Kerberos SSO un VPN Mac datorā: salīdziniet abus pierakstīšanās ceļus

Divi mehānismi Mac datorā dod vienu un to pašu draudzīgo rezultātu, bet iekšpusē uzvedas pilnīgi atšķirīgi. Viens iegūst Kerberos biļetes caur SSO paplašinājumu un nodod tās iesaistītajām lietojumprogrammām. Otrs uztur pārlūka sesiju pie identitātes nodrošinātāja un ļauj tīmekļa lietojumprogrammām to atzīt. Tie atšķiras ar to, kas tiem nepieciešams tīklā, cik ilgi der viņu akreditācijas dati un kas notiek tajā brīdī, kad tunelis nokrīt.

Divi mehānismi, viens pierakstīšanās ekrāns

Uz biļetēm balstītais ceļš ir atkarīgs no Kerberos domēna, atslēgu sadales centra un ar to saskaņota pulksteņa. Pārlūka ceļš ir atkarīgs no sasniedzama identitātes nodrošinātāja, sīkdatnes vai marķiera un lietojumprogrammas, kas uzticas šim izdevējam. Abus var konfigurēt tā, lai tie sāktos pierakstīšanās laikā, tāpēc tos sajauc ar vienu un to pašu funkciju. Lietojumprogrammas izlemj, kuru no abiem pieņemt, un Mac var likumīgi darbināt abus vienlaikus.

Salīdziniet tos, jautājot, ko lietojumprogramma pārbauda, kad lietotājs to atver. Ar Kerberos domēnu saistīts failu pakalpojums vēlas pakalpojuma biļeti, un neviens pārlūka sesijas apjoms to neapmierinās. Tīmekļa lietojumprogramma aiz mūsdienīga identitātes nodrošinātāja vēlas šī nodrošinātāja marķieri un pilnībā ignorē Kerberos biļeti. Kad zināt, kura pārbaude notiek, izvietošanas jautājumi kļūst konkrēti, nevis vispārīgi.

Kas Kerberos paplašinājumam nepieciešams tīklā

Apple Kerberos SSO paplašinājuma rokasgrāmata apraksta vietējo Active Directory autentifikāciju ar proaktīvu biļešu iegūšanu, kas savienota ar vietējiem kontiem, nevis domēna piesaisti. Ko tā nevar, ir izdomāt ceļu uz domēna kontrolieriem. Mac datoram nepieciešams atrisinātājs, kas atbild uz Kerberos pakalpojumu ierakstiem, un maršruts, kas tos sasniedz caur apstiprināto tuneli. Profils, kas instalējas tīri, neko nepierāda, kamēr domēnu patiešām nevar atklāt no klienta.

Pārbaudiet atklāšanu pirms akreditācijas datu pārbaudes: Kerberos domēna SRV ierakstiem ir jāatrisinās, un to atgrieztajām adresēm jābūt sasniedzamām, tiklīdz VPN ir augšā. Laiks ir tikpat svarīgs kā sasniedzamība, jo Kerberos noraida pieprasījumus no pulksteņa, kas novirzījies ārpus tā tolerances, un radītā kļūda izskatās kā autentifikācijas kļūme. Mac dators, kas nevar sasniegt laika avotu, kamēr tunelis ir lejā, atkal neizdosies tajā brīdī, kad tas atgriezīsies. Izlabojiet laika avotu kā izvietošanas daļu, nevis kā reaģēšanu uz incidentu.

klist
sudo sntp -sS time.apple.com

VPN katrai lietojumprogrammai izlemj, vai paplašinājums var strādāt

Pilns tunelis maršrutē visu un slēpj šo problēmu. Konfigurācija katrai lietojumprogrammai maršrutē tikai VPN profilā nosauktās lietojumprogrammas, un SSO paplašinājums pats ir process, kuram biļešu iegūšanai nepieciešams tīkls. Ja tas nav kartējumā, vietējā pierakstīšanās izdodas, tunelis paceļas pārlūkam, un biļešu iegūšana joprojām neizdodas.

Izlasiet VPN konfigurāciju un uzskaitiet katru lietojumprogrammu, kuru tam jāaptver, pēc tam pievienojiet SSO komponentu, izmantojot dokumentēto kartēšanas mehānismu, nevis uzminot pakotnes identifikatoru. Kartēt redzamo klientu, nevis aiz tā esošo komponentu, ir klasiskā šīs kļūdas versija. Turiet kartējumu tajā pašā pārvaldītajā profilā, kurā ir paplašinājums, lai viena izmaiņas nevarētu klusi padarīt nederīgu otru. Testējiet ar lietotāju, kurš nekad nav pierakstījies šajā Mac datorā, jo kešatmiņā saglabāta biļete var likt salauztam ceļam izskatīties veselam, pēc tam vēlreiz testējiet pēc paroles maiņas.

Pārlūka identitātes sesija ir cits līgums

Pārlūka sesijai nav Kerberos domēna, nav pakalpojuma biļetes un nav pulksteņa tolerances Kerberos izpratnē. Tai ir izdevējs, marķiera derīguma termiņš un atjaunināšanas ceļš, un tās atteices režīmi ir nekad nepabeigtas pāradresācijas un sīkdatnes, ko privāts logs izmet. Uzskatīt to par biļešu ceļa aizstājēju ir droši tikai tur, kur pati lietojumprogramma pieņem šo izdevēju. Autentifikācijas atbildes kopēšana no VPN portāla uz nesaistītu pakalpojumu nav integrācija, lai cik ērts šķiet apvedceļš.

Kad abi mehānismi ir izvietoti, dokumentējiet, kuras lietojumprogrammas kuru izmanto, jo atbalsta saruna ir atkarīga no tā. Lietotājs, kurš ziņo, ka ir pierakstījies, bet nevar atvērt failu koplietojumu, apraksta divas sistēmas, un atbilde ir tāda, ka biļešu ceļš nekad nav palaists. Lietotājs, kurš var atvērt koplietojumu, bet ne intraneta portālu, apraksta pretējo, un mehānisma nosaukšana biļetē ietaupa vienu jautājumu kārtu.

Ejiet secībā, nevis pa daļām

Izstaigājiet visu ķēdi ar parastu reģistrētu kontu: vietējā pierakstīšanās, tunelis, biļešu iegūšana, tad viena reāla darbība pret pakalpojumu. Atkārtojiet to pēc tuneļa atkārtotas savienošanas un pēc apzinātas paroles maiņas, jo katrs no šiem gadījumiem trenē citu derīguma loģikas daļu. Katra posma atsevišķa izturēšana nav tas pats, kas strādājoša ķēde. Ķēde ir tas, ko lietotājs piedzīvo, un tas, ko jāaptver pieņemšanas gadījumam.

Pierakstiet profila īpašnieku, VPN autentifikācijas metodi, domēna atklāšanas ceļu un paplašinājuma lietojumprogrammu kartējumu vienā vietā. Šis ieraksts padara plūsmu atkārtojamu kādam, kas to nav veidojis. Pēc tam pārbaudiet visticamāko kļūmi, beigušos biļeti, kamēr tunelis ir lejā, un apstipriniet, ka klients atjaunojas bez pārstartēšanas, jo izvietojums, kas darbojas tikai no aukstas palaišanas, nav pabeigts.

Atzīmējiet arī katra posma īpašnieku, jo Kerberos domēns, par kuru neviens nerūpējas, kļūst novecojis. Ķēde, kuru neviens nevar aprakstīt, ir ķēde, kuru neviens nevar atkļūdot.