どのキーチェーン項目が VPN ログインを古いままにしているのか？

Mac が古いパスワードを提示し、ログインが失敗するのを見ると、明白な次の一手はキーチェーン全体のリセットに見えます。その修正は高くつき、たいていは間違った項目を対象にします。古いパスワード、期限切れの証明書、ロックされたアカウントはどれも拒否を生みますが、削除できるキーチェーン項目に住んでいるのはそのうち一つだけです。何かを削除する前にプロンプトを読んでください。

三つの失敗、三つの異なる削除

アカウントのパスワードはクライアントがゲートウェイへ送る秘密で、削除するとユーザーは新しいものを入力する必要があります。秘密鍵のパスフレーズは鍵ファイルを解錠するので、パスフレーズの項目を削除すると鍵自体は無傷のままですが、誰かがフレーズを再入力するまで使えなくなります。クライアント証明書には有効期間があり、パスワードをどれだけ削除しても更新されません。これらは三つの所有者を持つ三つの対象であり、クライアントのエラーテキストはどれが失敗したかを示します。

この比較は机上の話ではありません。間違ったほうを選ぶとサポートの一巡を費やし、修正がでたらめだとユーザーに教えることになります。証明書の期限切れエラーはパスワードのリセットをすべて生き延びますし、何度も現れるパスワード項目は VPN とは別のサービスのものかもしれません。まずエラーを対象と突き合わせ、それから削除するか、入力し直すか、更新するかを決めます。

キーチェーン全体をリセットすると、メール、ブラウザ、その他のサービスの資格情報が削除されます。これは独自の復旧コストを伴う最後の手段であり、VPN のトラブルシューティング手順ではありません。

項目に触れる前にプロンプトとアカウントを読む

正確なエラーを読み、次にクライアントがどのアカウントを使っているかを読みます。プロバイダーのウェブサイトのログインとゲートウェイの資格情報は別のアカウントであることが多く、クライアントが一方を保存している間にユーザーがもう一方をリセットしている可能性があります。クライアント設定に表示されるプロファイル名とユーザー名を確認します。それがユーザーの認識と食い違うなら、保存されたパスワードは古くなっていません。別の何かのものです。

拒否された証明書は通常、認証の失敗ではなく期限切れや信頼できない連鎖を報告し、ロックされたアカウントはポリシーやロックアウトのメッセージを報告します。これらのメッセージは異なる層から来るので、文言が両者を見分ける最速の方法になります。メッセージをチケットにコピーしてください。次の試行の後も残る唯一の証拠だからです。

秘密を本当に所有している項目を見つける

クライアント自身のパスワードを忘れた場合の操作があるなら、そこから始めます。それがサポートされている経路で、正しい項目を対象にしているからです。Keychain Access を開く必要があるなら、VPN という語ではなくクライアント設定のサービス名で検索します。VPN では多すぎる項目に一致してしまいます。削除する前に選択した項目を調べます。アカウント、種類、変更日がすべて話と合っているはずです。何年も前に最後に変更された項目は、クライアントがたった今使ったものではないでしょう。

一つの表示にないことは、何も保存されていない証拠にはなりません。項目はログインキーチェーン、iCloud キーチェーン、または管理対象プロファイルの中に存在でき、それぞれが異なるアクセスルールを持つ別の容器です。秘密が欠けていると結論する前に、クライアント自身の一覧とシステムの一覧を確認してください。

管理対象の Mac では、管理者の削除手順を使ってください。プロファイルの制限を避けて削除すると、次のポリシーチェックで元に戻される状態が残ります。

一度だけ再接続し、それから止める

項目を削除または更新した後、サポートされている流れで一度だけログインを試します。一度の試行は問いに答え、五度の試行はアカウントのロックで答えます。拒否の文言が変われば削除は機能し、残った失敗は別の層にあります。まったく同じに繰り返すなら、削除したものを戻し、プロンプトに戻ってください。

ローカルの項目を削除しても、サービス側の資格情報はそのままです。秘密が他人に見られた可能性があるなら、ローテーションの作業として扱い、プロバイダーのパスワード置換または鍵置換の流れを使ってください。キーチェーンのコピーは、それが存在した複数の場所の一つにすぎないからです。ローカルの掃除と遠隔からの失効は、別の所有者を持つ別の操作です。

各修正が何を約束できるかを比べる

パスワード項目の削除は、クライアントが再びパスワードを求めることだけを約束します。証明書の置換は新しい有効期間を約束しますが、発行サービスに到達でき、プロファイルが更新される場合に限ります。パスワードや鍵のローテーションは、古い秘密が機能しなくなることを約束し、漏えいが心配なときに役立つ唯一の修正です。必要な約束を選び、その操作を行ってください。

結果をチケットに書きます。どの項目を削除し、どの資格情報をローテーションし、どのログインが成功したかです。同じ症状の次の人は、作り直されたキーチェーンの話ではなく、その対応表を必要としています。Apple の Keychain Access ガイド は容器とそのアクセスルールを説明しており、そこが人が推測しがちな部分です。