Kodėl vienas OTP neapima Wi-Fi, VPN ir registro

Vieningas prisijungimas žada vieną tapatybę ir mažiau užklausų, tačiau pažadas sugenda ties trečiuoju protokolu. Spąstai yra manyti, kad viena sėkminga autentifikacija sukuria prieigos raktą, kurį gali pateikti kiekvienas kitas protokolas. Wi-Fi prisijungimas, VPN įėjimas ir konteinerių registras kiekvienas atlieka skirtingą mainą, su skirtingomis auditorijomis ir galiojimo laikais. Paskyros bendrinimas yra katalogo sprendimas; kredencialų bendrinimas yra protokolo sprendimas, o protokolai retai sutaria.

Trys mainai, trys savininkai

Įmonės Wi-Fi vykdo EAP metodą 802.1X viduje, paprastai jį užbaigia RADIUS paslauga, turinti savo požiūrį į naudotoją ar įrenginį. VPN šliuzas autentifikuojasi per savo palaikomą srautą ir tada laiko sesiją su savo pakartotinės autentifikacijos laikmačiu. Registras atsako į neautentifikuotą užklausą iššūkiu, kuris įvardija prieigos raktų paslaugą, auditoriją ir aprėptį, o klientas iškeičia savo kredencialus į trumpalaikį raktą.

Tai ne trys vienos sesijos vaizdai. Kiekvienas turi savo tikrintuvą, savo galiojimo laiką ir savo atšaukimo kelią, todėl slaptažodžio pakeitimas kataloge gali palikti vieną veikiantį, o kitą sugadintą. Traktuokite juos kaip tris integracijas, kurios atsitiktinai bendrina naudotojų katalogą.

Ką naršyklės SSO perneša, o ko ne

Naršyklės sesija tapatybės teikėjo svetainėje tikrai naudinga: programos, kurios nukreipia ten, paveldi prisijungimą, kurį naudotojas jau užbaigė. Tai veikia todėl, kad tos programos kalba tais pačiais nukreipimo ir prieigos raktų protokolais ir priima tą pačią auditoriją. Prašytojas, kalbantis EAP, neturi jokio nukreipimo, kuriuo sekti, o Docker klientas, gavęs registro iššūkį, neprašo OIDC tapatybės rakto. Tapatybės teikėjas gali laiduoti tik tuos protokolus, kuriems buvo sukurtas.

Gedimą nesunku pamatyti žurnaluose, kai žinai, kur žiūrėti. Tapatybės teikėjas praneša apie sėkmingą prisijungimą, nors Wi-Fi susiejimas vis dar nepavyksta, arba registras grąžina 401 po prieigos rakto mainų, kurių naršyklė niekada nematė. Dvi sėkmės ir viena nesėkmė nėra prieštaravimas; tai trys atskiros autentifikacijos.

Kur sertifikatas pakeičia kartojamą kodą

Valdomiems įrenginiams sertifikatu pagrįstas EAP pašalina žmogišką žingsnį nepašalindamas tapatybės: įrenginys pateikia sertifikatą, RADIUS paslauga jį patikrina pas išdavusią instituciją, o atšaukimas vyksta toje institucijoje, o ne bendrame secrete. Kaina yra gyvavimo ciklo darbas, nes sertifikatai baigiasi ir turi būti atnaujinti anksčiau.

Registrai turi lygiavertį padalijimą. Interaktyvus naudotojas gali prisijungti vieną kartą ir leisti kredencialų pagalbininkui išsaugoti gautą raktą, o automatizavimas turėtų naudoti siaurai apibrėžtus paslaugos kredencialus arba darbo krūvio tapatybę. Nė vienas iš jų neturėtų būti žmogaus vienkartinis kodas, nukopijuotas į grandinę. Pagalbininkas išsaugo raktą konkrečiai registro auditorijai, todėl jo negalima nukreipti į VPN šliuzą redaguojant konfigūracijos failą.

docker login registry.example.com

Palyginkite priežiūros kainą, o ne užklausų skaičių

Bendrinami kredencialai atrodo pigiai, nes darbas nematomas, kol nepavyksta. Vietoj to suskaičiuokite, kiek kiekviena parinktis kainuoja per metus: registracija, atnaujinimas, atšaukimas, nutekėjimo poveikio spindulys ir sistemų, kurias paliečia, kai kas nors išeina, skaičius. Sertifikatų flotilė daugiau kainuoja sukurti ir mažiau eksploatuoti dideliu mastu; nukopijuotas kodas nieko nekainuoja pradėti ir viską išnarplioti.

Tada rinkitės pagal atkarpą, o ne globaliai. Wi-Fi gali pereiti prie sertifikatų, VPN gali išlaikyti palaikomą SSO su MFA, o registras gali naudoti raktus su aiškiai nurodytomis aprėptimis. Užfiksuokite savininką, auditoriją, aprėptį, galiojimo pabaigą ir atšaukimo kelią kiekvienam, ir užklausos kris ten, kur turi, o ne visur iš karto. Šis įrašas taip pat yra atsakymas, kai auditorius klausia, kurios sistemos dar pasitiki slaptažodžiu.