Skráir VPN SSO notendur sjálfkrafa inn í innri forrit?

VPN-gátt sem auðkennir sig í gegnum auðkennisveitu sannar eitt: veitan ábyrgðist notanda gagnvart gáttinni. Hún afhendir þeim notanda ekki skilríki fyrir wiki innra netsins, eftirlitsstjórnborðið eða byggingarþjóninn. Þessar þjónustur skrá fólk inn í gegnum sína eigin sambandsstjórn og beita sinni eigin heimild, og göngin ákveða aðeins hvaða pakkar komast til þeirra.

Þrjár lotur, þrjár aðskildar ákvarðanir

Haltu stöðunum aðskildum, því hver þeirra rennur út samkvæmt sínu eigin tímaáætlun. VPN-lotan er samþykki gáttarinnar á auðkenni auk nettengingarinnar sem hún veitti. Vafralota auðkennisveitunnar er það sem vafrinn heldur enn fyrir þá veitu og getur endurnýtt samkvæmt stefnu hennar. Forritslotan tilheyrir einni þjónustu sem staðfesti svar sem var beint til hennar.

Að rugla þessum stöðum framleiðir röngu spurninguna, venjulega orðaða sem af hverju göngin skrái notandann ekki inn alls staðar. Orðaðu hana upp á nýtt: hvaða forrit hefur enga sambandsskráningu, hvert hafnaði notandanum og hverju vantar leið. Eitt innskráningarákall sem opnar innra netforritið getur samt skoppað til baka til veitunnar, því önnur endurbeining er ný heimildarbeiðni fyrir annað áhorfendahóp.

Tengdu gáttina sem eigið forrit

Skráðu VPN sem samþykkt forrit hjá veitunni, með eigin auðkenni, endurbeiningar-URI og notendatildelingu. Ákveddu síðan hvaða netheimildir sú innskráning veitir, því það er VPN-stefna en ekki eiginleiki veitunnar. Notendur sem eiga aðeins að ná til eftirlitsundirnetsins fá aðra gáttarstefnu, ekki annað lykilorð.

Auðkenningarsvar ganganna er ekki endurnýtanlegt skilríki. OIDC ID-tákn bera áhorfendakröfu sem nefnir biðlarann sem þau voru gefin út fyrir, og SAML berandi fullyrðingar takmarka áhorfendahópinn við viðtakandi þjónustuveituna. Önnur þjónusta sem tekur við svari hinnar fyrri er rangt stillt, og að afrita tákn í annað forrit er ekki samþætting.

Skráðu hvert innra forrit, stilltu síðan vafrahrámyndina

Hver þjónusta þarf studdu SAML- eða OIDC-gildin: útgefanda, biðlaraauðkenni, kalls- eða fullyrðingarneytanda-URL, nauðsynlegar kröfur og tildelingu. Aðgengi kemur ofan á það, því auðkennisprófanir veita aldrei leið eða DNS-svar.

1. Búðu til forritsskráninguna og staðfestu að auðkenni einingar eða biðlara passi við það sem forritið sendir.
2. Skráðu nákvæma kalls-URL, þar á meðal skema og port; lítil skekkja mistekst eftir að notandinn hefur auðkennt sig.
3. Úthlutaðu notendunum eða hópunum, staðfestu síðan að nauðsynlegar kröfur séu gefnar út.
4. Leyfðu endapunkta auðkennisveitunnar auk einkarekna forritsins, annars getur endurbeiningin ekki klárast.

Vafrahrámyndin ákveður hvort endurnýta eigi fyrirliggjandi lotu veitunnar. Innfæddur biðlari sem opnar kerfisvafrann getur deilt þeirri stöðu, en innfelld sýn með eigin vafrakökukrukku getur það venjulega ekki. Nýr vafri, einkagluggar og annað prófíl byrja frá núlli, sem er viðbúið en ekki biluð SSO-stilling.

Keyrðu flæðið og lestu hvar það stöðvast

Endurgerðu með netpanel vafrans og fylgstu með endurbeiningarkeðjunni. Gagnleg yfirferð fylgir einu stökki í einu: gátt til veitu, veita til baka í forritið með kóða eða fullyrðingu, forrit að táknendapunkti veitunnar, forritslota gefin út. Stökkið þar sem keðjan stöðvast nefnir íhlutinn sem þarf að laga.

Tvær skipanalínuprófanir leysa venjulegu efasemdirnar, og báðar er öruggt að keyra frá stjórnendaþjóni:

curl -s https://idp.example.com/.well-known/openid-configuration | jq -r '.authorization_endpoint, .token_endpoint'
curl -sI https://app.example.net/ | grep -iE '^(HTTP/|location:)'

Þegar lýsigögnin telja upp endapunkta sem þú skráðir aldrei, bendir forritið á annað leigjanda eða útgefanda. Þegar fyrsta beiðnin til forritsins svarar 302 á óvæntan þjón er sambandsstilling forritsins staðurinn til að skoða, ekki VPN-sniðið.

Lagaðu áköllin með því að finna hver bað um þau

Annað lykilorðsákall er ekki sjálfkrafa galli. Forritið kann að biðja um hærra vissustig, eða veitan kann að krefjast hámarkslotuferils og nýrrar áskorunar. Að fjarlægja þessar kröfur til að gera flæðið hljóðlátara veikir vísvitandi eftirlit, svo greindu hvaða íhlutur bað um þær áður en þú breytir stefnu.

Ákveddu síðan hvað á að bæta. Ef ákallið kemur frá forritinu, lagaðu sambandsskráningu þess. Ef það kemur frá veitunni samkvæmt stefnu, skjalfestu kröfuna. Ef forritið er óaðgengilegt eftir árangursríka innskráningu er leiðsögn ganganna grunaður, því auðkenni og afhending pakka mistakast á ólíkum stöðum og líta svipað út frá sæti notandans.