Mac'теги Kerberos SSO жана VPN: эки кирүү жолун салыштырыңыз

Эки механизм Mac'те бирдей жагымдуу натыйжа берет, бирок ичинде такыр башкача аракеттенет. Бирөө SSO кеңейтүүсү аркылуу Kerberos билеттерин алып, аларды катышуучу колдонмолорго берет. Экинчиси инсандык провайдери менен браузер сессиясын кармап, веб-колдонмолорго аны таанууга жол берет. Алар тармакта эмнени талап кылары, эсептик маалыматтары канча убакыт жарактуулугу жана туннель кулаган учурда эмне болору менен айырмаланат.

Эки механизм, бир кирүү экраны

Билетке негизделген жол Kerberos доменине, ачкычтарды бөлүштүрүү борборуна жана ага дал келген саатка көз каранды. Браузер жолу жеткиликтүү инсандык провайдерине, cookie же токенге жана ошол чыгаруучуга ишенген колдонмого көз каранды. Экөөнү тең кирүү учурунда башталуучудай конфигурациялоого болот, ошондуктан аларды бир функция деп адаштырат. Кайсынысын кабыл аларын колдонмолор чечет, ал эми Mac экөөнү тең бир убакта мыйзамдуу түрдө иштете алат.

Аларды колдонуучу колдонмону ачканда эмнени текшерерин суроо менен салыштырыңыз. Kerberos доменине кошулган файл кызматы кызмат билетин каалайт, ал эми браузер сессиясынын эч кандай көлөмү аны канааттандырбайт. Заманбап инсандык провайдеринин артындагы веб-колдонмо ошол провайдердин токенин каалайт жана Kerberos билетин таптакыр көз жаздымда калтырат. Кайсы текшерүү болорун билгенден кийин, жайгаштыруу суроолору жалпы эмес, конкретүү болот.

Kerberos кеңейтүүсүнө тармакта эмне керек

Apple'дын Kerberos SSO кеңейтүүсү боюнча колдонмосу активдүү билет алуу менен жергиликтүү Active Directory аутентификациясын сүрөттөйт, ал доменге кошулуунун ордуна жергиликтүү эсептер менен жупташат. Ал кыла албаган нерсе — домен контроллерлерине чейинки жолду ойлоп табуу. Mac'ке Kerberos кызмат жазууларына жооп берген чечүүчү жана аларга бекитилген туннель аркылуу жетүүчү маршрут керек. Таза орнотулган профиль доменди кардардан чындап табуу мүмкүн болмоюнча эч нерсени далилдебейт.

Эсептик маалыматтарды текшерүүдөн мурун ачууну текшериңиз: Kerberos доменинин SRV жазуулары чечилиши керек, ал эми алар кайтарган даректер VPN көтөрүлгөндөн кийин жеткиликтүү болушу керек. Убакыт да жеткиликтүүлүк сыяктуу эле маанилүү, анткени Kerberos өз чыдамкайлыгынан ашып кеткен сааттан келген сурамдарды четке кагат, ал эми пайда болгон ката аутентификация ийгиликсиздигине окшош. Туннель өчүп турганда убакыт булагына жете албаган Mac кайра келген учурда дагы ийгиликсиз болот. Саат булагын окуяга жооп катары эмес, жайгаштыруунун бөлүгү катары оңдоңуз.

klist
sudo sntp -sS time.apple.com

Колдонмо боюнча VPN кеңейтүүнүн иштей аларын чечет

Толук туннель баарын маршруттайт жана бул маселени жашырат. Колдонмо боюнча конфигурация VPN профилинде аталган колдонмолорду гана маршруттайт, ал эми SSO кеңейтүүсү өзү билеттерди алуу үчүн тармак керектелүүчү процесс. Эгер ал картада жок болсо, жергиликтүү кирүү ийгиликтүү болот, браузер үчүн туннель көтөрүлөт, бирок билет алуу дагы эле ийгиликсиз аяктайт.

VPN конфигурациясын окуп, ал камтышы керек болгон ар бир колдонмону тизмелеңиз, андан кийин топтом идентификаторун болжолдоонун ордуна документтелген карталоо механизми аркылуу SSO компонентин кошуңуз. Көрүнүп турган кардарды картага түшүрүп, анын артындагы компонентти картага түшүрбөө — бул катанын классикалык варианты. Карталоону кеңейтүү менен бир башкарылуучу профилде кармаңыз, ошондо биринин өзгөрүүсү экинчисин үнсүз жараксыз кыла албайт. Ошол Mac'ке эч качан кирбеген колдонуучу менен текшериңиз, анткени кэштеги билет бузулган жолду соо көрсөтүшү мүмкүн, андан кийин сырсөз өзгөргөндөн кийин кайра текшериңиз.

Браузердеги инсандык сессиясы — башка келишим

Браузер сессиясында Kerberos домени, кызмат билети жана Kerberos маанисинде саат чыдамкайлыгы жок. Анда чыгаруучу, токендин жашоо мөөнөтү жана жаңыртуу жолу бар, ал эми анын ийгиликсиздик режимдери — эч качан бүтпөгөн кайра багыттоолор жана жеке терезе ыргыта турган cookie файлдары. Аны билет жолунун ордуна коюу колдонмонун өзү ошол чыгаруучуну кабыл алган жерде гана коопсуз. VPN порталынан аутентификация жообун байланышсыз кызматка көчүрүү — кыска жол канчалык ыңгайлуу көрүнсө да, интеграция эмес.

Эки механизм тең жайгаштырылганда, кайсы колдонмолор кайсынысын колдонорун документтештириңиз, анткени колдоо сүйлөшүүсү ошого көз каранды. Киргенин, бирок файл бөлүшүүнү ача албаганын айткан колдонуучу эки системаны сүрөттөйт, ал эми жооп — билет жолу эч качан иштеген эмес. Бөлүшүүнү ачып, интранет порталын ача албаган колдонуучу тескерисин сүрөттөйт, ал эми билетте механизмдин атын атоо бир раунд суроону үнөмдөйт.

Ырааттуулук менен жүрүңүз, бөлүктөр менен эмес

Бүт чынжырды кадимки катталган эсеп менен жүрүп өтүңүз: жергиликтүү кирүү, туннель, билет алуу, андан кийин кызматка каршы бир реалдуу операция. Туннель кайра туташкандан кийин жана атайылап сырсөз өзгөртүлгөндөн кийин кайталаңыз, анткени бул учурлардын ар бири жашоо циклинин логикасынын башка бөлүгүн машыктырат. Ар бир этаптын өзүнчө өтүшү чынжырдын иштешине барабар эмес. Чынжыр — колдонуучу баштан кечирген нерсе, жана аны кабыл алуу сынагы камтышы керек.

Профилдин ээсин, VPN аутентификация ыкмасын, доменди табуу жолун жана кеңейтүүнүн колдонмолор картасын бир жерге жазыңыз. Ошол жазуу агымды аны курбаган адам үчүн кайталануучу кылат. Андан кийин эң ыктымал жолугуучу ийгиликсиздикти текшериңиз, туннель өчүп турганда мөөнөтү өткөн билетти, жана кардардын кайра жүктөөсүз калыбына келерин ырастаңыз, анткени муздак баштоодон гана иштеген жайгаштыруу бүтө элек.

Ар бир этаптын ээсин да белгилеңиз, анткени эч ким карабаган Kerberos домени эскирет. Эч ким сүрөттөй албаган чынжыр — эч ким оңдой албаган чынжыр.