքնություն։ Նրանցից ոչ մեկը չպետք է լինի մարդու մեկանգամյա կոդ՝ պատճենված խողովակաշարի մեջ։ Օգնականը պահում է թոքեն կոնկրետ ռեեստրի լսարանի համար, ուստի այն հնարավոր չէ վերահասցեավորել VPN դարպասին՝ կոնֆիգուրացիայի ֆայլը խմբագրելով։

docker login registry.example.com

Համեմատեք սպասարկման արժեքը, ոչ հարցումների քանակը

Համատեղ հավատարմագիրը էժան է թվում, որովհետև աշխատանքը անտեսանելի է, մինչև այն ձախողվի։ Փոխարենը հաշվեք, թե յուրաքանչյուր տարբերակ ինչ արժե մեկ տարվա ընթացքում՝ գրանցում, նորացում, չեղարկում, արտահոսքի ազդեցության շառավիղ և համակարգերի քանակ, որոնց դիպչում են, երբ ինչ-որ մեկը հեռանում է։ Վկայականների պարկը ավելի թանկ է կառուցել և ավելի էժան՝ մասշտաբով շահագործել՝ պատճենված կոդը ոչինչ չարժե սկսել և ամեն ինչ՝ քանդել։

Ապա ընտրեք յուրաքանչյուր ոտքի համար, ոչ գլոբալ։ Wi-Fi-ն կարող է անցնել վկայականների, VPN-ը կարող է պահել աջակցվող SSO-ն MFA-ով, և ռեեստրը կարող է օգտագործել բացահայտ շրջանակներով թոքեններ։ Գրանցեք սեփականատերը, լսարանը, շրջանակը, ժամկետը և չեղարկման ուղին յուրաքանչյուրի համար, և հարցումները կընկնեն այնտեղ, որտեղ պետք է, այլ ոչ թե միանգամից ամենուր։ Այդ գրառումը նաև պատասխանն է, երբ աուդիտորը հարցնում է, թե որ համակարգերը դեռ վստահում են գաղտնաբառին։