Hvers vegna eitt OTP nær ekki yfir Wi-Fi, VPN og skrá

Eins innskráning lofar einni auðkenni og færri beiðnum, og lofið brestur við þriðju samskiptaregluna. Gildran er að ætla að ein vel heppnuð auðkenning framleiði tákn sem sérhver önnur regla geti lagt fram. Wi-Fi-aðgangur, VPN-innskráning og geymsluskrá keyra hvert sína mismunandi skipti, með mismunandi áhorfendum og líftímum. Að deila reikningnum er ákvörðun í skránni; að deila skírteininu er ákvörðun í reglunni, og reglurnar eru sjaldan sammála.

Þrjú skipti, þrír eigendur

Fyrirtækja-Wi-Fi keyrir EAP-aðferð innan 802.1X, venjulega lokið af RADIUS-þjónustu sem hefur sína eigin sýn á notandann eða tækið. VPN-hlið auðkennir sig í gegnum sitt eigið studda flæði og heldur síðan lotu með sínum eigin endurauðkenningartímamæli. Skrá svarar óauðkenndri beiðni með áskorun sem nefnir táknþjónustu, áhorfendur og umfang, og biðlarinn skiptir skírteini sínu fyrir skammlíft tákn.

Þetta eru ekki þrjár sýnir af einni lotu. Hvert hefur sinn eigin sannprófanda, sinn eigin líftíma og sína eigin afturköllunarleið, þess vegna getur lykilorðsbreyting í skránni látið eitt virka og annað brotið. Meðhöndlaðu þau sem þrjár samþættingar sem deila fyrir tilviljun notendaskrá.

Hvað SSO í vafranum ber og hvað ekki

Vafralota hjá auðkennisveitanda er sannarlega gagnleg: forrit sem beina þangað erfa innskráninguna sem notandinn hefur þegar lokið. Það virkar vegna þess að þau forrit tala sömu beininga- og táknsamskiptareglur og samþykkja sömu áhorfendur. Beiðandi sem talar EAP hefur enga beiningu til að fylgja, og Docker-biðlari sem fær áskorun frá skrá biður ekki um OIDC-auðkennistákn. Auðkennisveitandinn getur aðeins ábyrgst þær reglur sem hann var byggður til að tala.

Bilanin er auðséð í annálunum þegar maður veit hvar á að horfa. Auðkennisveitandinn tilkynnir vel heppnaða innskráningu á meðan Wi-Fi-tengingin mistekst enn, eða skráin skilar 401 eftir táknaskipti sem vafrinn sá aldrei. Tvær velgengni og ein bilun eru ekki mótsögn; það eru þrjár aðskildar auðkenningar.

Þar sem skírteini kemur í stað endurtekins kóða

Fyrir stýrð tæki fjarlægir skírteinisbundið EAP mannlega skrefið án þess að fjarlægja auðkenni: tækið leggur fram skírteini, RADIUS-þjónustan athugar það hjá útgáfuyfirvaldinu, og afturköllun á sér stað hjá því yfirvaldi í stað sameiginlegs leyndarmáls. Verðið er líftímavinna, því skírteini renna út og þarf að endurnýja þau fyrir það.

Skrár hafa samsvarandi skiptingu. Gagnvirkur notandi getur skráð sig inn einu sinni og látið skírteinisaðstoðarmann geyma táknið sem verður til, á meðan sjálfvirkni ætti að nota þröngt afmarkað þjónustuskírteini eða vinnuálagsauðkenni. Hvort tveggja ætti ekki að vera einnota kóði manneskju sem er afritaður inn í flæði. Aðstoðarmaðurinn geymir tákn fyrir tiltekið áhorfendahóp skrárinnar, svo ekki er hægt að beina því að VPN-hliðinu með því að breyta stillingarskrá.

docker login registry.example.com

Berðu saman viðhaldskostnaðinn, ekki fjölda beiðna

Sameiginlegt skírteini virðist ódýrt því vinnan er ósýnileg þar til hún brestur. Teldu í staðinn hvað hver valkostur kostar á ári: skráning, endurnýjun, afturköllun, áhrifageisli leka og fjöldi kerfa sem er snert þegar einhver hættir. Skírteinisfloti kostar meira að byggja og minna að reka í stórum stíl; afritaður kóði kostar ekkert að byrja og allt að leysa upp.

Veldu síðan fyrir hvern fót í staðinn fyrir alheims. Wi-Fi getur flutt sig yfir í skírteini, VPN getur haldið studdu SSO með MFA, og skráin getur notað tákn með skýrum umföngum. Skráðu eiganda, áhorfendur, umfang, gildistíma og afturköllunarleið fyrir hvert þeirra, og beiðnirnar falla þar sem þær eiga að falla í staðinn fyrir alls staðar í einu. Þessi skráning er líka svarið þegar endurskoðandi spyr hvaða kerfi treysta enn lykilorði.