Kāpēc viens OTP neaptver Wi-Fi, VPN un reģistru

Vienota pieteikšanās sola vienu identitāti un mazāk pieprasījumu, un solījums salūzt pie trešā protokola. Slazds ir pieņemt, ka viena veiksmīga autentifikācija rada tokenu, ko var uzrādīt jebkurš cits protokols. Wi-Fi iekļuve, VPN ieeja un konteineru reģistrs katrs veic atšķirīgu apmaiņu, ar atšķirīgām auditorijām un darbības laikiem. Konta koplietošana ir kataloga lēmums; akreditācijas datu koplietošana ir protokola lēmums, un protokoli reti vienojas.

Trīs apmaiņas, trīs īpašnieki

Uzņēmuma Wi-Fi izpilda EAP metodi 802.1X ietvaros, to parasti pabeidz RADIUS serviss, kuram ir savs skatījums uz lietotāju vai ierīci. VPN vārteja autentificējas ar savu atbalstīto plūsmu un pēc tam uztur sesiju ar savu atkārtotas autentifikācijas taimeri. Reģistrs atbild uz neautentificētu pieprasījumu ar izaicinājumu, kas nosauc tokenu servisu, auditoriju un tvērumu, un klients apmaina savus akreditācijas datus pret īslaicīgu tokenu.

Tie nav trīs vienas sesijas skatījumi. Katram ir savs pārbaudītājs, savs darbības laiks un savs atsaukšanas ceļš, tāpēc paroles maiņa katalogā var atstāt vienu strādājošu, bet otru salauztu. Uztveriet tos kā trīs integrācijas, kas nejauši koplieto lietotāju katalogu.

Ko pārlūka SSO nes un ko ne

Pārlūka sesija identitātes nodrošinātājā patiešām ir noderīga: lietotnes, kas uz to pārvirza, manto pieteikšanos, ko lietotājs jau pabeidzis. Tas darbojas tāpēc, ka šīs lietotnes runā tajos pašos pārvirzīšanas un tokenu protokolos un pieņem to pašu auditoriju. Pieprasītājam, kas runā EAP, nav neviena pārvirzījuma, kam sekot, un Docker klients, kas saņem reģistra izaicinājumu, neprasa OIDC identitātes tokenu. Identitātes nodrošinātājs var galvot tikai par tiem protokoliem, kuriem tas tika būvēts.

Kļūmi ir viegli saskatīt žurnālos, kad zini, kur skatīties. Identitātes nodrošinātājs ziņo par veiksmīgu pieteikšanos, kamēr Wi-Fi asociācija joprojām neizdodas, vai reģistrs atgriež 401 pēc tokena apmaiņas, kuru pārlūks nekad neredzēja. Divi panākumi un viena kļūme nav pretruna; tās ir trīs atsevišķas autentifikācijas.

Kur sertifikāts aizstāj atkārtotu kodu

Pārvaldītām ierīcēm sertifikātos balstīts EAP noņem cilvēka soli, neatņemot identitāti: ierīce uzrāda sertifikātu, RADIUS serviss pārbauda to pie izdevējas iestādes, un atsaukšana notiek šajā iestādē, nevis koplietotā noslēpumā. Cena ir dzīves cikla darbs, jo sertifikāti beidzas un tie ir jāatjauno pirms tam.

Reģistriem ir līdzvērtīgs dalījums. Interaktīvs lietotājs var pieteikties vienreiz un ļaut akreditācijas datu palīgam saglabāt iegūto tokenu, savukārt automatizācijai jāizmanto šauri ierobežoti servisa akreditācijas dati vai darba slodzes identitāte. Nevienam no tiem nevajadzētu būt cilvēka vienreizējam kodam, kas nokopēts konveijerā. Palīgs glabā tokenu konkrētai reģistra auditorijai, tāpēc to nevar pārvirzīt uz VPN vārteju, rediģējot konfigurācijas failu.

docker login registry.example.com

Salīdziniet uzturēšanas izmaksas, nevis pieprasījumu skaitu

Koplietots akreditācijas dati izskatās lēti, jo darbs ir neredzams, līdz tas neizdodas. Tā vietā saskaitiet, cik katrs variants maksā gada laikā: reģistrācija, atjaunošana, atsaukšana, noplūdes ietekmes rādiuss un sistēmu skaits, kuras skar, kad kāds aiziet. Sertifikātu flote maksā vairāk uzbūvēt un mazāk ekspluatēt mērogā; nokopēts kods nemaksā neko sākšanai un visu atraisīšanai.

Pēc tam izvēlieties pa posmiem, nevis globāli. Wi-Fi var pāriet uz sertifikātiem, VPN var saglabāt atbalstīto SSO ar MFA, un reģistrs var izmantot tokenus ar skaidriem tvērumiem. Pierakstiet īpašnieku, auditoriju, tvērumu, derīguma termiņu un atsaukšanas ceļu katram, un pieprasījumi kritīs tur, kur tiem jābūt, nevis visur uzreiz. Šis pieraksts ir arī atbilde, kad auditors jautā, kuras sistēmas joprojām uzticas parolei.