Kerberos SSO და VPN Mac-ზე: შეადარეთ შესვლის ორი გზა

ორი მექანიზმი Mac-ზე ერთსა და იმავე მეგობრულ შედეგს იძლევა და შიგნით სრულიად განსხვავებულად იქცევა. ერთი Kerberos ბილეთებს SSO გაფართოების მეშვეობით იღებს და მონაწილე აპლიკაციებს გადასცემს. მეორე ბრაუზერის სესიას ინახავს იდენტობის მომწოდებელთან და ვებ აპლიკაციებს საშუალებას აძლევს, ის აღიარონ. ისინი განსხვავდებიან იმით, რაც მათ ქსელში სჭირდებათ, რამდენ ხანს მოქმედებს მათი სამოწმებლები და რა ხდება იმ მომენტში, როცა გვირაბი ვარდება.

ორი მექანიზმი, ერთი შესვლის ეკრანი

ბილეთებზე დაფუძნებული გზა დამოკიდებულია Kerberos დომენზე, გასაღების განაწილების ცენტრზე და მასთან შეთანხმებულ საათზე. ბრაუზერის გზა დამოკიდებულია ხელმისაწვდომ იდენტობის მომწოდებელზე, ქუქიზე ან ტოკენზე და აპლიკაციაზე, რომელიც ენდობა ამ გამომცემელს. ორივე შეიძლება ისე დაყენდეს, რომ შესვლისას დაიწყოს, ამიტომაც ურევენ მათ ერთსა და იმავე ფუნქციას. აპლიკაციები წყვეტენ, რომელი მიიღონ, და Mac-ს შეუძლია ორივე ერთდროულად ლეგიტიმურად გაუშვას.

შეადარეთ ისინი კითხვით, რას ამოწმებს აპლიკაცია, როცა მომხმარებელი მას ხსნის. Kerberos დომენზე მიერთებული ფაილური სერვისი მოითხოვს სერვისის ბილეთს და ბრაუზერის სესიის არც ერთი რაოდენობა არ დააკმაყოფილებს მას. თანამედროვე იდენტობის მომწოდებლის უკან მყოფი ვებ აპლიკაცია მოითხოვს ამ მომწოდებლის ტოკენს და სრულიად უგულებელყოფს Kerberos ბილეთს. როგორც კი გაიგებთ, რომელი შემოწმება ხდება, განლაგების კითხვები ზოგადიდან კონკრეტული ხდება.

რა სჭირდება Kerberos გაფართოებას ქსელში

Apple-ის Kerberos SSO გაფართოების სახელმძღვანელო აღწერს Active Directory-ის მშობლიურ აუთენტიფიკაციას ბილეთების პროაქტიული მიღებით, დაწყვილებულს ლოკალურ ანგარიშებთან და არა დომენზე მიბმასთან. რასაც ის ვერ აკეთებს, ეს არის დომენის კონტროლერებამდე გზის გამოგონება. Mac-ს სჭირდება გამხსნელი, რომელიც პასუხობს Kerberos სერვისის ჩანაწერებს, და მარშრუტი, რომელიც მათ დამტკიცებული გვირაბით აღწევს. პროფილი, რომელიც სუფთად ინსტალირდება, არაფერს ამტკიცებს, სანამ დომენი ნამდვილად ვერ აღმოჩნდება კლიენტიდან.

შეამოწმეთ აღმოჩენა სანამ სამოწმებლებს შეამოწმებთ: Kerberos დომენის SRV ჩანაწერები უნდა გადაწყდეს და მათ მიერ დაბრუნებული მისამართები VPN-ის აწევის შემდეგ ხელმისაწვდომი უნდა იყოს. დრო ისევე მნიშვნელოვანია, როგორც ხელმისაწვდომობა, რადგან Kerberos უარყოფს იმ საათის მოთხოვნებს, რომელიც მის ტოლერანტობას გასცდა, და წარმოქმნილი შეცდომა აუთენტიფიკაციის წარუმატებლობას ჰგავს. Mac, რომელიც გვირაბის ჩამოშვებისას დროის წყაროს ვერ აღწევს, კვლავ ჩავარდება იმ მომენტში, როცა ის დაბრუნდება. შეასწორეთ დროის წყარო განლაგების ნაწილად და არა ინციდენტზე რეაგირებად.

klist
sudo sntp -sS time.apple.com

აპლიკაციაზე დამოკიდებული VPN წყვეტს, შეუძლია თუ არა გაფართოებას მუშაობა

სრული გვირაბი ყველაფერს მარშრუტიზებს და ამ პრობლემას მალავს. აპლიკაციაზე დამოკიდებული კონფიგურაცია მარშრუტიზებს მხოლოდ VPN პროფილში დასახელებულ აპლიკაციებს, ხოლო SSO გაფართოება თავად პროცესია, რომელსაც ბილეთების მისაღებად ქსელი სჭირდება. თუ ის არ არის დაფიქსირებაში, ლოკალური შესვლა წარმატებით სრულდება, გვირაბი ბრაუზერისთვის ადის და ბილეთების მიღება მაინც ჩავარდება.

