Kerberos SSO og VPN á Mac: berið saman tvær innskráningaleiðir

Tvær aðferðir skila sama vingjarnlega árangri á Mac og hegða sér gjörólíkt undir yfirborðinu. Önnur sækir Kerberos-miða í gegnum SSO-viðbót og skilar þeim til þátttakandi forrita. Hin heldur vafralotu við auðkennisveitu og leyfir veforritum að virða hana. Þær eru ólíkar að því hvað þær þurfa á netinu, hversu lengi skírteini þeirra endast og hvað gerist á því augnabliki sem göngin falla.

Tvær aðferðir, einn innskráningarskjár

Miðamiðuð leiðin er háð Kerberos-léni, lykildreifingarmiðstöð og klukku sem er sammála henni. Vafraleiðin er háð aðgengilegri auðkennisveitu, vafraköku eða tákni og forriti sem treystir þeim útgefanda. Hægt er að stilla báðar til að byrja við innskráningu, og þess vegna er þeim ruglað saman við sama eiginleikann. Forritin ákveða hvora tveggja þau samþykkja, og Mac getur lögmætlega keyrt báðar á sama tíma.

Berðu þær saman með því að spyrja hvað forritið athugar þegar notandi opnar það. Skráaþjónusta sem er tengd Kerberos-léninu vill þjónustumiða, og engin magn vafralotu mun fullnægja henni. Veforrit bak við nútíma auðkennisveitu vill tákn þeirrar veitu og hunsar Kerberos-miðann algjörlega. Þegar þú veist hvaða athugun á sér stað verða uppsetningarspurningarnar nákvæmar í stað almennra.

Hvað Kerberos-viðbótin þarf á netinu

Leiðarvísir Appels um Kerberos SSO-viðbótina lýsir innbyggðri auðkenningu í Active Directory með fyrirbyggjandi miðasöfnun, tengdri staðbundnum reikningum í stað lénstengingar. Það sem hún getur ekki er að búa til leið að léniðurstjórum. Macinn þarf leysir sem svarar Kerberos-þjónustufærslunum og slóð sem nær þeim í gegnum samþykktu göngin. Snið sem setur sig upp hreint sannar ekkert fyrr en lénið er í raun hægt að uppgötva frá biðlarans.

Athugaðu uppgötvun áður en þú athugar skírteini: SRV-færslur Kerberos-lénsins verða að leysast og heimilisföngin sem þær skila verða að vera aðgengileg þegar VPN er komið upp. Tíminn skiptir jafn miklu máli og aðgengið, því Kerberos hafnar beiðnum frá klukku sem hefur rekist út fyrir þol sitt, og villa sem hún framleiðir lítur út eins og auðkenningarbilun. Mac sem nær ekki tímaheimild meðan göngin eru niðri mistekst aftur á því augnabliki sem þau koma aftur. Lagaðu tímaheimildina sem hluta af uppsetningunni en ekki sem viðbragð við atviki.

klist
sudo sntp -sS time.apple.com

VPN fyrir hvert forrit ræður því hvort viðbótin geti unnið

Heil göng leiða allt og fela þetta vandamál. Stilling fyrir hvert forrit leiðir aðeins forritin sem eru nefnd í VPN-sniðinu, og SSO-viðbótin er sjálf ferli sem þarf netið til að sækja miða. Ef hún er ekki í kortlagningunni tekst staðbundin innskráning, göngin fara upp fyrir vafrann og miðasöfnun mistekst samt.

Lestu VPN-stillinguna og listuðu hvert forrit sem hún á að ná yfir, bættu síðan SSO-íhlutnum við í gegnum skjalfesta kortlagningaraðferð í stað þess að giska á pakkaauðkenni. Að kortleggja sýnilega biðlarann en ekki íhlutinn bak við hann er klassíska útgáfan af þessari villu. Haltu kortlagningunni í sama stýrða sniði og viðbótin, svo breyting á öðru geti ekki gert hitt ógilt í hljóði. Prófaðu með notanda sem hefur aldrei skráð sig inn á þann Mac, því vistaður miði getur látið brotna leið líta heilbrigða út, og prófaðu svo aftur eftir lykilorðsbreytingu.

Auðkennislotan í vafranum er annar samningur

Vafralota hefur ekkert Kerberos-lén, engan þjónustumiða og ekkert klukkubol í Kerberos-skyni. Hún hefur útgefanda, líftíma tákns og endurnýjunarleið, og bilanir hennar eru endurbeiningar sem klárast aldrei og vafrakökur sem einkagluggi hendir. Að meðhöndla hana sem staðgengil miðaleiðarinnar er aðeins öruggt þar sem forritið sjálft samþykkir þann útgefanda. Að afrita auðkenningarsvar frá VPN-gátt í ótengda þjónustu er ekki samþætting, hversu þægileg sem flýtileiðin virðist.

Þegar báðar aðferðir eru uppsettar skaltu skjalfesta hvaða forrit nota hvora, því stuðningssamtalið fer eftir því. Notandi sem segist vera innskráður en getur ekki opnað skráardeilingu lýsir tveimur kerfum, og svarið er að miðaleiðin hafi aldrei keyrt. Notandi sem getur opnað deilinguna en ekki innanverfargáttina lýsir hinu gagnstæða, og að nefna aðferðina í miðanum sparar eina spurningakörfu.

Gakktu röðina, ekki hlutana

Gakktu alla keðjuna með venjulegum skráðum reikningi: staðbundin innskráning, göng, miðasöfnun og svo ein raunveruleg aðgerð gegn þjónustu. Endurtaktu það eftir að göngin tengjast aftur og eftir viljandi lykilorðsbreytingu, því hvert þessara tilvika þjálfar annan hluta líftímans rökfræði. Að hvert þrep standist eitt og sér er ekki það sama og að keðjan virki. Keðjan er það sem notandinn upplifir, og það er það sem samþykkistilvikið verður að ná yfir.

Skráðu eiganda sniðsins, auðkenningaraðferð VPN, uppgötvunarleið lénsins og forritakortlagningu viðbótarinnar á einn stað. Sú skráning er það sem gerir flæðið endurgeranlegt fyrir einhvern sem byggði það ekki. Athugaðu síðan bilunina sem þú munt líklega mæta, útrunnin miði meðan göngin eru niðri, og staðfestu að biðlarinn jafni sig án endurræsingar, því uppsetning sem virkar aðeins frá köldu ræsingu er ekki fullbúin.

Skráðu líka eiganda hvers þreps, því Kerberos-lén sem enginn viðheldur verður úrelt. Keðja sem enginn getur lýst er keðja sem enginn getur kembileitað.