Mac-тегі Kerberos SSO және VPN: екі кіру жолын салыстырыңыз

Екі механизм Mac-те бірдей жағымды нәтиже береді, бірақ ішінде мүлде басқаша әрекет етеді. Біреуі SSO кеңейтімі арқылы Kerberos билеттерін алып, оларды қатысушы қолданбаларға береді. Екіншісі сәйкестік провайдерімен браузер сессиясын ұстап, веб-қолданбаларға оны мойындауға мүмкіндік береді. Олар желіде не қажет ететінімен, тіркелгі деректерінің қанша уақыт жарамдылығымен және туннель құлаған сәтте не болатынымен ерекшеленеді.

Екі механизм, бір кіру экраны

Билетке негізделген жол Kerberos доменіне, кілттерді бөлу орталығына және онымен үйлесетін сағатқа тәуелді. Браузер жолы қолжетімді сәйкестік провайдеріне, cookie немесе токенге және сол шығарушыға сенетін қолданбаға тәуелді. Екеуін де кіру кезінде басталатындай етіп баптауға болады, сондықтан оларды бір функция деп шатастырады. Қайсысын қабылдайтынын қолданбалар шешеді, ал Mac екеуін де бір уақытта заңды түрде іске қоса алады.

Оларды пайдаланушы қолданбаны ашқанда оның нені тексеретінін сұрау арқылы салыстырыңыз. Kerberos доменіне қосылған файл қызметі қызмет билетін қалайды, ал браузер сессиясының ешбір мөлшері оны қанағаттандырмайды. Заманауи сәйкестік провайдерінің артындағы веб-қолданба сол провайдердің токенін қалайды және Kerberos билетін мүлде елемейді. Қай тексеріс болатынын білгеннен кейін орналастыру сұрақтары жалпы емес, нақты болады.

Kerberos кеңейтіміне желіде не қажет

Apple-дың Kerberos SSO кеңейтімі бойынша нұсқаулығы белсенді билет алумен жергілікті Active Directory аутентификациясын сипаттайды, ол доменге қосылудың орнына жергілікті тіркелгілермен жұптасады. Оның істей алмайтыны — домен контроллерлеріне дейінгі жолды ойлап табу. Mac-ке Kerberos қызмет жазбаларына жауап беретін шешуші және оларға бекітілген туннель арқылы жететін маршрут қажет. Таза орнатылатын профиль доменді клиенттен шынымен табу мүмкін болмайынша ештеңені дәлелдемейді.

Тіркелгі деректерін тексермес бұрын ашуды тексеріңіз: Kerberos доменінің SRV жазбалары шешілуі керек, ал олар қайтаратын мекенжайлар VPN көтерілгеннен кейін қолжетімді болуы керек. Уақыт та қолжетімділік сияқты маңызды, өйткені Kerberos өз төзімділігінен асып кеткен сағаттан келген сұраныстарды қабылдамайды, ал пайда болатын қате аутентификация сәтсіздігіне ұқсайды. Туннель өшіп тұрғанда уақыт көзіне жете алмайтын Mac оралған сәтте қайта сәтсіздікке ұшырайды. Сағат көзін оқиғаға жауап ретінде емес, орналастырудың бөлігі ретінде түзетіңіз.

klist
sudo sntp -sS time.apple.com

Қолданба бойынша VPN кеңейімнің жұмыс істей алатынын шешеді

Толық туннель бәрін маршруттайды және бұл мәселені жасырады. Қолданба бойынша конфигурация тек VPN профилінде аталған қолданбаларды маршруттайды, ал SSO кеңейтімінің өзі билеттерді алу үшін желі қажет процес. Егер ол салыстыруда болмаса, жергілікті кіру сәтті болады, браузер үшін туннель көтеріледі, ал билет алу әлі де сәтсіз аяқталады.

VPN конфигурациясын оқып, ол қамтуы тиіс әрбір қолданбаны тізімдеңіз, содан кейін бума идентификаторын болжаудың орнына құжатталған салыстыру механизмі арқылы SSO компонентін қосыңыз. Көрінетін клиентті салыстырып, оның артындағы компонентті салыстырмау — бұл қатенің классикалық нұсқасы. Салыстыруды кеңейіммен бір басқарылатын профильде ұстаңыз, сонда бірінің өзгерісі екіншісін үнсіз жарамсыз ете алмайды. Сол Mac-ге ешқашан кірмеген пайдаланушымен тексеріңіз, өйткені кэштегі билет бұзылған жолды сау көрсетуі мүмкін, содан кейін құпиясөз өзгергеннен кейін қайта тексеріңіз.

Браузердегі сәйкестік сессиясы — басқа келісім

Браузер сессиясында Kerberos домені, қызмет билеті және Kerberos мағынасында сағат төзімділігі жоқ. Онда шығарушы, токеннің өмір сүру мерзімі және жаңарту жолы бар, ал оның сәтсіздік режимдері — ешқашан аяқталмайтын қайта бағыттаулар және жеке терезе тастайтын cookie файлдары. Оны билет жолының орнына қою тек қолданбаның өзі сол шығарушыны қабылдайтын жерде қауіпсіз. VPN порталынан аутентификация жауабын байланыссыз қызметке көшіру — қысқа жол қаншалықты ыңғайлы көрінсе де, интеграция емес.

Екі механизм де орналастырылғанда, қай қолданбалар қайсысын пайдаланатынын құжаттаңыз, өйткені қолдау әңгімесі соған тәуелді. Кіргенін, бірақ файл ортақтасуын аша алмайтынын айтқан пайдаланушы екі жүйені сипаттайды, ал жауап — билет жолы ешқашан іске қосылмаған. Ортақтасуды ашып, интранет порталын аша алмайтын пайдаланушы керісінше сипаттайды, ал билетте механизмнің атын атау бір раунд сұрақты үнемдейді.

Реттілікпен жүріңіз, бөліктермен емес

Бүкіл тізбекті қарапайым тіркелген тіркелгімен жүріп өтіңіз: жергілікті кіру, туннель, билет алу, содан кейін қызметке қарсы бір нақты әрекет. Туннель қайта қосылғаннан кейін және әдейі құпиясөз өзгертілгеннен кейін қайталаңыз, өйткені бұл жағдайлардың әрқайсысы өмірлік цикл логикасының басқа бөлігін жаттықтырады. Әр кезеңнің жеке өтуі тізбектің жұмыс істеуімен бірдей емес. Тізбек — пайдаланушының бастан кешетіні, және оны қабылдау сынағы қамтуы керек.

Профиль иесін, VPN аутентификация әдісін, доменді табу жолын және кеңейімнің қолданбалар салыстыруын бір жерге жазыңыз. Дәл сол жазба ағынды оны құрмаған адам үшін қайталауға болатын етеді. Содан кейін ең ықтимал кездесетін сәтсіздікті тексеріңіз, туннель өшіп тұрғанда мерзімі өткен билетті, және клиенттің қайта жүктеусіз қалпына келетінін растаңыз, өйткені тек суық бастаудан жұмыс істейтін орналастыру аяқталған жоқ.

Әр кезеңнің иесін де белгілеңіз, өйткені ешкім күтпейтін Kerberos домені ескіреді. Ешкім сипаттай алмайтын тізбек — ешкім жөндей алмайтын тізбек.