Неге бір OTP Wi-Fi, VPN және реестрді қамти алмайды

Жалғыз кіру бір сәйкестік пен азырақ сұрау уәде етеді, бірақ бұл уәде үшінші протоколда бұзылады. Тұзақ — бір сәтті аутентификация барлық басқа протокол ұсына алатын токен жасайды деп ойлау. Wi-Fi-ға кіру, VPN-ге кіру және контейнер реестрі әрқайсысы бөлек айырбас жүргізеді, әртүрлі аудиториялармен және мерзімдермен. Аккаунтты бөлісу — каталог шешімі; тіркелгі деректерін бөлісу — протокол шешімі, ал протоколдар сирек келіседі.

Үш айырбас, үш иесі

Кәсіпорындық Wi-Fi 802.1X ішінде EAP әдісін іске қосады, оны әдетте пайдаланушы немесе құрылғы туралы өз көзқарасы бар RADIUS қызметі аяқтайды. VPN шлюзі өзінің қолдау көрсетілген ағыны арқылы аутентификацияланады, содан кейін өз қайта аутентификация таймерімен сессия ұстайды. Реестр аутентификацияланбаған сұрауға токен қызметін, аудиторияны және ауқымды атайтын шақырумен жауап береді, ал клиент өз тіркелгі деректерін қысқа мерзімді токенге айырбастайды.

Бұлар бір сессияның үш көрінісі емес. Әрқайсысының өз тексерушісі, өз мерзімі және өз кері қайтару жолы бар, сондықтан каталогтағы құпиясөзді өзгерту біреуін жұмыс істеп тұрған, екіншісін бұзылған күйде қалдыруы мүмкін. Оларды кездейсоқ пайдаланушы каталогын бөлісетін үш интеграция ретінде қарастырыңыз.

Браузер SSO-сы нені тасымалдайды және нені тасымалдамайды

Сәйкестік провайдеріндегі браузер сессиясы шынымен пайдалы: оған бағыттайтын қосымшалар пайдаланушы бұрын аяқтаған кіруді мұраға алады. Бұл жұмыс істейді, өйткені ол қосымшалар бірдей бағыттау және токен протоколдарында сөйлеседі және бірдей аудиторияны қабылдайды. EAP тілінде сөйлейтін сұраушының ұстанатын бағыттауы жоқ, ал реестр шақыруын алған Docker клиенті OIDC сәйкестік токенін сұрамайды. Сәйкестік провайдері тек өзі сөйлеуге құрылған протоколдарға кепілдік бере алады.

Сәтсіздікті журналдардан көру оңай, қайда қарауды білсеңіз болды. Сәйкестік провайдері сәтті кіру туралы хабарлайды, ал Wi-Fi қосылымы әлі сәтсіз аяқталады, немесе реестр браузер ешқашан көрмеген токен айырбасынан кейін 401 қайтарады. Екі сәттілік пен бір сәтсіздік қайшылық емес; бұлар үш бөлек аутентификация.

Сертификат қай жерде қайталанатын кодты алмастырады

Басқарылатын құрылғылар үшін сертификатқа негізделген EAP адам қадамын сәйкестікті жоймай алып тастайды: құрылғы сертификат ұсынады, RADIUS қызметі оны беруші органмен тексереді, ал кері қайтару сол органда болады, ортақ құпияда емес. Бағасы — өмірлік цикл жұмысы, өйткені сертификаттар мерзімі бітеді және оған дейін жаңартылуы керек.

Реестрлерде де тең бөлініс бар. Интерактивті пайдаланушы бір рет кіріп, тіркелгі деректері көмекшісіне алынған токенді сақтауға рұқсат бере алады, ал автоматизация тар ауқымды қызмет деректерін немесе жүктеме сәйкестігін пайдалануы керек. Олардың ешқайсысы адамның бір реттік кодының конвейерге көшірілуі болмауы тиіс. Көмекші белгілі бір реестр аудиториясына арналған токенді сақтайды, сондықтан конфигурация файлын өңдеу арқылы оны VPN шлюзіне бағыттау мүмкін емес.

docker login registry.example.com

Қызмет көрсету құнын салыстырыңыз, сұрау санын емес

Ортақ тіркелгі деректері арзан көрінеді, өйткені жұмыс сәтсіздікке ұшырағанша көрінбейді. Оның орнына әр нұсқаның бір жылда қанша тұратынын санаңыз: тіркеу, жаңарту, кері қайтару, ағып кетудің әсер радиусы және біреу кеткенде қозғалатын жүйелер саны. Сертификат флоты құруға қымбат, ауқымда пайдалануға арзан; көшірілген код бастауға ештеңе тұрмайды, ал шешуге бәрін тұрады.

Содан кейін жаһандық емес, әр аяқ бойынша таңдаңыз. Wi-Fi сертификаттарға көше алады, VPN MFA-мен қолдау көрсетілетін SSO-ны сақтай алады, ал реестр айқын ауқымдары бар токендерді пайдалана алады. Әрқайсысы үшін иесін, аудиторияны, ауқымды, мерзімін және кері қайтару жолын жазып қойыңыз, сонда сұраулар бір уақытта барлық жерде емес, керек жерде түседі. Бұл жазба аудитор қай жүйелер әлі де құпиясөзге сенетінін сұрағанда да жауап болады.