წაიკითხეთ VPN კონფიგურაცია და ჩამოთვალეთ ყველა აპლიკაცია, რომელიც უნდა დაფაროს, შემდეგ დაამატეთ SSO კომპონენტი დოკუმენტირებული დაფიქსირების მექანიზმით და არა პაკეტის იდენტიფიკატორის გამოცნობით. ხილული კლიენტის დაფიქსირება და მის უკან მყოფი კომპონენტის არა, ამ შეცდომის კლასიკური ვერსიაა. შეინახეთ დაფიქსირება იმავე მართულ პროფილში, როგორც გაფართოება, რომ ერთის ცვლილებამ მეორე ჩუმად არ გააუქმოს. შეამოწმეთ მომხმარებელთან, რომელსაც არასდროს შესულა ამ Mac-ზე, რადგან ქეშირებულმა ბილეთმა დაზიანებული გზა შეიძლება ჯანმრთელად აჩვენოს, შემდეგ კვლავ შეამოწმეთ პაროლის შეცვლის შემდეგ.

ბრაუზერის იდენტობის სესია სხვა კონტრაქტია

ბრაუზერის სესიას არ აქვს Kerberos დომენი, სერვისის ბილეთი და საათის ტოლერანტობა Kerberos-ის გაგებით. მას აქვს გამომცემელი, ტოკენის სიცოცხლის ხანგრძლივობა და განახლების გზა, და მისი წარუმატებლობის რეჟიმებია გადამისამართებები, რომლებიც არასდროს სრულდება, და ქუქები, რომლებსაც პირადი ფანჯარა აგდებს. მისი ბილეთების გზის შემცვლელად მოპყრობა უსაფრთხოა მხოლოდ იქ, სადაც თავად აპლიკაცია იღებს ამ გამომცემელს. VPN პორტალიდან აუთენტიფიკაციის პასუხის დაუკავშირებელ სერვისში კოპირება ინტეგრაცია არ არის, რაც არ უნდა მოხერხებული ჩანდეს მოკლე გზა.

როცა ორივე მექანიზმი განლაგებულია, დაადგინეთ, რომელი აპლიკაციები რომელს იყენებენ, რადგან მხარდაჭერის საუბარი ამაზეა დამოკიდებული. მომხმარებელი, რომელიც ამბობს, რომ შესულია, მაგრამ ფაილის გაზიარებას ვერ ხსნის, ორ სისტემას აღწერს და პასუხია, რომ ბილეთების გზა არასდროს გაშვებულა. მომხმარებელი, რომელსაც გაზიარება შეუძლია გახსნას, მაგრამ ინტრანეტის პორტალი არა, საპირისპიროს აღწერს, და მექანიზმის დასახელება ბილეთში კითხვების ერთ წრეს ზოგავს.

გაიარეთ თანმიმდევრობა და არა ნაწილები

გაიარეთ მთელი ჯაჭვი ჩვეულებრივი რეგისტრირებული ანგარიშით: ლოკალური შესვლა, გვირაბი, ბილეთების მიღება, შემდეგ ერთი რეალური ოპერაცია სერვისის წინააღმდეგ. გაიმეორეთ გვირაბის ხელახალი დაკავშირების შემდეგ და განზრახ პაროლის შეცვლის შემდეგ, რადგან თითოეული ეს შემთხვევა სიცოცხლის ხანგრძლივობის ლოგიკის სხვადასხვა ნაწილს ამოწმებს. თითოეული ეტაპის ცალკე გავლა არ ნიშნავს მოქმედ ჯაჭვს. ჯაჭვი არის ის, რასაც მომხმარებელი განიცდის, და სწორედ ის უნდა დაფაროს მიღების შემთხვევამ.

ჩაწერეთ პროფილის მფლობელი, VPN აუთენტიფიკაციის მეთოდი, დომენის აღმოჩენის გზა და გაფართოების აპლიკაციების დაფიქსირება ერთ ადგილას. სწორედ ეს ჩანაწერი ხდის ნაკადს გამრავლებადს მათთვის, ვინც ის არ აუგია. შემდეგ შეამოწმეთ ყველაზე სავარაუდო წარუმატებლობა, ვადაგასული ბილეთი გვირაბის ჩამოშვებისას, და დაადასტურეთ, რომ კლიენტი გადატვირთვის გარეშე აღდგება, რადგან განლაგება, რომელიც მხოლოდ ცივი გაშვებიდან მუშაობს, დასრულებული არ არის.

ასევე აღნიშნეთ თითოეული ეტაპის მფლობელი, რადგან Kerberos დომენი, რომელსაც არავინ უვლის, მოძველდება. ჯაჭვი, რომელსაც ვერავინ აღწერს, არის ჯაჭვი, რომელსაც ვერავინ გაუმართავს.