Mengapa satu OTP tidak bisa menutup Wi-Fi, VPN, dan registri

Login tunggal menjanjikan satu identitas dan lebih sedikit permintaan, dan janji itu patah pada protokol ketiga. Jebakannya adalah menganggap satu autentikasi berhasil menghasilkan token yang bisa disajikan protokol lain. Akses Wi-Fi, masuk VPN, dan registri kontainer masing-masing menjalankan pertukaran berbeda, dengan audiens dan masa hidup berbeda. Berbagi akun adalah keputusan direktori; berbagi kredensial adalah keputusan protokol, dan protokolnya jarang sepakat.

Tiga pertukaran, tiga pemilik

Wi-Fi perusahaan menjalankan metode EAP di dalam 802.1X, biasanya diakhiri layanan RADIUS yang punya pandangannya sendiri atas pengguna atau perangkat. Gateway VPN mengautentikasi melalui alirannya yang didukung lalu menyimpan sesi dengan pengatur waktu autentikasi ulangnya sendiri. Registri menjawab permintaan tanpa autentikasi dengan tantangan yang menyebut layanan token, audiens, dan cakupan, dan klien menukar kredensialnya dengan token berumur pendek.

Itu bukan tiga pandangan atas satu sesi. Masing-masing punya pemverifikasi sendiri, masa hidup sendiri, dan jalur pencabutan sendiri, karena itu perubahan kata sandi di direktori bisa meninggalkan satu tetap bekerja dan yang lain rusak. Perlakukan mereka sebagai tiga integrasi yang kebetulan berbagi direktori pengguna.

Apa yang dibawa SSO peramban dan apa yang tidak

Sesi peramban di penyedia identitas benar-benar berguna: aplikasi yang mengalihkan ke sana mewarisi login yang sudah diselesaikan pengguna. Itu berhasil karena aplikasi tersebut berbicara protokol pengalihan dan token yang sama serta menerima audiens yang sama. Peminta yang berbicara EAP tidak punya pengalihan untuk diikuti, dan klien Docker yang menerima tantangan registri tidak meminta token identitas OIDC. Penyedia identitas hanya bisa menjamin protokol yang memang dirancang untuk dibicarakannya.

Kegagalan mudah dilihat di log begitu tahu ke mana harus melihat. Penyedia identitas melaporkan login berhasil sementara asosiasi Wi-Fi masih gagal, atau registri mengembalikan 401 setelah pertukaran token yang tidak pernah dilihat peramban. Dua keberhasilan dan satu kegagalan bukan kontradiksi; itu tiga autentikasi terpisah.

Di mana sertifikat menggantikan kode berulang

Untuk perangkat terkelola, EAP berbasis sertifikat menghapus langkah manusia tanpa menghapus identitas: perangkat menyajikan sertifikat, layanan RADIUS memeriksanya pada otoritas penerbit, dan pencabutan terjadi di otoritas itu, bukan di rahasia bersama. Harganya adalah kerja siklus hidup, karena sertifikat kedaluwarsa dan harus diperbarui sebelum itu.

Registri punya pembagian setara. Pengguna interaktif bisa login sekali dan membiarkan pembantu kredensial menyimpan token yang dihasilkan, sedangkan otomatisasi sebaiknya memakai kredensial layanan dengan cakupan sempit atau identitas beban kerja. Keduanya tidak boleh berupa kode sekali pakai milik manusia yang disalin ke pipeline. Pembantu menyimpan token untuk audiens registri tertentu, jadi ia tidak bisa diarahkan ke gateway VPN dengan menyunting berkas konfigurasi.

docker login registry.example.com

Bandingkan biaya pemeliharaan, bukan jumlah permintaan

Kredensial bersama tampak murah karena pekerjaannya tidak terlihat sampai gagal. Hitunglah sebaliknya berapa biaya setiap opsi selama setahun: pendaftaran, pembaruan, pencabutan, radius dampak kebocoran, dan jumlah sistem yang tersentuh saat seseorang keluar. Armada sertifikat lebih mahal dibangun dan lebih murah dioperasikan dalam skala; kode yang disalin tidak berbiaya untuk memulai dan memakan segalanya untuk diurai.

Lalu pilih per segmen, bukan secara global. Wi-Fi bisa beralih ke sertifikat, VPN bisa mempertahankan SSO yang didukung dengan MFA, dan registri bisa memakai token dengan cakupan eksplisit. Catat pemilik, audiens, cakupan, kedaluwarsa, dan jalur pencabutan untuk masing-masing, dan permintaan akan jatuh di tempat yang semestinya, bukan di semua tempat sekaligus. Catatan itu juga jawabannya ketika auditor bertanya sistem mana yang masih memercayai kata sandi.