Kerberos SSO a VPN um Mac: vergläicht déi zwou Umellweeër

Zwou Mechanisseme ginn um Mac deeselwechte frëndlechen Resultat a behuelen sech ënnerierdesch komplett anescht. Dee een hëlt Kerberos-Ticketen duerch eng SSO-Erweiderung a gëtt se un deelhuelend Applikatiounen. Dee aneren hält eng Browsersessioun bei engem Identitéitsprovider a léisst Webapplikatiounen se unerkennen. Si ënnerscheede sech doran, wat se am Netz brauche, wéi laang hir Umellinformatioune gëlteg sinn a wat geschitt, am Moment wou den Tunnel fällt.

Zwou Mechanissemen, en Umellschierm

Den ticketbaséierte Wee hänkt vun enger Kerberos-Domän, engem Schlësselverdeelungszentrum an enger Auer of, déi mat him iwwerenee stëmmt. De Browserwee hänkt vun engem erreechbaren Identitéitsprovider, engem Cookie oder Token an enger Applikatioun of, déi deem Aussteller vertraut. Béid kënnen esou konfiguréiert ginn, datt se bei der Umeldung starten, dofir ginn se mat der selwechter Funktioun verwiesselt. D'Applikatiounen entscheeden, wat se vun deenen zwee akzeptéieren, an e Mac kann béid legitim gläichzäiteg lafen loossen.

Vergläicht se andeems Dir frot, wat d'Applikatioun kontrolléiert, wann e Benotzer se opmécht. En Dateiservice, deen un d'Kerberos-Domän ugeschloss ass, wëll en Service-Ticket, an et gëtt keng Quantitéit Browsersessioun, déi dat zefriddenstellt. Eng Webapplikatioun hannert engem moderne Identitéitsprovider wëll den Token vun deem Provider an ignoréiert den Kerberos-Ticket komplett. Soubal Dir wësst, wéi eng Kontroll geschitt, gi Behaufungsfroen spezifesch amplaz allgemeng.

Wat d'Kerberos-Erweiderung am Netz brauch

Dem Apple säi Guide fir d'Kerberos SSO-Erweiderung beschreift déi natives Active Directory-Authentifikatioun mat proaktiver Ticketbeschafung, gepaart mat lokalen Konten amplaz enger Domänenbindung. Wat se net kann, ass e Wee zu den Domänenkontrollen ze erfannen. Den Mac brauch e Resolver, dee Kerberos-Serviceregëstere beäntwert, an eng Route, déi se duerch den genehmten Tunnel erreecht. E Profil, dee sech propper installéiert, beweise näischt, bis d'Domän tatsächlech vum Client aus entdeckt ka ginn.

Iwwerpréift d'Entdeckung ier Dir d'Umellinformatioune préift: d'SRV-Regëstere fir d'Kerberos-Domän mussen sech opléisen, an d'Adressen, déi se zréckginn, mussen erreechbar sinn, soubal de VPN uewen ass. Zäit ass grad esou wichteg wéi Erreechbarkeet, well Kerberos Ufroen vun enger Auer ofleent, déi iwwer seng Toleranz erausgedriwwe ass, an de Feeler, deen dat erzeugt, gesäit aus wéi en Authentifikatiounsfeeler. En Mac, deen eng Zäitquell net erreecht, wärend den Tunnel ënnen ass, wäert am Moment vum Zréckkommen erëm feelen. Maacht d'Zäitquell als Deel vun der Behaufung an Uerdnung an net als Reaktioun op en Incident.

klist
sudo sntp -sS time.apple.com

VPN pro App entscheet, ob d'Erweiderung ka schaffen

En Volltunnel leet alles ëm a verstoppt dëst Problem. Eng Konfiguratioun pro App leet nëmmen d'Applikatioune ëm, déi am VPN-Profil genannt sinn, an d'SSO-Erweiderung ass selwer e Prozess, deen d'Netz brauch fir Ticketen ze huelen. Wann se net an der Kartéierung ass, geléngt d'lokal Umeldung, den Tunnel kënnt fir de Browser erop, an d'Ticketbeschafung feelt nach ëmmer.

Liest d'VPN-Konfiguratioun a lëscht all Applikatioun op, déi se soll decken, a füügt dann d'SSO-Komponent iwwer de dokumentéierte Kartéierungsmechanismus derbäi, amplaz eng Bundle-ID ze roden. De sichtbare Client kartéieren an net d'Komponent dohannert ass déi klassesch Versioun vun dësem Feeler. Hält d'Kartéierung am selwechte verwaltete Profil wéi d'Erweiderung, sou datt eng Ännerung um een net déi aner stëll ongülteg mécht. Testt mat engem Benotzer, deen sech nach ni op deem Mac agemellt huet, well en gespäicherten Ticket enne kaputte Wee gesond ausgesi kann, an testt duerno no enger Passwuertännerung nach emol.

Eng Browser-Identitéitssessioun ass en anere Kontrakt

Eng Browsersessioun huet keng Kerberos-Domän, keen Service-Ticket an och keng Auertoleranz am Kerberos-Sënn. Si huet en Aussteller, eng Token-Liewensdauer an en Erneierungswee, an hir Feelermodusen sinn Ëmleitungen, déi ni fäerdeg ginn, an Cookies, déi e private Fënster verwërft. Si als Ersatz fir den Ticketwee ze behandelen ass nëmmen do sécher, wou d'Applikatioun selwer deen Aussteller akzeptéiert. Eng Authentifikatiounsäntwert vum VPN-Portal an en onverbonne Service kopéieren ass keng Integratioun, esou bequem wéi de Sherzwee och ausgesäit.

Wann déi zwou Mechanismen agefouert sinn, dokumentéiert wéi eng Applikatiounen wat benotzen, well de Supportgespréich dovun ofhängt. E Benotzer, dee seet hien ass agemellt, awer kann eng Dateifrëndschaft net opmaachen, beschreift zwee Systemer, an d'Äntwert ass, datt den Ticketwee ni gelaf ass. E Benotzer, deen d'Frëndschaft kann opmaachen awer net den Intranetportal, beschreift dat Ëmgekéiert, an den Mechanismus am Ticket nennen spuert eng Ronn Froen.

Gitt d'Sequenz duerch, net d'Deeler

Gitt déi ganz Kette mat engem gewéinleche registréierte Kont duerch: lokal Umeldung, Tunnel, Ticketbeschafung, dann eng richteg Operatioun géint e Service. Widderhëlt dat no enger Reconnectioun vum Tunnel an no enger bewosster Passwuertännerung, well all dee Fall en aneren Deel vun der Liewensdauerlogik üübt. Datt all Etapp eleng duerchkënnt ass net datselwecht wéi eng Kette déi funktionéiert. D'Kette ass dat wat de Benotzer erlieft, an dat muss den Accepttiounsfall decken.

Halt de Profilinhaber, d'VPN-Authentifikatiounsmethod, den Domänenentdeckungswee an d'Applikatiounskartéierung vun der Erweiderung op enger Plaz fest. Dee Rekord mécht de Floss reproduzéierbar fir een, deen en net gebaut huet. Préift duerno de Feeler, deen Dir am wahrscheinlechsten begéint, en ofgelafenen Ticket wärend den Tunnel ënnen ass, a bestätegt datt de Client sech ouni Neistart erholle kann, well eng Behaufung, déi nëmmen aus engem kale Start funktionnéiert, net fäerdeg ass.

Notéiert och den Inhaber vun all Etapp, well eng Kerberos-Domän, ëm déi sech keen këmmert, veralt. Eng Kette, déi keen beschreiwe kann, ass eng Kette, déi keen debugge kann.