Atsevišķas VPN identitātes mazai komandai, bez direktorija

Seši cilvēki dala vienu VPN pieteikšanos, viens no viņiem aiziet, un vienīgais veids, kā noņemt viņa piekļuvi, ir nomainīt noslēpumu, ko izmanto visi pārējie. Tā ir īstā problēma, un tās risināšanai nav vajadzīgs Active Directory. Mazs birojs var turēt atsevišķas identitātes jebkurā vietējā krātuvē, ko atbalsta tā vārteja, un joprojām uzskatīt aiziešanas par rutīnu. Darbs ir krātuves izvēlē un noņemšanas soļu pierakstīšanā pirms to nepieciešamības.

Sāciet ar akreditācijas datiem, kas ir katram

Pirms backend izvēles uzskaitiet, ar ko katrs pieslēdzas. Viens klēpjdators, tālrunis, varbūt mājas galddators, un katrs no tiem ir atsevišķi akreditācijas dati vai atsevišķs ierīces sertifikāts. Ja nevarat nosaukt akreditācijas datus, kas ir cilvēkam, jūs tos vēlāk nevarēsiet noņemt.

Divi cilvēki, kas dala vienu profilu, ir gadījums, kas padara katru nākamo soli grūtāku. Vispirms to izlabojiet, jo neviena direktorija neatrisina kopīgu noslēpumu.

Izvēlieties krātuvi, ko vārteja patiešām atbalsta

Izvēlieties identitāšu krātuvi, ko vārteja jau atbalsta, nevis to, ko jūs gribētu uzturēt. Vārteja ar vietēju lietotāju datubāzi var turēt atsevišķus kontus ar politiku katram lietotājam. IKEv2 ieviešana var saistīt EAP identitāti ar konkrētu noslēpumu, ja klienta metode un pārbaudītājs sakrīt. Sertifikātos balstīti risinājumi var izsniegt vienu sertifikātu katrai ierīcei no kopīgas iestādes, kas uztur uzticības enkuru kopīgu, kamēr akreditācijas dati paliek atsevišķi.

Krātuves atrašanās vieta ir mazāk svarīga par tās darbībām: reģistrāciju, dublējumkopiju, atjaunošanu un atsaukšanu. Ja uz kādu no tām nav atbildes, izvēle nav pabeigta.

Ja vārteja piedāvā gan vietējos kontus, gan sertifikātus, dodiet priekšroku tam, ko jūsu komanda var pārvaldīt divos naktī bez piegādātāja telefonā. Šī izvēle attiecas uz atjaunošanas laiku, nevis uz to, kura iespēja ir tehniski spēcīgāka.

Atšķiriet cilvēku no ierīcēm

Izlemiet, ko akreditācijas dati attēlo: cilvēku, ierīci vai abus. Viena darbinieka klēpjdators un tālrunis ir divas ierīces un viens cilvēks, un tālruņa pazaudēšana ne vienmēr ir jāatspējo klēpjdators. Pierakstiet šo modeli, jo tas nosaka, ko nozīmē noņemšana.

Katram akreditācijas datu kopumam ierakstiet īpašnieku, ierīci, izsniegšanas datumu un atsaukšanas ceļu. Glabājiet šo ierakstu tur, kur birojs to var izlasīt bez cilvēka, kas to iestatīja. Tabula ar šīm četrām kolonnām ir pietiekama sešiem cilvēkiem un joprojām mērogojas līdz sešdesmit.

Padariet noņemšanu par parastu operāciju

Uzrakstiet aiziešanas procedūru pirms pirmās aiziešanas. Atspējojiet identitāti, izbeidziet jebkuru aktīvu sesiju un apstipriniet, ka tunelis patiešām nokrīt, nevis gaidiet atkārtotas autentifikācijas taimeri. Pēc tam pārbaudiet, ka iepriekšējie akreditācijas dati neizdodas no mašīnas ārpus biroja tīkla. Visai secībai vajadzētu aizņemt minūtes un neprasīt atkārtotu izsniegšanu nevienam citam.

sudo swanctl --terminate --ike alice-laptop

Saglabājiet administratora atjaunošanas ceļu, kas nav atkarīgs no atspējotā konta, un saskaņojiet vietējos kontus, kas vēlāk pārcelsies uz direktoriju. Mērķis ir vienkāršs: viena cilvēka noņemšana ir rutīnas uzdevums, nevis projekts, kas skar visu pārējo profilus. Vietējā autentifikācija Access Server ir viens dokumentēts piemērs krātuvei, kas atbilst šai formai.