Kerberos SSO ir VPN Mac kompiuteryje: palyginkite du prisijungimo kelius

Du mechanizmai Mac kompiuteryje duoda tą patį draugišką rezultatą, bet viduje elgiasi visiškai skirtingai. Vienas gauna Kerberos bilietus per SSO plėtinį ir perduoda juos dalyvaujančioms programoms. Kitas palaiko naršyklės sesiją su tapatybės teikėju ir leidžia žiniatinklio programoms ją pripažinti. Jie skiriasi tuo, ko jiems reikia tinkle, kiek ilgai galioja jų prisijungimo duomenys ir kas nutinka tuo metu, kai tunelis nukrenta.

Du mechanizmai, vienas prisijungimo ekranas

Bilietais pagrįstas kelias priklauso nuo Kerberos domeno, raktų paskirstymo centro ir su juo suderinto laikrodžio. Naršyklės kelias priklauso nuo pasiekiamo tapatybės teikėjo, slapuko arba žetono ir programos, kuri pasitiki tuo išdavėju. Abu galima sukonfigūruoti pradėti prisijungiant, todėl jie painiojami su ta pačia funkcija. Programos nusprendžia, kurį iš dviejų priimti, o Mac gali teisėtai vienu metu vykdyti abu.

Palyginkite juos paklausdami, ką programa tikrina, kai naudotojas ją atidaro. Prie Kerberos domeno prijungta failų tarnyba nori paslaugos bilieto, ir joks naršyklės sesijos kiekis to nepatenkins. Už šiuolaikinio tapatybės teikėjo esanti žiniatinklio programa nori to teikėjo žetono ir visiškai nepaiso Kerberos bilieto. Kai žinote, kuri patikra atliekama, diegimo klausimai tampa konkretūs, o ne bendri.

Ko Kerberos plėtiniui reikia tinkle

Apple Kerberos SSO plėtinio vadovas aprašo vietinę Active Directory autentifikaciją su išankstiniu bilietų gavimu, suporuotą su vietinėmis paskyromis, o ne prisijungimu prie domeno. Ko jis negali padaryti, tai sugalvoti kelią iki domeno valdiklių. Mac kompiuteriui reikia sprendėjo, kuris atsako į Kerberos paslaugų įrašus, ir maršruto, kuris pasiekia juos per patvirtintą tunelį. Profilis, kuris įdiegiamas švariai, nieko neįrodo, kol domeno iš tikrųjų negalima aptikti iš kliento.

Patikrinkite aptikimą prieš tikrindami prisijungimo duomenis: Kerberos domeno SRV įrašai turi išsispręsti, o jų grąžinami adresai turi būti pasiekiami, kai VPN yra įjungtas. Laikas yra toks pat svarbus kaip pasiekiamumas, nes Kerberos atmeta užklausas iš laikrodžio, kuris nukrypo už jo tolerancijos ribų, o generuojama klaida atrodo kaip autentifikacijos nesėkmė. Mac kompiuteris, kuris negali pasiekti laiko šaltinio, kol tunelis išjungtas, vėl nepavyks tuo metu, kai jis grįš. Ištaisykite laiko šaltinį kaip diegimo dalį, o ne kaip incidento reagavimą.

klist
sudo sntp -sS time.apple.com

VPN pagal programą nusprendžia, ar plėtinys gali veikti

Visas tunelis maršrutizuoja viską ir paslepia šią problemą. Konfigūracija pagal programą maršrutizuoja tik VPN profilyje nurodytas programas, o SSO plėtinys pats yra procesas, kuriam reikia tinklo bilietams gauti. Jei jo nėra susiejime, vietinis prisijungimas pavyksta, tunelis pakyla naršyklei, o bilietų gavimas vis tiek nepavyksta.

Perskaitykite VPN konfigūraciją ir išvardykite kiekvieną programą, kurią ji turėtų apimti, tada pridėkite SSO komponentą per dokumentuotą susiejimo mechanizmą, o ne spėliodami paketo identifikatorių. Susieti matomą klientą, o ne už jo esantį komponentą, yra klasikinė šios klaidos versija. Laikykite susiejimą tame pačiame valdomame profilyje kaip ir plėtinį, kad vieno pakeitimas negalėtų tyliai panaikinti kito. Testuokite su naudotoju, kuris niekada neprisijungė prie to Mac, nes podėlyje esantis bilietas gali priversti sugedusį kelią atrodyti sveiką, tada dar kartą išbandykite po slaptažodžio pakeitimo.

Naršyklės tapatybės sesija yra kita sutartis

Naršyklės sesija neturi Kerberos domeno, paslaugos bilieto ir laikrodžio tolerancijos Kerberos prasme. Ji turi išdavėją, žetono galiojimo laiką ir atnaujinimo kelią, o jos gedimo režimai yra niekada nebaigiami peradresavimai ir slapukai, kuriuos privatus langas išmeta. Vertinti ją kaip bilietų kelio pakaitalą saugu tik ten, kur pati programa priima tą išdavėją. Autentifikacijos atsakymo kopijavimas iš VPN portalo į nesusijusią tarnybą nėra integracija, kad ir kokia patogi atrodo ši apėjimo taktika.

Kai įdiegti abu mechanizmai, dokumentuokite, kurios programos naudoja kurį, nes palaikymo pokalbis nuo to priklauso. Naudotojas, kuris praneša esąs prisijungęs, bet negali atidaryti failų bendrinimo, aprašo dvi sistemas, o atsakymas yra tas, kad bilietų kelias niekada nebuvo paleistas. Naudotojas, kuris gali atidaryti bendrinimą, bet ne intraneto portalą, aprašo priešingai, o mechanizmo pavadinimas biliete sutaupo vieną klausimų ratą.

Eikite seka, o ne dalimis

Pereikite visą grandinę su įprasta registruota paskyra: vietinis prisijungimas, tunelis, bilietų gavimas, tada viena tikra operacija su tarnyba. Pakartokite tai po tunelio atsinaujinimo ir po sąmoningo slaptažodžio pakeitimo, nes kiekvienas iš šių atvejų lavina skirtingą galiojimo logikos dalį. Kiekvieno etapo atskiras praėjimas nėra tas pats kaip veikianti grandinė. Grandinė yra tai, ką naudotojas patiria, ir tai, ką turi apimti priėmimo atvejis.

Užrašykite profilio savininką, VPN autentifikacijos metodą, domeno aptikimo kelią ir plėtinio programų susiejimą vienoje vietoje. Būtent šis įrašas daro srautą atkartojamą žmogui, kuris jo nesukūrė. Tada patikrinkite labiausiai tikėtiną gedimą, pasibaigusį bilietą, kai tunelis išjungtas, ir patvirtinkite, kad klientas atsistato be perkrovimo, nes diegimas, kuris veikia tik nuo šalto paleidimo, nėra baigtas.

Taip pat pažymėkite kiekvieno etapo savininką, nes Kerberos domenas, kuriuo niekas nesirūpina, pasensta. Grandinė, kurios niekas negali aprašyti, yra grandinė, kurios niekas negali derinti.